Destinatarios de este artículo: personas que reciben boletines o correos de notificación de empresas y organizaciones, y empresas y organizaciones que usan el servicio de envío de correo Cuenote FC de Ymirlink, Inc. Este artículo se basa en los avisos oficiales de Ymirlink y de las organizaciones clientes que revelaron un impacto. No explica cómo se llevó a cabo el ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A 23 de octubre de 2026Aún no se sabe
- Qué elementos se exportaron
- Cuántas personas (desglose de unos 9 millones de registros acumulados)
- A qué empresas clientes pertenecen los cinco sistemas
- Qué programa y qué vulnerabilidad
- Si se ha producido algún daño secundario (uso indebido de los datos)
Ymirlink, Inc. dice que está investigando en detalle con expertos externos y que volverá a informar cuando se encuentren nuevos hechos. Dice que el impacto en los resultados del ejercicio que termina en diciembre de 2026 está "en revisión" y que divulgará con prontitud cualquier cosa que requiera divulgación. A 23 de octubre no se ha publicado un segundo informe.
Qué deben hacer hoy los destinatarios de boletines
No abra enlaces en correos que digan proceder del remitente
Cuenote FC es un sistema que empresas y organizaciones usan para enviar boletines y avisos. Los destinatarios registran su dirección de correo en la empresa u organización remitente, no en Ymirlink. Por tanto, si los datos se usan indebidamente, lo más probable es que aparezcan correos falsos que usan el nombre de la empresa remitente.
Incluso en correos como "Confirme su uso", "Confirme los datos de su cliente" o "Sus puntos están por caducar", no abra enlaces, archivos adjuntos ni códigos QR del mensaje. Para comprobarlo, abra la aplicación oficial o un sitio oficial que tenga guardado en marcadores (cómo detectar falsificaciones: ¿Qué es el phishing?).
Consulte los avisos de las empresas de cuyos boletines es destinatario
Abra los avisos de las empresas de cuyos boletines recibe en la tabla "Organizaciones clientes que revelaron un impacto" que aparece más abajo. Para las empresas que no figuran en la tabla, consulte la sección de noticias de su sitio oficial. Dai Nippon Printing dice que contactará individualmente con las personas que resulten afectadas.
No introduzca una contraseña ni un número de tarjeta si se lo piden
El aviso de Ymirlink, Inc. no menciona contraseñas ni tarjetas de crédito. Dai Nippon Printing dice que las contraseñas, los datos de tarjetas de crédito y el historial de compras no se almacenan en el sistema de envío de correo. Aun así, alguien que conoce su nombre y su dirección de correo puede escribirle un correo pidiendo que los introduzca. Si un correo se los pide, compruébelo en el sitio oficial, no desde el propio correo.
Dése de baja de los boletines que no lee, a través del sitio oficial
Cuantos más boletines tenga suscritos, más difícil será detectar uno falso entre ellos. Darse de baja de los boletines que no lee, iniciando sesión en el sitio oficial de cada empresa en lugar de usar el enlace del correo, facilita detectar un correo que no debería llegar.
Esté atento también al spam que muestra @cuenote.jp como remitente
El 20 de octubre, Ymirlink, Inc. advirtió de que se habían visto varios correos de spam que mostraban su dominio como remitente y que decían proceder de terceros. Como ejemplos, indica correos que dicen proceder de una compañía de tarjetas de crédito, con asuntos como "Confirme su uso" y "Solicitud de confirmación de los detalles de uso", enviados desde info@cuenote.jp. La empresa dice que nunca ordena el envío de este tipo de correos. Su aviso no dice si este spam está relacionado con el acceso no autorizado. Pide a los destinatarios que eliminen estos correos sin responder, sin hacer clic en las URL ni escanear los códigos QR, y que contacten con la policía si ya han iniciado una conversación.
Organizaciones clientes que revelaron un impacto
Las empresas y organizaciones que usan Cuenote FC han publicado sus propios avisos. La tabla recoge los que este sitio comprobó abriendo la página oficial de cada organización, y solo los avisos que nombran a Ymirlink o a Cuenote FC (a 23 de octubre de 2026).
