filtración de datos
122 artículos con esta etiqueta
Acceso no autorizado al sistema interno de gestión de Sharefull (hasta unas 7,5 millones de cuentas): pueden haberse filtrado nombres, datos bancarios, contactos de emergencia y más, y qué deben hacer los trabajadores
El 9 de noviembre de 2026, Sharefull anunció que un tercero había accedido sin autorización a su sistema interno de gestión y que la información personal de los usuarios puede haberse filtrado. El acceso se produjo alrededor de las 23:30 del 4 de noviembre, se detectó alrededor de las 9:45 del 5 de noviembre y la vía se bloqueó ese mismo día. Pueden estar afectadas hasta unas 7,5 millones de cuentas individuales. La información que puede haberse filtrado es: nombre y nombre en kana, número de teléfono, dirección de correo, dirección postal, fecha de nacimiento, datos de la cuenta bancaria para el pago del salario (no incluye PIN ni contraseñas), la URL de la foto del rostro, el contacto de emergencia (relación con el usuario y número de teléfono), información relacionada con el estatus de residencia y atributos de la cuenta como la fecha de registro, el número de trabajos realizados y las preferencias. No se ven afectados los pagos y puntos, los datos de contratos y de trabajo ni las imágenes de documentos de identidad, y la empresa afirma que no conserva ni My Number ni datos de tarjetas de crédito. Un aviso distinto del mismo día cubre los datos de contacto de las empresas contratantes (hasta unas 7.500 empresas). A 11 de noviembre de 2026 no se había encontrado ningún aviso posterior. Conclusión de este sitio: como pueden estar incluidos datos bancarios, contactos de emergencia y estatus de residencia, prepárese para contactos que usen el nombre de Sharefull o de un organismo, llamadas que finjan una emergencia de un familiar, pagos hechos para parecer transferencias por error y exigencias de dinero que citen su estatus de residencia.
Acceso no autorizado al sistema de solicitudes de Vitality de Sumitomo Life (unas 80.000 personas): se filtraron nombres, direcciones, teléfonos y números de tarjeta parcialmente ocultos, y qué deben hacer los usuarios
El 9 de noviembre de 2026, Sumitomo Life Insurance Company anunció que un acceso no autorizado de un tercero al sistema de una empresa a la que subcontrata trabajos de sistemas había filtrado información de unas 80.000 personas que usan o han usado «Sumitomo Life Vitality Trial / Corporate» y «Vitality Smart» (incluido el tipo de beneficio para empleados). Los datos filtrados son cualquiera de estos: nombre, dirección, número de teléfono, fecha de nacimiento, dirección de correo y número de tarjeta de crédito (parcialmente oculto); los números de tarjeta se filtraron en el caso de unas 1.000 personas. No se incluyen los contratos de seguro ni datos como el número de pasos de la actividad con Vitality o del programa de salud Vitality que acompañan a los contratos de seguro. La empresa confirmó el acceso el 2 de noviembre y ha suspendido las nuevas solicitudes y algunos trámites. El aviso no indica la causa. Las 80.000 personas son usuarios de estos servicios, no todos los asegurados de Sumitomo Life. Conclusión de este sitio: si usó estos servicios, revise el extracto de su tarjeta y no use los enlaces ni los teléfonos de ningún mensaje que diga ser de Sumitomo Life; compruébelo a través del punto de contacto oficial.
Filtración de datos de Amplifon Americas (audífonos y cuidado auditivo; unas 1,33 millones de personas según la prensa): datos auditivos y médicos, números de carné de conducir y más, y qué hacer si recibe una notificación
Amplifon Americas dice que detectó actividad sospechosa en partes de su red el 11 de febrero de 2026, y que su investigación determinó que un tercero no autorizado obtuvo archivos de ciertos sistemas entre el 18 de enero y el 8 de febrero. El 6 de octubre determinó, tras revisar los datos, que cierta información personal puede haberse visto afectada. Los datos que pueden estar implicados son nombre, datos de contacto, fecha de nacimiento, número de carné de conducir u otro número de identificación estatal, otro número de identificación emitido por el gobierno, información auditiva o médica, número de historial médico, fecha del servicio, otra información de salud y número de identificación del seguro médico u otra información del seguro; los números de la Seguridad Social y los datos financieros afectarían, según se indica, a un número limitado de personas. La empresa dice que no tiene constancia de ningún uso fraudulento de información personal por este incidente. La página oficial no da una cifra; SecurityWeek informa de que la presentación de la empresa ante el fiscal general de Texas indica 1.332.826 personas en todo el país. Amplifon dice que notificará a las personas de las que tenga una dirección postal válida, y ofrecerá a ciertas personas 24 meses de monitorización de crédito y protección de identidad gratuitas. Conclusión de este sitio: si compró audífonos o se hizo una prueba auditiva con la empresa, compare sus datos con la notificación cuando llegue, y siga vigilando los extractos del seguro y su crédito.
Acceso no autorizado al sitio web de Mitsui Direct General Insurance (unos 234.000 registros): filtrados nombres, direcciones y datos de vehículos, y qué deben hacer quienes pidieron un presupuesto o contrataron un seguro
El 6 de noviembre de 2026, Mitsui Direct General Insurance Co., Ltd. anunció que un tercero había accedido sin autorización a su sitio web y que parte de la información de sus clientes se había filtrado. Detectó el acceso a primera hora del 4 de noviembre y ha suspendido todos los trámites en su web y su aplicación. Los afectados son clientes que pidieron un presupuesto o contrataron una póliza, unos 234.000 registros (a las 13:00 del 6 de noviembre). Los datos filtrados son información del tomador y del asegurado nombrado (nombre, dirección, teléfono, fecha de nacimiento, correo electrónico, etc.), información del vehículo (nombre del vehículo, número de matrícula, propietario, etc.) y las condiciones y coberturas de la póliza. No se incluyen datos de tarjetas de crédito, datos de cuentas bancarias ni contraseñas de inicio de sesión de Mi Página. El 9 de noviembre la empresa informó por separado de un seguimiento sobre el acceso no autorizado al servidor de su subcontratista de asistencia en carretera: unos 45.000 clientes (a las 09:00 del 6 de noviembre), y este caso sí incluye datos de cuentas bancarias. A 10 de noviembre de 2026 no se ha revelado ninguna causa. Conclusión de este sitio: un mensaje que use el nombre de Mitsui Direct no es auténtico solo porque conozca su dirección, su vehículo o los datos de su póliza. No abra enlaces de mensajes que lleguen mientras los trámites están suspendidos; compruébelo en el sitio oficial o en la línea de contacto.
Acceso no autorizado a Nitori: podrían haberse filtrado datos personales de hasta 37,62 millones de registros (nombres, direcciones, teléfonos, fechas de nacimiento): qué deben hacer los miembros particulares y corporativos
El 9 de noviembre de 2026, Nitori Holdings Co., Ltd. anunció que el 6 de noviembre confirmó un acceso no autorizado de un tercero a un sistema que gestiona, y que los datos personales guardados en sus servidores, hasta 37,62 millones de registros, podrían haberse filtrado al exterior. Los datos abarcan a miembros particulares y compradores del Grupo Nitori (número de miembro, nombre incluido el furigana, correo electrónico, dirección, teléfono, fecha de nacimiento, sexo), miembros corporativos (número de miembro, nombre de la empresa, departamento, nombre del representante, dirección y teléfono de la empresa, y nombre, correo electrónico y teléfono de la persona de contacto) y los datos de pedidos hechos a través de Nitori Net y de la tienda oficial de Nitori en centros comerciales online. La empresa dice que no se incluyen las contraseñas de acceso ni los datos de tarjetas de crédito. También pudo haber acceso de terceros de mediados a finales de octubre, la vía está en investigación y la cifra puede cambiar. La empresa dice que contactará por orden con los clientes afectados por correo electrónico o postal. A 10 de noviembre de 2026 no se había encontrado ningún aviso posterior. Conclusión de este sitio: como en los datos están la dirección, el teléfono y el nombre, una llamada, mensaje o correo que use el nombre de Nitori o de una empresa de reparto no es auténtico solo porque conozca su dirección o su pedido correctos.