Cada estado sigue la redacción de la propia organización. Ymirlink, Inc. no ha dicho a qué clientes pertenecen los cinco sistemas afectados, por lo que una organización de esta tabla no es necesariamente uno de los cinco.
| Organización | Para qué usaba el servicio (según indica) | Datos que podrían verse afectados (según indica) | Estado | Fecha |
|---|---|---|---|---|
| Dai Nippon Printing (honto) | Boletín de la librería honto (personas que lo aceptaron) | Nombres, direcciones de correo, ID de sistemas internos. Las contraseñas, los datos de tarjetas de crédito y el historial de compras no se almacenan en el sistema de envío de correo. Número de afectados bajo investigación | Posible (empresa) | 21 de octubre |
| Prefectura de Saitama | Boletín del sitio de agricultura inteligente de la prefectura "Plat Saitama" (usado por el contratista que gestiona el sitio) | 669 partes. Para organizaciones: nombre de la organización, nombre de contacto, dirección de correo, sector; para particulares: nombre, dirección de correo, sector | Posible (prefectura) | 20 de octubre |
| Kakuyasu | Boletín para sus clientes empresariales (restaurantes) | Nombre del restaurante, nombre de la empresa, nombre, dirección de correo. No ha confirmado que sus datos estén incluidos | Posible (empresa) | 20 de octubre |
| NTTPC Communications | Envío de correo para sus servicios | Direcciones de correo de contacto y otros datos de los usuarios de los servicios. No se ha confirmado ningún impacto, pero no puede descartarse por completo | Posible (empresa) | 20 de octubre |
| Katabami | Su envío de correo | No indicado (no puede descartar que se viesen afectados los datos registrados en el servicio) | Posible (empresa) | 20 de octubre |
| The Sanyo Shimbun | Seis servicios de correo de su sitio de noticias "Sandeji", incluidos avisos de última hora, del tiempo y de retrasos de trenes | No indicado. Ymirlink le comunicó que no se había confirmado ninguna filtración en el entorno que utiliza | No confirmado (empresa) | 19–21 de octubre (informes 2–4) |
'Posible' en la tabla no significa que la organización haya sido confirmada como afectada
Kakuyasu dice que no ha confirmado ninguna información que indique que los datos de sus clientes estén incluidos, pero actúa priorizando la protección de esos datos; NTTPC Communications dice que no ha confirmado ningún impacto, pero publicó su aviso para alertar a los clientes. Dai Nippon Printing dice que Ymirlink informó de que los datos de clientes de honto podrían haberse filtrado. En el caso del Sanyo Shimbun, el envío de correo se detuvo desde aproximadamente las 14:15 del 18 de octubre por una avería en el sistema de envío, y su cuarto informe del 21 de octubre anunció que se había restablecido. Compruebe si una empresa de cuyo boletín es usted destinatario figura en la tabla y, después, esté atento a las novedades de esa empresa.
Qué ocurrió (según los avisos de Ymirlink, Inc.)
Lo siguiente se basa en el aviso de Ymirlink, Inc. del 19 de octubre de 2026 (la versión actualizada con explicaciones adicionales a las 19:05 de ese día en el sitio de Cuenote) y en su comunicación de información relevante presentada el mismo día. El documento de comunicación de información relevante solo dice "servicio de envío de correo electrónico". La versión actualizada del sitio de Cuenote añadió que los sistemas afectados son "un total de cinco sistemas del plan ASP dedicado de Cuenote FC".
Madrugada del viernes 16 de octubre de 2026
Un miembro del personal de la empresa confirmó el acceso no autorizado en algunos sistemas. Los servidores donde se detectó el acceso no autorizado se desconectaron de la red de inmediato.Tras la detección (fecha no indicada)
Los registros de acceso mostraron que se utilizó una vulnerabilidad de programa para obtener las credenciales del personal de soporte y de control de calidad de la empresa, que se instaló un programa malicioso y se exportaron datos de la base de datos, y que esas credenciales se usaron para intentar autenticarse en otros sistemas. La empresa creó y aplicó una corrección para la vulnerabilidad y eliminó la información del personal de soporte y de control de calidad de otros sistemas.19 de octubre
Aviso (primer informe) y comunicación de información relevante. A las 19:05 el aviso se actualizó para nombrar los sistemas afectados (cinco sistemas del plan ASP dedicado de Cuenote FC). Desde ese día, las organizaciones clientes empezaron a publicar sus propios avisos.20 de octubre
Publicada una advertencia sobre spam que muestra el dominio de la empresa como remitente (sin vínculo declarado con el acceso no autorizado).