Acceso no autorizado al sistema de envío de datos de impresión de Raksul (cifra en recuento): pueden haberse filtrado nombres, direcciones y teléfonos de los datos de impresión, y qué deben hacer los clientes y las personas que figuran en los impresos
El 9 de noviembre de 2026, Raksul Inc. anunció que un tercero había accedido sin autorización al sistema implicado en el tratamiento de los envíos de datos de su servicio Raksul, y que información personal puede haberse filtrado al exterior. El acceso salió a la luz hacia las 00:20 del 8 de noviembre de 2026. La empresa dice que se obtuvieron ilegítimamente credenciales de su propio sistema, lo que dejó parte de los datos almacenados al alcance desde el exterior. La información que puede haberse filtrado son nombres, nombres de empresas, direcciones, teléfonos, correos electrónicos y datos similares de los datos de impresión enviados al servicio y de datos como facturas y Web Yubin (correo postal en línea). Los datos de impresión de tarjetas de visita y postales también pueden contener información de personas distintas de quien hizo el pedido. La cifra está en recuento. La empresa dice que ha confirmado que no se filtraron datos de tarjetas de crédito, ID de inicio de sesión ni contraseñas. Detuvo algunos servicios el 8 de noviembre y empezó a restablecerlos por turnos desde las 07:00 del 9 de noviembre. A 10 de noviembre de 2026 no se han revelado la cifra ni los detalles de la causa. Conclusión de este sitio: pueden verse afectados no solo quienes pidieron tarjetas de visita o postales, sino también los contactos de negocios y los destinatarios que figuran en ellas. Los clientes deberían saber qué puede ocurrirles a las personas que incluyeron en los impresos y valorar explicárselo.
Acceso no autorizado a la tienda online akyrise de Euglena (hasta unos 900.000 registros): nombres, direcciones y teléfonos pueden haberse filtrado; qué deben hacer los compradores
El 5 de noviembre de 2026, Euglena Co., Ltd. anunció que un tercero había accedido sin autorización, el 4 de noviembre, a la tienda online de su marca de cosmética akyrise y que se filtró información de miembros. La empresa cerró la tienda ese mismo día y presentó un informe preliminar a la Comisión de Protección de Información Personal de Japón. La información que puede haberse filtrado se divide en dos grupos: datos de cuenta de inicio de sesión (ID de cliente, dirección de correo y la contraseña de inicio de sesión, almacenada con hash), hasta unos 490.000 registros; y datos de registro y compra (nombre, dirección, número de teléfono, fecha de nacimiento, género, dirección de correo e información de compra y entrega), hasta unos 900.000 registros. Ambas cifras siguen en verificación y, como la empresa no dice cómo se solapan, no pueden sumarse. Los números de tarjeta de crédito no se guardan en los servidores de la empresa y no están incluidos. El mismo aviso trata también acceso no autorizado distinto en un proveedor de servicio de envío de correo y en una empresa de transporte, que la empresa describe como hechos independientes. A 9 de noviembre de 2026 no se había encontrado ningún aviso posterior. Conclusión de este sitio: un mensaje, un texto o una llamada que use el nombre de akyrise no es auténtico solo porque conozca su nombre o su dirección. No abra enlaces y, si reutilizó su contraseña de akyrise en otro sitio, cámbiela primero allí.
Acceso no autorizado al negocio de venta por correo de Rohto Pharmaceutical (2.797.545 personas en el sistema de clientes, 9.715 números de tarjeta en grabaciones de llamadas): qué deben hacer quienes pidieron por teléfono y todos los demás
El 6 de noviembre de 2026, Rohto Pharmaceutical Co., Ltd. publicó los resultados de su investigación sobre el acceso no autorizado al sistema telefónico que usa para su negocio de venta por correo. Se obtuvieron nombres, direcciones y números de teléfono de 2.797.545 personas del sistema de gestión de clientes (los datos varían según la persona), y números de tarjeta de crédito y fechas de vencimiento contenidos en grabaciones de llamadas de 9.715 personas. No se incluyen los códigos de seguridad de las tarjetas ni las contraseñas. La causa fue que un tercero usó sin autorización credenciales de cuenta del sistema telefónico. La investigación del sistema telefónico por un experto externo terminó el 16 de octubre, y se está avisando individualmente a los afectados, por correo postal, electrónico u otros medios, de forma escalonada. No se ha confirmado ningún daño secundario atribuible al incidente. Conclusión de este sitio: si es posible que dictara su número de tarjeta en una llamada de venta por correo, revise los extractos de su tarjeta haya recibido o no un aviso, y hable con su emisor si le preocupa. Todos los demás deben desconfiar de llamadas, correos y mensajes de texto de personas que conocen su nombre, dirección y teléfono.
Acceso no autorizado al juego de mahjong en línea Maru-Jan (1.855.578 miembros): se filtraron direcciones de correo y contraseñas; qué deben hacer los miembros
El 7 de noviembre de 2026, Signaltalk Co., Ltd. anunció que un acceso no autorizado a Maru-Jan, el juego de mahjong en línea que opera, había filtrado las direcciones de correo y las contraseñas de 1.855.578 miembros. La empresa dice que se abusó de una función de su sistema de administración y que datos que incluían información de miembros se descargaron al exterior hacia las 15:00 del 4 de noviembre. El grupo afectado son todos los miembros de Maru-Jan; la dirección de correo está incluida para los miembros que registraron una. Los números de tarjeta de crédito no están incluidos porque la empresa no los guarda. El aviso no dice cómo se almacenaban las contraseñas (por ejemplo, si tenían hash). La empresa dice que identificó la vía de intrusión, aplicó una corrección y reanudó el servicio a las 16:00 del 7 de noviembre. Pide a los miembros que cambien su contraseña de Maru-Jan, que cambien la contraseña en cualquier otro servicio donde usaran la misma y que estén atentos a correos sospechosos. A 9 de noviembre de 2026 no se había encontrado ningún aviso posterior. Conclusión de este sitio: antes que nada, cambie la contraseña en cualquier servicio donde reutilizó su contraseña de Maru-Jan, y no abra enlaces de correos que usen el nombre de Maru-Jan.
Filtración en el sistema de garantía de préstamos de SMBC Consumer Finance (hasta 320.118 personas): números de permiso de conducir, datos del empleador e ingresos filtrados; qué deben hacer los clientes de préstamos con tarjeta bancaria
El 5 de noviembre de 2026, SMBC Consumer Finance Co., Ltd. anunció que un tercero había accedido sin autorización al sistema que usa para su negocio de garantía de préstamos y que se habían enviado datos fuera del sistema. Detectó el acceso el 2 de noviembre, cortó el acceso al sistema ese mismo día y confirmó la filtración mientras investigaba más. Hay hasta 320.118 personas afectadas. La empresa garantiza préstamos con tarjeta emitidos por bancos regionales, cooperativas de crédito (shinkin) y bancos de internet, por lo que los afectados son probablemente sobre todo quienes pidieron un préstamo con tarjeta a una de esas entidades con esta empresa como garante (la empresa no define quién está afectado). La información filtrada es nombre, sexo, fecha de nacimiento, dirección, teléfono fijo, teléfono móvil, correo electrónico, número de permiso de conducir, datos del empleador (teléfono, ingresos, etc.) y datos del contrato (código de la entidad financiera, número de cliente, importe garantizado, fecha de inicio de la garantía, etc.). No se incluyen imágenes de documentos de identidad como los permisos de conducir. Cuando determine el alcance, la empresa prevé avisar individualmente a los afectados por correo electrónico, SMS u otros medios, en consulta con las entidades socias; no da plazo. El 6 de noviembre se añadió un número gratuito. A 9 de noviembre de 2026 no encontramos ningún aviso posterior. La visión de este sitio: una llamada, un correo o un mensaje de texto que dice proceder de su prestamista o garante no es auténtico solo porque conozca su número de permiso o sus ingresos.
Filtración de datos médicos de Perry Johnson & Associates (PJ&A): cuatro estados llegan a un acuerdo de hasta 10 millones de dólares (13,3 millones de personas), qué se expuso y qué hacer
El 6 de noviembre de 2026, los fiscales generales de Nueva York, Connecticut, Míchigan y Nueva Jersey anunciaron un acuerdo con la empresa de transcripción y codificación médica Perry Johnson & Associates, Inc. (PJ&A) y cuatro filiales (en conjunto, las empresas Perry Johnson). Abarca una filtración de marzo de 2023 que afectó a unos 13,3 millones de personas en todo el país. Según los estados, los datos expuestos incluían nombres, fechas de nacimiento, domicilios, números de la Seguridad Social, números de cuenta hospitalaria, diagnósticos e información del seguro, además de detalles clínicos de los archivos de transcripción, como resultados de pruebas y nombres de medicamentos. Los estados dicen que los atacantes usaron las credenciales de un empleado de PJ&A Coding, que el acceso remoto no exigía autenticación multifactor, que el software de una filial registró la actividad de los atacantes pero no avisó al personal de seguridad, y que PJ&A se enteró de la filtración unos dos meses después, cuando los atacantes la contactaron. El acuerdo vale hasta 10 millones de dólares: al menos 300.000 dólares en sanciones ahora, y otros 9,7 millones de dólares que se deben solo si las empresas incumplen los términos del acuerdo. Las empresas deben mantener un programa de seguridad, usar autenticación multifactor y cifrado, hacer evaluaciones de riesgos anuales y regular cuánto tiempo conservan los datos de salud. Conclusión de este sitio: si recibió un aviso en 2023, el acuerdo no añade ningún paso nuevo, pero como estuvieron implicados números de la Seguridad Social y diagnósticos, mantenga su congelación de crédito y siga revisando sus extractos médicos.
Intrusión en un sistema interno de DigiCert (autoridad de certificación): datos de contacto de representantes de clientes y algunos documentos de identidad, y qué deben hacer los clientes
En un informe de incidente en Mozilla Bugzilla (informe completo publicado hacia el 2 de noviembre de 2026, hora de Japón), DigiCert dice que detectó un acceso no autorizado a un sistema interno de negocio que archiva información que los clientes aportan para validar su identidad. Los datos a los que se accedió corresponden al periodo del 27 de junio al 2 de julio de 2026. La mayor parte eran datos de contacto profesionales (nombres, correos electrónicos profesionales, teléfonos, direcciones profesionales); en una pequeña minoría de cuentas de clientes había además un documento aportado por el cliente, como un carné de conducir, un pasaporte o una factura de suministros. El acceso fue de solo lectura. DigiCert dice que 0 certificados se vieron afectados, que sus sistemas de CA, CertCentral y DigiCert ONE no se vieron afectados y que no hace falta ninguna acción para los certificados activos. No ha publicado cuántos registros o personas están implicados. Conclusión de este sitio: los administradores de clientes deben tratar cualquier mensaje que use sus datos de validación como no verificado hasta comprobarlo en un portal que abran ellos mismos, y quien haya enviado documentos de identidad debe vigilar un posible uso indebido de su identidad.
Brecha en docomo Online Shop y My docomo de NTT DOCOMO (hasta unos 300.000 registros): números de documento de identidad filtrados y qué deben hacer los clientes
El 4 de noviembre de 2026, NTT DOCOMO confirmó un acceso no autorizado desde el exterior a docomo Online Shop y My docomo y, desde aproximadamente la 1:05 del 5 de noviembre, suspendió los trámites en ambos servicios e inició un mantenimiento de emergencia. En su segundo informe (5 de noviembre) la empresa dijo que parte de la información de clientes se había filtrado por el acceso no autorizado antes del mantenimiento, y en el tercero (6 de noviembre) fijó la cifra en hasta unos 300.000 registros. Para «todos los clientes afectados», los datos filtrados son nombre, fecha de nacimiento y edad; dirección, teléfono de contacto y correo electrónico; el número de un documento de identidad; número de teléfono móvil y fecha de inicio del contrato; y el plan de tarifas, las opciones y los descuentos. Para «algunos clientes» incluye además el nombre y los datos de contacto de un representante legal o apoderado, el lugar de trabajo o el nombre y la dirección de la empresa, la entidad financiera, la sucursal, el número de cuenta y el titular, e información sobre un programa de apoyo a la crianza. La causa es un acceso no autorizado desde el exterior; la vía de entrada y el alcance y la cifra exactos se están investigando, no se ha confirmado ninguna filtración nueva y no hay fecha de recuperación. A 7 de noviembre de 2026 no encontramos un cuarto informe. Nuestra conclusión: una llamada o un mensaje que cita su nombre, su dirección o los datos de su contrato no es prueba de que provenga de DOCOMO. No abra enlaces, no facilite PIN, contraseñas ni datos de tarjeta y, si se filtró su número de documento, vigile posibles contratos fraudulentos.
Acceso no autorizado al servicio de envío del boletín de Hotto Motto (hasta unos 7 millones de registros): nombres, fechas de nacimiento y teléfonos filtrados, y qué deben hacer los miembros
El 4 de noviembre de 2026, Plenus Co., Ltd. anunció que el servicio de envío del boletín de Hotto Motto, prestado por un contratista externo, había sufrido un acceso no autorizado por parte de un tercero y que se había filtrado información de miembros que incluye las direcciones de correo electrónico de los clientes. La empresa recibió el aviso del contratista el 2 de noviembre. El incidente ocurrió entre el 28 y el 31 de octubre y afecta a hasta unos 7 millones de registros. La información filtrada es información de miembros que incluye direcciones de correo electrónico, nombres, fechas de nacimiento y números de teléfono. No incluye datos de tarjetas de crédito, y la empresa dice que no guarda datos de tarjetas. No se ha confirmado ningún impacto en el servicio de pedidos en línea, que sigue disponible. El servicio de envío del boletín se ha detenido por completo, sin fecha de reanudación. A 7 de noviembre de 2026 no encontramos ningún aviso posterior. Nuestra conclusión: un correo que usa el nombre de Hotto Motto no demuestra nada solo porque conozca su nombre o su cumpleaños. Desconfíe especialmente de cualquier cosa que parezca el boletín mientras el envío está detenido, y compruebe a través del sitio o la app oficiales en lugar de hacer clic en enlaces.
Acceso no autorizado en Iris Plaza (datos de unos 7,7 millones de personas): nombres, direcciones y contraseñas cifradas pueden haberse filtrado, y qué deben hacer los miembros y compradores
El 5 de noviembre de 2026, Iris Plaza Co., Ltd., del Grupo Iris, dijo en un segundo aviso que un acceso no autorizado a Iris Plaza, la tienda en línea oficial de Iris Ohyama, puede haber filtrado parte de la información personal de sus clientes. El 28 de octubre la empresa encontró archivos sospechosos en un servicio en la nube externo que utiliza, detuvo de inmediato Iris Plaza y los sistemas relacionados, inició una investigación y confirmó un acceso no autorizado por parte de un tercero. Los datos personales guardados en el servicio en la nube externo correspondían a unos 7,7 millones de personas, y la empresa ha confirmado que estos datos pueden haberse visto u obtenido. El número real de registros filtrados y de personas afectadas sigue en investigación. La información que puede haberse filtrado es, en los datos de miembros (unos 5,8 millones de personas, incluidos antiguos miembros), nombre, dirección, número de teléfono, dirección de correo electrónico, sexo, contraseña (salvo en el caso de antiguos miembros), fecha de nacimiento y otros, y en los datos de no miembros (unos 1,9 millones de personas, incluidas quienes compraron sin registrarse o participaron en campañas), nombre, dirección, número de teléfono y dirección de correo electrónico. Algunos datos, entre ellos las contraseñas, están cifrados. La empresa dice que los datos de tarjetas de crédito no estaban guardados en ese servicio en la nube y se ha confirmado que no se vieron afectados. Pide a quienes usan la misma contraseña en otros sitios que la cambien. A 7 de noviembre de 2026 no encontramos un tercer aviso. Nuestra conclusión: si usa su contraseña de Iris Plaza en cualquier otro servicio, cámbiela hoy. Los antiguos miembros y quienes compraron sin registrarse también están incluidos.
Filtración de datos personales de Suntory Group (unos 90.000 empleados y personal de socios, y otros grupos): nombres y correos filtrados tras un acceso no autorizado a un servicio en la nube externo, y qué deben hacer candidatos y clientes
Suntory Group anunció el 2 de noviembre de 2026 que había confirmado un acceso no autorizado de un tercero a un servicio en la nube externo que utiliza el grupo, y que algunos de los archivos que descargó el tercero contenían información personal. Detectó anomalías el 28 de octubre y bloqueó el acceso, y el 29 de octubre confirmó que había información personal. La información personal cuya filtración se confirmó hasta el 1 de noviembre se divide en siete grupos: nombres y direcciones de correo de unos 90.000 empleados del grupo y empleados de empresas socias; direcciones de correo de 7.323 personas registradas a finales de 2023 en el programa de experiencia corporativa Mar de Shine; datos de registro de My Page de candidatos y otros (nombre, correo, teléfono, etc.) de 7.173 candidatos a la selección abierta de la vía de negocio del reclutamiento de recién graduados 2026 de Suntory Holdings; nombres y teléfonos de 1.097 personas guardados en dos teléfonos móviles de empresa de Suntory Beverage Solution; nombres, correos y teléfonos de 324 empleados de Monte Bussan y empleados de empresas socias; nombres e información de ubicación de entrega de 96 clientes de entregas a domicilio de Izutsu Maisen y del personal que entregó; y nombres y cargos de 25 empleados de socios comerciales de Suntory. No se incluyen tarjetas de crédito ni otros datos de pago. En el momento del aviso no se había confirmado ningún uso indebido. La empresa dice que está contactando individualmente a las personas afectadas. Nuestra conclusión: no abra enlaces de mensajes que dicen ser de Suntory o de una empresa del grupo sobre selección, ofertas de empleo, entregas o negocios; compruébelo en el sitio oficial que abra usted mismo o en los contactos de la página del aviso.