Destinatarios de correo
Registraron su dirección de correo en la empresa remitente (a veces también un nombre o un número de socio)
Qué hacer: no abrir enlaces en correos que digan proceder del remitente
Empresas y organizaciones remitentes (clientes)
Gestionan la lista de correo y la registran en Cuenote FC para enviar correos; son responsables de los datos personales
Qué hacer: confirmar si están afectadas y decidir sobre la notificación y el aviso
Ymirlink (Cuenote FC)
Unos 9 millones de registros acumulados, incluidas direcciones de correo, exportados de cinco sistemas del plan ASP dedicado (estimación de la empresa)
Clientes afectados y elementos en investigación
- Servicio
- Cinco sistemas en total del plan ASP dedicado del servicio de envío de correo Cuenote FC
- Confirmado
- Se extrajo información personal mediante acceso no autorizado desde el exterior. Acceso no autorizado y exportación de datos de cinco sistemas
- Recuento
- Un total acumulado de unos 9 millones de registros, incluidas direcciones de correo, estimado como exportado de los cinco sistemas
- Elementos
- "Información que incluye direcciones de correo". Detalles en investigación
- Causa indicada
- Se utilizó una vulnerabilidad de programa para obtener las credenciales del servicio del personal de soporte y de control de calidad de la empresa. No se han revelado detalles de la vulnerabilidad
- Respuesta
- Desconexión de los servidores, corrección del programa vulnerable, eliminación de las credenciales del personal, configuración de detección de programas maliciosos, denuncia ante las fuerzas del orden
- Próximos pasos
- Investigación detallada con expertos externos; se informará cuando se encuentren nuevos hechos. El impacto en los resultados del ejercicio que termina en diciembre de 2026 está en revisión
- Contacto
- Contacto específico para el acceso no autorizado (teléfono 03-6820-0088, días laborables de 9:00 a 20:00; la página del aviso incluye un contacto por correo electrónico)
Según la página del producto Cuenote FC, el plan ASP dedicado ofrece "recursos dedicados" y está separado del plan Premium, que funciona en un entorno compartido, y del plan local, que se instala en el propio entorno del cliente. El aviso indica que los cinco sistemas afectados están en el plan ASP dedicado y no menciona los otros planes.
Qué se sabe y qué no
Estado a 23 de octubre de 2026. Cuando aparezcan novedades, la columna de estado de esta tabla se actualizará.
| Elemento | Lo que dice el aviso | Estado |
|---|---|---|
| Información personal extraída | Confirmado que se extrajo información personal mediante acceso no autorizado desde el exterior | Filtración confirmada (empresa) |
| Sistemas afectados | Cinco sistemas en total del plan ASP dedicado de Cuenote FC | Confirmado (empresa) |
| Recuento | Un total acumulado de unos 9 millones de registros, incluidas direcciones de correo, estimado como exportado. No es un recuento de personas | Posible (empresa; estimación) |
| Elementos exportados | "Información que incluye direcciones de correo". Detalles en investigación | En investigación |
| Contraseñas y tarjetas de crédito | No mencionadas en el aviso de Ymirlink (Dai Nippon Printing dice que no se almacenan en el sistema de envío de correo) | No indicado |
| A qué clientes pertenecen los cinco sistemas | No revelado | En investigación |
| Impacto en otros planes (Premium, local) | No mencionado en el aviso | No indicado |
| Causa | Credenciales del personal obtenidas mediante una vulnerabilidad de programa. Detalles de la vulnerabilidad no indicados | En investigación |
| Daño secundario (uso indebido de los datos) | No mencionado en el aviso de Ymirlink. Dai Nippon Printing y la Prefectura de Saitama dicen que, hasta ahora, no se ha confirmado ningún uso indebido | No confirmado (Dai Nippon Printing, Prefectura de Saitama) |
| Denuncia ante las fuerzas del orden | Presentada | Confirmado (empresa) |
| Impacto en los resultados empresariales | En revisión | En investigación |
Los recuentos de clientes no pueden compararse con la cifra de 9 millones
La cifra de unos 9 millones es la estimación de Ymirlink, Inc. para los cinco sistemas en conjunto. Las 669 partes de la Prefectura de Saitama son partes (organizaciones y particulares) cuyos datos obtuvo a través de su sitio. Se cuentan de forma distinta, por lo que no pueden sumarse ni restarse.
Para qué pueden usarse las direcciones de correo y los datos relacionados
En general, cuando se combinan los siguientes datos, pueden producirse los siguientes tipos de uso indebido. Esto no significa que hayan ocurrido en este caso.