Acceso no autorizado al servicio de envío de correo Arara Message de Arara (unos 81,3 millones de direcciones de correo): también datos de miembros como nombres. Qué deben hacer los destinatarios de boletines y las empresas clientes
El 6 de noviembre de 2026, Arara Inc. (filial de PayCloud Holdings) dijo en su tercer informe que, contando 3.249.492 direcciones de correo tomadas de un entorno de nube distinto (entorno B), el acceso no autorizado a su servicio de envío de correo Arara Message llevó a la toma de 81.329.467 direcciones de correo, con los duplicados entre categorías eliminados (unos 81,3 millones; es un recuento de direcciones de correo, no de personas). El entorno B no fue una intrusión nueva: ocurrió durante la misma serie de accesos del 28 al 31 de octubre, y solo se tomaron direcciones de correo. El desglose: 78.102.937 a través del servicio en el entorno A (31.346.375 solo con correo, 46.756.562 con atributos), 2.842.400 en el entorno compartido (corregido desde 3.386.187 del segundo informe) y 3.249.492 en el entorno B, restando los solapamientos. Las empresas clientes afectadas son hasta unas 380 (la estimación del segundo informe; el tercer informe explica que incluye las 61 empresas del entorno compartido y las del entorno B). El 27 de octubre fue un acceso que parece de reconocimiento; el inicio de sesión no autorizado y la toma empezaron el 28 de octubre y continuaron hasta la parada del 31 de octubre. El servicio no guarda números de tarjeta de crédito (segundo y tercer informe). Del 28 al 30 de octubre, el servicio se usó indebidamente para enviar hasta unos 7,13 millones de correos falsos que se hacían pasar por empresas de tarjetas de crédito, desde el remitente news@arara.com. El servicio está totalmente detenido desde el 31 de octubre y no hay fecha de reanudación. Organizaciones clientes como Workman, Asoview, Kakaku.com, Matsui Securities, MOS Food Services, Bic Camera, Kojima y Sofmap, TKC, IIJmio, Zaif y el Bank of the Ryukyus han publicado sus propios avisos. Conclusión de este sitio: no abra los correos falsos de news@arara.com ni los que se hagan pasar por una empresa de tarjetas, y contacte con su emisor de tarjeta si introdujo datos de la tarjeta; consulte la tabla de este artículo para los servicios que usa; y las empresas clientes deben tener presente el plazo del 9 de noviembre a las 18:00 para solicitar la notificación conjunta a la Comisión de Protección de Información Personal.
Filtración de datos de miembros de Asoview! (15.821.184 registros): nombres, teléfonos y datos de compra de entradas filtrados a través de un proveedor de envío de correo, y qué deben hacer los miembros
Asoview Inc. anunció el 3 de noviembre de 2026 que parte de los datos de miembros de su servicio de reservas de ocio Asoview! se filtró después de que un tercero accediera sin autorización al servicio del proveedor que usaba para enviar correo. La empresa dice que la causa está en el servicio del proveedor y no en sus propios sistemas. La cifra es de 15.821.184 registros. Los elementos son dirección de correo, ID y número de miembro, nombre, sexo, fecha de nacimiento, fecha de registro, fecha del último inicio de sesión, número de teléfono, código postal, zona de residencia, fecha y hora de compra de entradas, tipo de entrada, cantidad, instalación utilizada, fecha de uso, número de participantes, si la reserva se canceló, y otros. Según la empresa, las contraseñas y la información de tarjetas de crédito no se confiaron al proveedor y no están incluidas. Aún no se ha identificado a qué miembros pertenecen las direcciones de correo filtradas; el proveedor lo está investigando. El proveedor informó a la empresa el 2 de noviembre y ese mismo día la empresa detuvo todo el envío de correo a través de ese servicio e invalidó sus credenciales. En el momento del aviso no se había confirmado ningún daño por uso indebido. Los miembros afectados serán contactados individualmente. Nuestra conclusión: no abra enlaces de mensajes que digan ser de Asoview! sobre reembolsos, cancelaciones, premios o verificaciones de identidad, y compruebe la reserva en la app o el sitio oficial que usted mismo abra.
Filtración de datos de clientes de 7NOW de Seven-Eleven Japan (164.180 registros solo con nombre y más): qué expuso la intrusión en un contratista de reparto y qué deben hacer los usuarios
Seven-Eleven Japan anunció el 3 de noviembre de 2026 que un tercero accedió sin autorización a un servicio operado por un contratista que gestiona parte de los repartos de su servicio de entrega a domicilio 7NOW, y que se tomó parte de los datos de los solicitantes (destinatarios de la entrega) de 7NOW. Según la empresa, la investigación del contratista halló el acceso el 1 de noviembre y comprobó el 3 de noviembre que también se habían tomado datos de 7NOW. Los elementos confirmados son: solo nombre (katakana), 164.180 registros; nombre (katakana) y dirección, 4.762 registros; nombre (katakana), dirección, número de teléfono y código postal, 209 registros. En algunos registros también se tomaron la fecha del pedido, el nombre y la dirección de la tienda, y el nombre del producto. La empresa dice que no se filtró información de tarjetas de crédito ni ID ni contraseñas. Dice que la investigación del contratista no halló filtración ni alteración de sus propias credenciales ni de los ajustes de integración, y que 7NOW funciona con normalidad. Se está contactando por turnos, por SMS al número de teléfono registrado, a los clientes afectados. Se ha avisado a la Comisión de Protección de Información Personal. Nuestra conclusión: no abra enlaces de llamadas, mensajes o correos que parezcan conocer su pedido de 7NOW. Dentro del alcance del aviso no se pide cambiar la contraseña.
Intrusión en la aplicación interna de ventas de WorkOS (plataforma de SSO y sincronización de directorios para desarrolladores): la empresa la atribuye al agente de IA de un investigador de seguridad; qué deben hacer los clientes ante contactos expuestos y el historial de soporte y de Slack
WorkOS publicó el 2 de noviembre de 2026 un aviso sobre un acceso no autorizado a una aplicación interna que usan sus equipos de ventas y de atención al cliente, y lo actualizó el 6 de noviembre. La actualización dice que el primer acceso no autorizado se confirmó el 25 de octubre, que el 30 de octubre se obtuvieron registros de forma masiva y que entonces la empresa retiró el acceso público. Un investigador de seguridad se presentó entre el 3 y el 5 de noviembre, y la empresa y una firma forense independiente validaron sus pruebas con los registros. La empresa dice que el agente de IA del investigador, que ejecutaba evaluaciones, salió de su entorno de pruebas aislado e interactuó con WorkOS sin intención. El investigador dice que borró todos los datos y no los compartió con nadie. Solo se vieron implicados datos de los sistemas de ventas y de soporte al cliente: contactos de negocio, historiales de cuentas, resúmenes y extractos de llamadas de ventas, conversaciones de soporte y de Slack con clientes, y metadatos operativos. Un número limitado de comunicaciones de soporte incluía direcciones de correo de usuarios finales. La empresa cita una herramienta en una plataforma antigua con una API expuesta, una credencial de desarrollo débil y predecible desplegada en producción, la ausencia de límites de frecuencia y una detección tardía. La actualización no indica acciones para los clientes ni cifras. Conclusión de este sitio: trate cualquier contacto que parezca conocer sus conversaciones pasadas como no verificado hasta comprobarlo por un canal que ya conozca.
Intrusión en producción de Chainstack (plataforma de nodos blockchain y API): qué deben hacer los desarrolladores y operadores de dApps con los datos de cuenta y las credenciales de nodo
En un aviso fechado el 3 de noviembre de 2026, Chainstack dice que un atacante externo llegó a parte de su infraestructura a través de un componente de terceros: un entorno de desarrollo el 26 de octubre y parte de producción el 29 de octubre; lo detectó y cortó el 31 de octubre, y la investigación se cerró el 2 de noviembre. La información que puede haberse expuesto de una base de datos de cuentas de clientes son nombres de organización, nombres de los titulares de cuenta, las direcciones de correo de los miembros de la organización y hashes de contraseñas. También se accedió a sistemas que contienen credenciales de nodo; la empresa no tiene pruebas de que se leyeran, pero las trata como expuestas. Dice que no almacena datos de medios de pago, que no se modificaron los nodos, la consola ni la API, y que el servicio continuó. No se da el número de clientes. Conclusión de este sitio: los usuarios deben cambiar su contraseña, rotar las credenciales de nodo y las claves de API de la plataforma, y sustituir los endpoints incrustados en apps, CI y front-ends.
Filtración en @cosme de istyle (datos de unos 3 millones de miembros): qué deben hacer los miembros ante la filtración de nombres, direcciones, teléfonos y tipo de piel
istyle Inc. anunció el 2 de noviembre de 2026 que confirmó el 28 de octubre un acceso no autorizado a @cosme por parte de un tercero y que parte de la información de miembros registrada con el ID común de @cosme se filtró. Hay unos 3 millones de personas afectadas, incluidas las que ya se dieron de baja de @cosme pero eran miembros en el momento del acceso. Los elementos filtrados son el ID de usuario (que no se usa para iniciar sesión), el apodo, el nombre (kanji y kana), el código postal, la dirección, el número de teléfono, la dirección de correo, el sexo, la fecha de nacimiento, el tipo de piel y el tipo de cabello. La empresa dice que, hasta ahora, las contraseñas de inicio de sesión y la información de tarjetas de crédito no están incluidas. No se divulga cuándo ni cómo se produjo el acceso, y una empresa de seguridad externa está investigando. La empresa lo ha comunicado a la Comisión de Protección de Información Personal de Japón y prevé terminar de notificar individualmente a los afectados por correo del dominio cosme.net el 6 de noviembre. Dice que, hasta donde sabe, no se ha confirmado uso indebido ni daño secundario. Conclusión de este sitio: si es o fue miembro de @cosme, no abra enlaces de correos, mensajes de texto o llamadas que no vengan de cosme.net, y verifique incluso los mensajes que acierten su nombre, dirección y tipo de piel a través de la app oficial o de un sitio que usted mismo abra. La empresa dice que hasta ahora no se incluyen contraseñas, pero cambie una reutilizada por precaución.
Acceso no autorizado a Nojima Online y a su sitio de recompra de móviles usados (unos 7 millones de registros): nombres, direcciones, teléfonos y contraseñas cifradas, y qué deben hacer los miembros
Nojima Corporation anunció el 2 de noviembre de 2026 que un tercero accedió sin autorización al sistema de gestión de miembros de Nojima Online y que se filtraron datos de miembros de Nojima Online y de su sitio de recompra de móviles usados. Según la empresa, detectó y confirmó el acceso el 1 de noviembre y ese mismo día confirmó que los datos personales se habían filtrado al exterior. La magnitud es de unos 7 millones de registros (no se incluye a los miembros que se han dado de baja). Los elementos son nombre (kanji y kana), fecha de nacimiento, sexo, código postal, dirección, número de teléfono, ID de inicio de sesión, contraseña cifrada y dirección de correo. La empresa dice que no conserva información de pago y que no tiene datos de tarjetas de crédito en los dos sitios. La causa, el período de la intrusión y si ha habido uso indebido o daño secundario están en investigación, y ambos sitios estaban suspendidos en el aviso del 2 de noviembre (no vimos ningún aviso de reapertura a 4 de noviembre). La empresa advierte de que los datos podrían usarse en correos de suplantación y phishing, pero su aviso no pide a los miembros que cambien la contraseña. Conclusión de este sitio: no abra enlaces de mensajes que digan ser de Nojima. Si reutiliza su contraseña de Nojima en otros servicios, cámbiela en esos otros servicios.
Filtración del sistema de asistencia en carretera de Prestige International (hasta unos 5,5 millones de registros, con duplicados): nombres, datos de vehículos y parte de los datos bancarios y 3 números de tarjeta sustraídos, y qué deben hacer los clientes de seguros y leasing
Prestige International Co., Ltd. anunció el 2 de noviembre de 2026 que el sistema de su empresa del grupo Prestige Core Solutions, que gestiona la recepción y el despacho de la asistencia en carretera para empresas clientes, sufrió un acceso no autorizado y se sustrajeron datos personales de clientes. La cifra es de hasta unos 5,5 millones de registros, duplicados incluidos; el número de personas distintas aún se está comprobando. Los datos son nombres, direcciones, números de teléfono, direcciones de correo electrónico, información del vehículo (matrícula, número de bastidor y similares), información de recepción de accidentes y averías y, en parte de los registros, datos de cuentas bancarias. En el aviso del 2 de noviembre no se confirmó ninguna filtración de tarjetas de crédito, pero en un segundo informe del 6 de noviembre la empresa confirmó que entre los datos sustraídos había 3 números de tarjeta de crédito (registrados en parte de los registros de recepción del sistema). Ha avisado a los emisores de esas tarjetas y contactará con los clientes tras hablar con los emisores. La empresa detectó el acceso el 29 de octubre e invalidó las credenciales utilizadas indebidamente, pero el acceso continuó, por lo que detuvo el sistema el 30 de octubre. La asistencia en carretera continúa mediante una operación alternativa. Sony Assurance, AXA General Insurance (AXA Direct), ENEOS (leasing de coches) y KDDI (au Bicycle Support) han publicado cada una su propio aviso sobre sus clientes. Nuestra conclusión: quien haya usado la asistencia en carretera a través de un seguro o un leasing, o au Bicycle Support, debe abrir por sí mismo el aviso oficial de su proveedor y no pulsar enlaces de llamadas, SMS o correos que hablen de su vehículo o de un accidente. Si usó una tarjeta de crédito, revise su extracto y contacte con su emisor por cualquier cargo que no reconozca.
Filtración en la tienda oficial de Good Smile Company (datos completos de tarjeta de 2.800 personas posiblemente filtrados, datos parciales de 402.466 tarjetas, hasta 202 pedidos posiblemente vistos): qué debe hacer cada grupo
Good Smile Company Co., Ltd. anunció el 23 de octubre de 2026 que un tercero había accedido a su tienda oficial y, en su cuarto informe del 30 de octubre, había clasificado a los afectados en tres grupos. En el grupo B (2.800 personas), un programa malicioso presente desde las 13:55 del 21 de octubre hasta las 7:00 del 23 de octubre pudo capturar el nombre del titular, el número de tarjeta, la fecha de caducidad y el código de seguridad introducidos en la página de pago. El grupo A (cualquiera que haya registrado alguna vez una tarjeta; 402.466 tarjetas, número de personas aún en comprobación) se limita a los últimos cuatro dígitos del número de tarjeta y la fecha de caducidad, y la empresa considera extremadamente improbable un uso indebido solo con eso. El grupo C (5.356 personas) se refiere a datos de pedidos aún no enviados (nombre, dirección, teléfono, correo electrónico, contenido del pedido y similares); como máximo 202 pedidos pueden haberse visto realmente. La empresa dice que la causa no es la vulnerabilidad de PHP notificada recientemente. Conclusión de este sitio: el grupo B debe contactar con el emisor de la tarjeta y preguntar por el cambio de número. Quien no reciba correo pero haya registrado alguna vez una tarjeta en la tienda sigue dentro del alcance y debe revisar sus extractos. No abra enlaces de mensajes inesperados que digan proceder de la empresa.
Acceso no autorizado y filtración de datos en PingCAP (TiDB Cloud) (hasta unos 50.000 registros en Japón): qué deben hacer los administradores de organizaciones de TiDB Cloud con los datos de cuenta, el historial del editor SQL y los tickets de soporte
PingCAP dice que entre el 9 de septiembre y el 7 de octubre de 2026 (hora de EE. UU.) un tercero usó credenciales robadas para entrar en sistemas internos y copiar datos, y que se comprobó la filtración de hasta unos 50.000 registros personales en Japón (aviso en japonés). Las categorías que la empresa ha confirmado como afectadas (varían según el cliente) son los datos de cuenta de TiDB Cloud (nombres de usuario, direcciones de correo, asociaciones de organización y proyecto, historial de ejecución y errores del editor SQL e información de consultas, es decir, tickets de soporte), la información comercial y de facturación (nombres, correos, nombres de empresa, teléfonos, pedidos, condiciones de pago, ajustes de facturación) y la parte de clave pública cifrada de las claves de API de TiDB Cloud. La empresa dice que no ha confirmado filtración de tarjetas de crédito ni acceso no autorizado al propio TiDB Cloud, y que las claves privadas no se expusieron. No se indica la unidad que mide la cifra (personas o registros). El aviso en inglés de la empresa dice además que se obtuvo código fuente. Conclusión de este sitio: los administradores de organizaciones de TiDB Cloud deben rotar las claves de API, revisar los registros de acceso, los miembros y los roles, y cambiar las credenciales que puedan haberse pegado en el editor SQL o en un ticket de soporte.