- Dirección de correo más nombre de la empresa remitente: correos falsos que dicen proceder de esa empresa llegan a la misma dirección que el boletín real, y los destinatarios asumen fácilmente que es "la empresa que siempre me envía boletines"
- Nombre más dirección de correo: los correos falsos pueden incluir el nombre real del destinatario, lo que los hace más convincentes que el spam masivo
- Nombre de la organización, nombre de contacto y sector (en boletines dirigidos a clientes empresariales): material para facturas falsas o correos que piden cambiar los datos de pago, haciéndose pasar por un socio comercial
- ID de sistema interno: puede presentarse como número de socio ("Estimado cliente, número de socio...") para parecer auténtico
Otro caso en el que un servicio de envío expuso las direcciones de destinatarios de muchas organizaciones es el acceso no autorizado al servicio de alertas de desastres SpeeCAN RAIDEN de octubre de 2026. También allí, las personas supieron si estaban afectadas a través del aviso de la organización que les había enviado los correos.
Qué deben hacer las empresas y organizaciones que usan Cuenote FC
El aviso público de Ymirlink, Inc. no incluye peticiones concretas a las empresas clientes. Según los avisos de los clientes, Ymirlink ha estado informando a los clientes individualmente (NTTPC Communications y Dai Nippon Printing dicen que recibieron un informe el 19 de octubre, y el Sanyo Shimbun dice que le comunicaron que no se había confirmado ninguna filtración en su entorno). Los pasos siguientes siguen lo que ya están haciendo las organizaciones clientes y las orientaciones de la Comisión de Protección de Información Personal (PPC).
Confirme con Ymirlink si su entorno es uno de los cinco sistemas
Ymirlink, Inc. ha habilitado un contacto específico para el acceso no autorizado (teléfono 03-6820-0088, días laborables de 9:00 a 20:00; el contacto por correo electrónico está en su página de aviso). Compruebe si usa el plan ASP dedicado y si ha recibido un informe individual; si no lo ha recibido, póngase en contacto con ellos.
Haga una lista de lo que registró en el sistema de envío
Lo que puede verse afectado depende de lo que registró en el sistema de envío. Compruebe si solo incluía direcciones de correo o también nombres, números de socio y atributos (sector, región, etc.). Dai Nippon Printing indica que las contraseñas, los datos de tarjetas de crédito y el historial de compras no se almacenan en el sistema de envío de correo. Poder decir qué no almacena hace que su explicación a los destinatarios sea breve.
Advierta a sus destinatarios
Muchas de las organizaciones que pueden verse afectadas piden a las personas que estén atentas a correos sospechosos que digan proceder de ellas y que no abran las URL. La Prefectura de Saitama envió por correo una disculpa y una advertencia a las 669 partes que podrían verse afectadas, y Kakuyasu avisa a sus clientes de restaurantes a su vez. Haga que la advertencia sea fácil de distinguir de un falso: no incluya enlaces en el propio correo de advertencia y señale la dirección de remitente que usa.
Decida si debe notificar a la PPC y avisar a las personas afectadas
Los datos personales de una lista de correo son datos personales gestionados por la empresa que envía los correos (la parte subcontratada). Según la orientación de la PPC, una filtración (o posible filtración) que pueda haberse realizado con un fin ilícito, o que afecte a más de 1.000 personas (más de 100 en el caso de órganos administrativos, incluidas las entidades de gobierno local), debe notificarse. Notifique con rapidez en cuanto se conozca y, cuando se sospeche un fin ilícito, presente la notificación en un plazo de 60 días desde el descubrimiento. La PPC también publica un modelo de informe para incidentes en un contratista externo (Respuesta a las filtraciones y materiales útiles, en japonés).
Esta es una orientación general; si se aplica a su empresa depende de lo que Ymirlink le informe. Si no está seguro, consulte la línea de ayuda de la PPC o a un abogado u otro especialista.
Decida si pausar el envío y anuncie cuándo lo reanuda
Dai Nippon Printing ha cortado el vínculo entre el sistema de honto y el sistema de envío de correo para evitar más daños. Si usted pausa el envío, anuncie en su sitio oficial que el envío está pausado y cuándo se reanudará, para que los destinatarios puedan saber que los correos que lleguen durante la pausa son falsos.
Opinión de este sitio: cuantos menos elementos haya en el sistema de envío, más corta será la explicación
Al comparar los avisos de los clientes se aprecia una gran variación en los datos que podrían verse afectados. Dai Nippon Printing solo guardaba nombres, direcciones de correo e ID en el sistema de envío, y pudo decir que no guarda allí contraseñas, datos de tarjetas ni historial de compras. Los boletines para clientes empresariales o socios registrados, en cambio, también almacenaban nombres de organizaciones, nombres de contacto y sectores.
Para enviar correos, un sistema de envío necesita la dirección y los campos mínimos usados para personalizar. Incluso cuando el historial de compras o los atributos de los socios se usan para dirigir los envíos, merece la pena plantearse si pueden transferirse solo cuando hagan falta, para ese envío concreto.