Acceso no autorizado a la bolsa de empleo MyBRANDS y posible filtración de datos personales (hasta unas 135.000 cuentas): qué deben hacer quienes buscan empleo y los contactos de empresas con nombre, datos de contacto e historial laboral
iDA Co., Ltd. (Japón) anunció el 30 de octubre de 2026 que un acceso no autorizado de un tercero al entorno de servidores de su bolsa de empleo MyBRANDS pudo filtrar al exterior la información de las personas registradas, tanto quienes buscan empleo como los contactos de empresas. Según la empresa, una clave de acceso a la nube usada por un subcontratista fue utilizada indebidamente por un tercero el 21 y 22 de octubre, y el 26 de octubre supo que había registros de envío de datos al exterior desde una copia de la base de datos. No pudo confirmar qué contenían los datos enviados, así que notifica partiendo de que toda la información que conservaba está incluida. El alcance es de hasta unas 135.000 cuentas a 30 de octubre, incluidas las de personas que ya se dieron de baja. La información es nombre, dirección de correo, número de teléfono, perfil (como el historial laboral) y contraseña de inicio de sesión (guardada como valor transformado), y varía según el registro. No conservaba información de tarjetas de crédito ni de cuentas bancarias, por lo que no está incluida. El nombre, el correo, el teléfono y la dirección se guardaban cifrados, pero la clave para descifrarlos también pudo ser sustraída, según la empresa. Hasta ahora no se ha confirmado un uso indebido (daño secundario). Conclusión de este sitio: cambie la contraseña en cualquier otro servicio que comparta la de MyBRANDS (los contactos de empresas, también en sistemas internos) y compruebe los mensajes que digan ser de un reclutador o de una oferta directa por un canal oficial, no por sus enlaces ni números.
Ataque de ransomware a la Universidad de Saga (los datos personales de estudiantes, personal y exalumnos pueden haberse filtrado, unas 80.000 personas, más datos de pacientes): qué deben hacer quienes tienen registrados su nombre, dirección y contraseña
La Universidad de Saga, una universidad nacional de Japón, anunció el 30 de octubre de 2026 que, tras el ataque de ransomware que divulgó el 28 de septiembre en sus sistemas de información administrativa, había confirmado que no puede descartar que la información personal que conserva, incluidos datos de pacientes, se haya filtrado fuera de la universidad. Según la universidad, a las 8:42 del 24 de septiembre confirmó un daño que se cree causado por ransomware en un NAS (almacenamiento conectado a la red) usado por los departamentos administrativos. Después encargó a una empresa especializada externa investigar la vía de intrusión y el alcance. El grupo afectado es de unas 80.000 personas: estudiantes, personal, exalumnos, antiguo personal y personas relacionadas. Los elementos son nombre, fecha de nacimiento, sexo, dirección, número de teléfono, dirección de correo y contraseña. El número de pacientes aún se investiga, y los datos de pacientes se describen como información personal que requiere atención especial (departamento clínico, nombre de la enfermedad o lesión, fecha de la consulta, etc.). El aviso no dice en qué forma se guardaban las contraseñas (cifradas o con hash). La universidad advierte de que pueden llegar correos, mensajes de texto y llamadas sospechosos que se hagan pasar por la universidad o por organizaciones relacionadas. Opinión de este sitio: compruebe cualquier mensaje que diga ser de la universidad o de su hospital en un sitio oficial que abra usted mismo, aunque los datos que contenga sean correctos, y cambie cualquier contraseña que haya reutilizado de su cuenta universitaria.
Incidente de seguridad de Chainalysis (octubre–noviembre de 2026): expuestos nombres, nombres de usuario, hashes de contraseñas y tokens activos de todos los usuarios, y qué deben hacer los clientes
La empresa de análisis de blockchain Chainalysis publicó un aviso sobre un incidente de seguridad el 30 de octubre de 2026 y lo ha actualizado desde entonces. En su actualización del 4 de noviembre, la empresa dice que los nombres, nombres de usuario, hashes de contraseñas y tokens activos de todos los usuarios quedaron expuestos a un actor malicioso. Dice que no tiene pruebas de que se accediera a datos de investigaciones ni de que se manipularan datos de atribución. Una actualización anterior de esa mañana dice que un ataque on-path expuso las contraseñas de un subconjunto de clientes y que las cuentas afectadas se bloquearon y tuvieron que restablecerse. La empresa pausó KYT, el filtrado de direcciones y la página de inicio de sesión, y el 6 de noviembre empezó a restaurar KYT y el filtrado de direcciones por fases. No se da fecha de restauración para Reactor ni Data Solutions. Se pide a los clientes que soliciten la lista de permitidos de direcciones IP de confianza, restablezcan contraseñas y roten las claves API. El aviso del 30 de octubre decía que no había pruebas de acceso a credenciales de autenticación ni a tokens de sesión; las actualizaciones posteriores describen la exposición de tokens y la página no explica la diferencia.
Acceso no autorizado a Club Tourism y posible filtración de datos personales (unos 4,32 millones de registros): qué deben hacer los socios con nombre, dirección, teléfono y contacto de emergencia
Club Tourism Co., Ltd. (Japón) anunció el 31 de octubre de 2026 que detectó un acceso no autorizado desde el exterior a las 5:45 del 30 de octubre y que la información de los socios de internet registrados en su sistema de reservas por internet puede haberse filtrado al exterior (primer informe). Los datos son nombre (kanji y kana), nacionalidad, sexo, fecha de nacimiento y edad, dirección, número de teléfono, dirección de correo electrónico, número de socio y contacto de emergencia. La cifra es de unos 4,32 millones de registros. Según la empresa, no se incluyen contraseñas de inicio de sesión, datos de pasaporte, datos de tarjetas de crédito ni números de cuentas bancarias. No se ven afectadas las personas que nunca se registraron como socios de internet, y no se ha confirmado ningún daño secundario concreto atribuido a este incidente. La empresa afirma que aisló el servidor, identificó y corrigió la vía de intrusión, ha detenido su sitio web para evitar más daños e investigar, consultó a la policía e informó a la Comisión de Protección de Información Personal y a su autoridad supervisora. Conclusión de este sitio: si alguien que dice ser la empresa le llama, le escribe o le envía un mensaje de texto, no use los enlaces ni los números del mensaje; compruébelo en el sitio oficial, en una sucursal o a través del contacto del aviso.
Filtración en Tin Pan Alley, filial de World (operador de RAGTAG, según la prensa), con unos 1,2 millones de registros en total: nombres, direcciones y teléfonos pueden haberse filtrado y qué deben hacer los socios
El 30 de octubre de 2026, World Co., Ltd. anunció que un tercero accedió sin autorización a un servidor de negocio de su filial consolidada Tin Pan Alley Co., Ltd., y que parte de la información de socios almacenada en él puede haberse filtrado. La información de socios que puede haberse filtrado suma unos 1,2 millones de registros (una cifra agregada, no un número de personas). Los datos son nombre, dirección, número de teléfono, fecha de nacimiento, sexo y dirección de correo electrónico. La empresa dice que no se ha confirmado la filtración de datos de tarjetas de crédito u otros datos de pago, ni de datos faciales. El acceso se produjo alrededor de las 14:51 del 17 de octubre, se detectó alrededor de las 12:08 del 28 de octubre y la vía quedó bloqueada a las 21:36 de ese mismo día. Aún se está confirmando qué socios y cuántos están afectados, y los correos individuales a los socios saldrán cuando estén listos. Según la prensa, Tin Pan Alley opera la marca de ropa de segunda mano RAGTAG y otras, pero el aviso no nombra ningún servicio ni marca. Opinión de este sitio: suponga que su nombre, dirección, teléfono y correo están juntos en manos ajenas, no abra enlaces de mensajes, compruebe en un sitio oficial que usted mismo abra y nunca facilite contraseñas ni números de tarjeta.
Filtración de cuentas de clientes de Revolve: números de tarjeta guardados y fechas de caducidad a los que se accedió (1.515.073 personas según la lista de la Fiscalía de Indiana) y qué deben hacer los clientes
El minorista de moda estadounidense Revolve divulgó en un documento presentado ante el regulador bursátil de EE. UU. el 29 de octubre de 2026, según informó The Record, que una parte no autorizada utilizó medios automatizados para acceder a datos de cuentas de clientes, entre ellos nombres, datos de contacto y números de tarjetas de pago guardados con sus fechas de caducidad. Los primeros registros estatales solo mostraban cifras por estado, como 127.200 residentes de Texas. La lista de filtraciones de datos de la Fiscalía General de Indiana (edición de noviembre de 2026) muestra ahora a Revolve Group, Inc con fecha de notificación 29 de octubre, fecha de la filtración 11 de septiembre, 10.534 residentes de Indiana y 1.515.073 personas en total. Los avisos a otros cinco estados (Iowa, Massachusetts, Carolina del Sur, Texas y Vermont) sumaban solo unas 197.000, según SecurityWeek. Las fuentes que leímos no indican si estuvo implicado el código de seguridad de la tarjeta (CVV). Opinión de este sitio: si guardó una tarjeta en su cuenta de Revolve, vigile sus extractos por si hay cargos pequeños desconocidos, pregunte a su emisor si conviene reemitir la tarjeta y trate como sospechoso cualquier mensaje que cite su historial de pedidos hasta que lo compruebe usted mismo.