Haga una lista de los campos registrados en el sistema de envío
Compruebe si, además de la dirección, almacena nombres, números de socio, atributos o datos relacionados con compras. Deje de registrar los campos que no use para personalizar o segmentar.
Compruebe a qué puede acceder el personal de soporte del proveedor de envío
En este caso, se obtuvieron las credenciales del personal de soporte y de control de calidad del proveedor de envío, y se usaron para intentar autenticarse en otros sistemas. En los servicios que utilice, compruebe en el contrato o en la consola de administración si el personal del proveedor tiene acceso a su entorno y si puede ver usted mismo los registros de sus acciones.
Decida de antemano quién recibe los informes de incidentes del proveedor
En este caso, las organizaciones clientes publicaron avisos tras recibir informes del proveedor de envío. Decida de antemano quién recibe ese tipo de informe y quién decide sobre la notificación a la PPC y el aviso a las personas afectadas (sobre cómo abordar los incidentes de proveedores, véase también Cuando su proveedor de alojamiento web sufre una brecha).
Fuentes (registros públicos)
Los hechos de este artículo se basan en la siguiente información pública. No hemos especulado sobre métodos de ataque no revelados. Los títulos se traducen del japonés.
- Ymirlink, Inc., "Informe sobre el acceso no autorizado a nuestros sistemas (primer informe, versión actualizada del 19 de octubre de 2026, 19:05)" (19 de octubre de 2026) — cuenote.jp
- Ymirlink, Inc., "Informe sobre el acceso no autorizado a nuestros sistemas (primer informe)" (19 de octubre de 2026, comunicación de información relevante) — ssl4.eir-parts.net
- Ymirlink, Inc., "Advertencia: cuidado con el spam que usa nuestro dominio y se hace pasar por terceros" (20 de octubre de 2026) — ymir.co.jp
- Ymirlink, Inc., página del producto Cuenote FC (diferencias entre planes, consultada el 23 de octubre) — cuenote.jp
- Dai Nippon Printing Co., Ltd., "Posible filtración de información de clientes de honto por acceso no autorizado en un contratista externo" (21 de octubre de 2026) — dnp.co.jp
- Prefectura de Saitama, "Posible filtración de información personal por acceso no autorizado en Ymirlink, Inc." (20 de octubre de 2026) — pref.saitama.lg.jp
- Kakuyasu Co., Ltd., "Acceso no autorizado al servicio de envío de correo que utilizamos y nuestra respuesta" (20 de octubre de 2026) — kakuyasu.co.jp
- NTTPC Communications, "Posible filtración de direcciones de correo y otros datos por acceso no autorizado en Ymirlink, Inc." (20 de octubre de 2026) — nttpc.co.jp
- Katabami Co., Ltd., "Acceso no autorizado al servicio de envío de correo que utilizamos" (20 de octubre de 2026) — katabami.co.jp
- The Sanyo Shimbun, "Suspensión temporal del envío de correo" (18 de octubre de 2026), "Suspensión del envío de correo (segundo informe) y acceso no autorizado en nuestro contratista" (19 de octubre), "(tercer informe)" (20 de octubre), "Reanudación del envío de correo y acceso no autorizado en nuestro contratista (cuarto informe)" (21 de octubre) — suspensión (18 de octubre) / informe 2 / informe 3 / informe 4
- Comisión de Protección de Información Personal, "Respuesta a las filtraciones y materiales útiles" — ppc.go.jp
- Cobertura de prensa (mercado de cotización y perspectivas de resultados): ITmedia NEWS (20 de octubre de 2026) — itmedia.co.jp
Historial de actualizaciones
2026-10-23: Primera versión, basada en el aviso de Ymirlink, Inc. del 19 de octubre (versión actualizada de las 19:05) y en su comunicación de información relevante, su advertencia del 20 de octubre y los avisos de seis organizaciones clientes. Este artículo se actualizará cuando se publiquen los elementos exportados, los clientes afectados y los resultados de la investigación de la causa.
Lectura recomendada
- Casos similares: Acceso no autorizado al servicio de alertas de desastres SpeeCAN RAIDEN / Filtración de direcciones de correo de JR East, View Card y JR Kyushu / Acceso no autorizado al creador de sitios web Studio
- Detectar correos falsos: ¿Qué es el phishing? / Spam desde su propia dirección de correo
- Comprobar remitentes (para operadores): Fundamentos de SPF, DKIM y DMARC
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026 (Japón y en el mundo)