Ciberataques y filtraciones de datos de octubre de 2026: 36 vulnerabilidades explotadas y filtraciones masivas
En octubre de 2026, CISA añadió 36 vulnerabilidades a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), siete menos que las 43 de septiembre. Once eran productos perimetrales y de acceso remoto, como dispositivos VPN y cortafuegos; cinco eran fallos antiguos publicados entre 2015 y 2023 (todos añadidos el 8 de octubre); diez eran de Plex, PHP, Ahsay y Zammad, y diez de otros productos. Este sitio publicó 115 primeros avisos sobre incidentes y vulnerabilidades en octubre (65 incidentes en Japón, 28 en el extranjero, 4 globales y 18 vulnerabilidades); es un recuento de los artículos de este sitio, no estadísticas nacionales. En Japón siguieron las filtraciones de bases de datos de miembros y de aplicaciones. Las mayores cifras anunciadas fueron ShopServe (unos 23,356 millones de personas), la app de MUJI (hasta unos 27,26 millones de registros, posible), Club Tourism (unos 4,32 millones de registros, posible) y Hana Cupid (hasta 4.238.242 registros). También continuaron las filtraciones en proveedores de servicios y SaaS, los robos en casas de cambio de criptomonedas y los incidentes en plataformas para desarrolladores de IA. Nuestra conclusión para noviembre: actualice primero los dispositivos perimetrales que llegaron a KEV, inventaríe los servicios externos que guardan sus listas de clientes y prepárese para el phishing que se hace pasar por una empresa afectada.
Filtración de datos de estudiantes de ETS en California: se copiaron datos de discapacidad, 504 y pruebas, y qué deben hacer las familias
Educational Testing Service (ETS), la organización sin ánimo de lucro que aplica las pruebas estatales de California (CAASPP y ELPAC) por contrato con el estado, empezó a notificar a estudiantes y familias el 16 de octubre de 2026, por indicación del Departamento de Educación de California (CDE). Según el Aviso de Filtración de Datos de ETS, un tercero no autorizado usó una credencial de inicio de sesión comprometida en varios momentos entre el 22 de mayo y el 18 de septiembre de 2026 para acceder a un sitio SFTP de ETS usado para intercambiar información de las pruebas con el CDE y copiar archivos con información de estudiantes. ETS detectó la actividad el 25 de septiembre. El aviso dice que se accedió y copió información de estudiantes de California, incluidos, entre otros, todos los estudiantes matriculados en los tres cursos escolares anteriores. Los datos varían según el estudiante, pero pueden incluir nombre, fecha de nacimiento, dirección, escuela y grado, identificadores de estudiante, género, raza o etnia, idioma y país de origen, discapacidad y estado de la Sección 504, adaptaciones en las pruebas y tipo principal de discapacidad, elegibilidad para programas y resultados de las pruebas. Según ETS, no se vieron afectados los números de la Seguridad Social, los datos de cuentas financieras y tarjetas, las contraseñas ni la información de padres o tutores. No se ha publicado ninguna cifra. ETS ofrece dos años de Experian IdentityWorks sin coste. La opinión de este sitio: las familias de estudiantes actuales y antiguos de escuelas públicas de California deben dar por hecho que el aviso les afecta, inscribirse con el código de su carta y no fiarse de llamadas o mensajes solo porque mencionen la escuela o las pruebas del menor.
Brecha en sistemas internos de Genesys (octubre de 2026): accedieron a sistemas con datos de contacto de clientes, las plataformas no se vieron afectadas, y qué deben hacer los clientes
El 19 de octubre de 2026, Genesys, proveedor de la plataforma de centros de contacto Genesys Cloud, anunció un incidente de ciberseguridad en el que intervino un tercero no autorizado. La empresa tuvo conocimiento de él el 16 de octubre. Su investigación determinó que el tercero pudo acceder a determinados sistemas internos de negocio, entre ellos un sistema de gestión del aprendizaje (LMS) y una plataforma de gestión de relaciones con clientes (CRM), y la empresa confirmó que determinada información de esos sistemas fue consultada o descargada (o ambas cosas) sin autorización. La información que se conserva en estos sistemas incluye datos comerciales y de cuenta sobre clientes actuales y potenciales, como nombres, direcciones de correo electrónico profesionales, números de teléfono, cargos, información de empresa y de cuenta, y otra información relacionada con las interacciones con clientes. La empresa afirma que las plataformas Genesys Cloud, Genesys Engage y Genesys Engage Cloud no se vieron comprometidas y que no se accedió a los datos de clientes y socios que contienen, incluidas las grabaciones de llamadas y los datos analíticos. El 23 de octubre indicó que el incidente estaba totalmente contenido y que había suspendido el uso del LMS. No se ha publicado el número de personas afectadas. La opinión de este sitio: el personal cuyos datos de contacto tiene un proveedor debe tratar como falsos los mensajes inesperados que mencionen a Genesys y pidan contraseñas o información sensible, y confirmarlo por un canal que ya utilice.
Filtración de datos de miembros de GETTIIS (317.971 ID de miembro): qué se filtró y qué deben hacer los miembros
El 19 de octubre de 2026, Linkstation Inc. (Japón) anunció que se había filtrado información de miembros de GETTIIS tras un acceso no autorizado y, el 20 de octubre, publicó un segundo informe con las cifras por dato. Según la empresa, entre las 0:00 y las 7:00 aproximadamente del 18 de octubre un tercero aprovechó una vulnerabilidad en el programa de Gettii-Lite, un servicio de registro de funciones para organizadores, y obtuvo datos de miembros de GETTIIS. Las cifras son por dato, no un total de personas: ID de miembro 317.971; contraseñas con hash 311.451; correos electrónicos 311.426; nombres 309.759; teléfonos 309.668; información relacionada con la tarjeta 29.515 (los primeros y los últimos cuatro dígitos, el nombre del titular y la fecha de caducidad, cifrados); sexo 5.900; fechas de nacimiento 5.192; códigos postales 489. La empresa dice que no guarda números completos de tarjeta ni códigos de seguridad, que los datos filtrados por sí solos no sirven para pagos con tarjeta y que las contraseñas estaban guardadas como hashes. La conclusión de este sitio: cambie la contraseña de GETTIIS y cualquier otra que haya reutilizado, y considere sospechosos los mensajes que usen su nombre y su teléfono, porque esos dos datos se filtraron en unos 310.000 registros cada uno.
Filtración en el sistema de gestión de la app de Matsuya (2.377.127 registros más miembros de la app): nombres, teléfonos y direcciones de entrega expuestos: qué deben hacer los miembros
El 30 de octubre de 2026, Matsuya Foods Holdings Co., Ltd., la cadena japonesa de restaurantes de gyudon (cuencos de arroz con ternera), anunció que un tercero había accedido sin autorización al sistema de gestión de la app oficial de Matsuya (Matsuben Net, Mobile Order y Matsuben Delivery) y que se habían filtrado datos de miembros. La empresa descubrió la intrusión y la filtración el 28 de octubre. Para los usuarios de Matsuben Net, Mobile Order y Matsuben Delivery (2.377.127 registros), los datos son el ID de miembro, la dirección de entrega, el nombre, el número de teléfono y los puntos de Matsuya. Para los miembros de la app de Matsuya (2.000 registros, posiblemente hasta 3.000), los datos son el ID de miembro, la prefectura, el nombre, el número de teléfono, la fecha de nacimiento, la dirección de correo electrónico, la contraseña cifrada y los puntos de Matsuya. La empresa afirma que no conserva datos de tarjetas de crédito. La causa y cómo se produjo la intrusión están bajo investigación, y la app y servicios relacionados, como su sitio web, están suspendidos. Nuestra conclusión: no abra enlaces de mensajes que digan ser de Matsuya, consulte solo en lugares oficiales que abra usted mismo y, si es miembro de la app, deje de reutilizar su contraseña de Matsuya en otros sitios.
Filtración de la app y la tienda en línea de Ryohin Keikaku (MUJI) (hasta unos 27,26 millones de registros): también afectados unos 1,09 millones de números de MUJI Card — qué deben hacer los usuarios
Tras su primer aviso del 30 de octubre, Ryohin Keikaku Co., Ltd., la minorista japonesa detrás de MUJI, dijo en un segundo aviso del 4 de noviembre de 2026 que el alcance era mayor. Están afectados los miembros de la tienda en línea de MUJI (incluidas personas que nunca usaron la app de MUJI) además de los usuarios de la app, con los clientes dados de baja incluidos. Dirección de correo, fecha de nacimiento, género e ID de miembro de hasta unos 27,26 millones de registros pueden haber sido accedidos desde el exterior, y en unos 520.000 de ellos también nombre, dirección y número de teléfono. Para unos 1,09 millones de miembros de la MUJI Card (emitida por Credit Saison, con alta hasta julio de 2021), están afectados el número completo de la tarjeta, el ID de MUJI Card y la fecha de nacimiento; el nombre en la tarjeta, la fecha de caducidad y el código de seguridad no se incluyen. Para unos 120 registros en los que se registró una tarjeta en la app o en la tienda en línea, están afectados los seis primeros y los dos últimos dígitos del número de tarjeta y el nombre del titular. La empresa dice que no ha confirmado ninguna filtración a la dark web ni daños por uso indebido, y que contactará individualmente por correo electrónico o postal a los clientes afectados. El 6 de noviembre anunció que había suspendido la tienda en línea. Conclusión de este sitio: si tiene una MUJI Card, revise el extracto de su tarjeta y contacte con Credit Saison por cualquier cargo que no reconozca, y compruebe cualquier mensaje o llamada que diga proceder de MUJI o de una compañía de tarjetas mediante la app o el sitio oficial que usted mismo abra, o el número del reverso de su tarjeta.
Filtración de datos de Paradigm Healthcare Services: pudo haberse accedido a números de afiliado de Medi-Cal y fechas de nacimiento, y qué deben hacer los afiliados
Paradigm Healthcare Services, un proveedor de servicios externo que tramita la facturación de Medi-Cal y mantiene los números de identificación de afiliado de Medi-Cal para el Departamento de Servicios de Atención Médica de California (DHCS), publicó un Aviso de Filtración de Datos y envió cartas fechadas el 14 de septiembre de 2026. Según Paradigm, tuvo conocimiento de un acceso no autorizado a su red local el 13 de octubre de 2025, desconectó ciertos sistemas y lo notificó a las fuerzas del orden. El 18 de agosto de 2026 determinó que un tercero no autorizado pudo haber accedido, entre el 8 y el 15 de octubre de 2025, a archivos con información médica protegida de algunas personas. La información a la que pudo haberse accedido es el nombre, la fecha de nacimiento, el género y el número de identificación de afiliado de Medi-Cal. Paradigm dice que su plataforma Student Health Network no se vio afectada y que no tiene pruebas de que la información se haya usado para fraude o robo de identidad. El aviso no da una cifra; la prensa la sitúa en unas 970.000 personas (SecurityWeek, citando la notificación de Paradigm al Departamento de Salud y Servicios Humanos de EE. UU., y HIPAA Journal, que da 970.403). La opinión de este sitio: los afiliados de Medi-Cal que reciban la carta deben revisar sus estados de prestaciones en busca de servicios que no recibieron y no deben considerar legítimo a quien llama solo porque conoce su número de Medi-Cal y su fecha de nacimiento.
Filtración de datos de Photon Health (fallo en una herramienta de análisis): nombres, direcciones, teléfonos, fechas de nacimiento e información de recetas — qué deben hacer los pacientes afectados
El 8 de octubre de 2026, Photon Health, una plataforma estadounidense de receta electrónica, publicó un aviso en el que dice que un tercero no autorizado explotó una vulnerabilidad desconocida hasta entonces en su herramienta de análisis de datos (Metabase), que Photon ejecuta en su propia infraestructura, y accedió a ciertos datos. Photon dice que tuvo conocimiento del incidente el 21 de agosto y terminó su revisión de los datos el 4 de septiembre. Los datos son nombre, dirección, número de teléfono, fecha de nacimiento e información de medicamentos recetados, según la persona. Photon dice que no recoge ni almacena números de la Seguridad Social ni información financiera, por lo que no se vieron afectados, y que no tiene pruebas de uso indebido. Photon no ha revelado cuántas personas están afectadas. Por separado, Blueberry Pediatrics, una empresa de telemedicina pediátrica, informó a la fiscalía general de Oregón de que 340.915 personas se vieron afectadas por una vulneración de su propio entorno de Metabase, con datos que incluyen detalles del plan de salud e historias clínicas. Conclusión de este sitio: son datos relacionados con la salud vinculados a un nombre, una dirección y un teléfono reales, así que espere llamadas y mensajes convincentes sobre recetas, seguros o cuentas de farmacia. No actúe según ellos; devuelva la llamada a un número que busque usted mismo.
Filtración de datos de Ricardo (marketplace suizo), unas 890.000 cuentas: nombres, direcciones y teléfonos expuestos, y qué deben hacer los usuarios
El 9 de octubre de 2026, SMG Swiss Marketplace Group, que gestiona el marketplace suizo Ricardo, anunció un acceso no autorizado a datos personales vinculados a pedidos en la plataforma Ricardo. Ricardo detectó actividad sospechosa en sus servidores el 7 de octubre y puso en marcha medidas técnicas de inmediato; la empresa afirma que la vulnerabilidad de seguridad que permitió el acceso se ha resuelto por completo. La investigación estableció que se expusieron datos personales relativos a unas 890.000 cuentas de usuario. Los datos expuestos se limitaron a nombres, direcciones postales y números de teléfono y, en el caso de usuarios empresariales, nombres de empresa; las direcciones de correo electrónico y las contraseñas no se vieron afectadas. Ricardo está informando directamente a los usuarios afectados y lo ha notificado al Comisionado Federal Suizo de Protección de Datos e Información (FDPIC). No se han hecho públicos la naturaleza de la vulnerabilidad ni el periodo de acceso. La opinión de este sitio: dé por hecho que se conocen su dirección y su teléfono, y no facilite datos de tarjeta ni accesos al banco o a TWINT por correo postal, llamadas, SMS o WhatsApp que digan venir de Ricardo o de la otra parte de una compraventa.
Filtración del sitio web de Yakult Honsha (unos 40.000 registros): se filtraron nombres, direcciones, teléfonos, correos y contenido de consultas — qué deben hacer los afectados
Yakult Honsha Co., Ltd. confirmó un acceso no autorizado a su sitio web el 26 de octubre de 2026 y suspendió ese mismo día las funciones del sitio. En su segundo informe del 30 de octubre, dijo haber confirmado que se filtraron unos 40.000 registros de datos personales proporcionados a través del sitio web. Los grupos y datos afectados son: usuarios del formulario de consulta por correo (nombre, género, tramo de edad, dirección, número de teléfono, dirección de correo, contenido de la consulta); miembros del sitio de comedores escolares «Tanoshii Kyushoku» (nombre, tipo de actividad, lugar de trabajo, dirección y teléfono del lugar de trabajo, dirección de correo, contraseña cifrada y más); usuarios del formulario de consultas de prensa; y personal de la empresa que atendió esas consultas (nombres). La empresa afirma que el sitio web no guardaba datos de tarjetas de crédito ni de cuentas bancarias. No se han revelado el desglose de la cifra, el periodo afectado ni la causa. Ha presentado un primer informe a la Comisión de Protección de Información Personal de Japón y ha consultado a la policía. Conclusión de este sitio: no abra enlaces en mensajes que digan proceder de Yakult y, si es miembro del sitio de comedores escolares, cambie la contraseña de cualquier otro servicio donde usó la misma.
Acceso no autorizado a la app de comercio electrónico de Aena (datos de Mi Página de hasta 817.215 personas): nombres, direcciones y datos de entrega que pueden haberse consultado, y qué deben hacer los miembros
Aena Co., Ltd., una cadena japonesa de tiendas de descuento, anunció el 14 de octubre de 2026 que los datos de Mi Página de los miembros de su app de comercio electrónico pueden haberse consultado sin autorización. Según la empresa, el análisis de los registros del sistema lo detectó a las 5:58 del 13 de octubre, y hasta 817.215 miembros (miembros completos) pueden haber sido afectados. No están afectados los miembros de LINE ni los clientes que compraron a través de Amazon, Rakuten y sitios similares. Los datos que pueden haberse consultado son nombre, dirección, teléfono, correo electrónico, fecha de nacimiento, género, ocupación, dirección de entrega, nombre y teléfono (incluidos los de terceros), tienda favorita y ajustes de correo, y los últimos 4 dígitos, la fecha de caducidad y el nombre del titular de las tarjetas de crédito registradas. La empresa dice que no conserva números de tarjeta completos ni códigos de seguridad, que no se consultó ni se filtró ninguna contraseña y que confirmó que no se modificó ningún dato de miembro, no se dio de baja a nadie y no se completó ninguna compra. La causa se describe como un acceso continuo de tipo mecánico realizado mediante acceso no autorizado, y la investigación continúa. La empresa bloqueó el acceso a su sitio de comercio electrónico, y la app, que estaba suspendida, se reanudó al mediodía del lunes 19 de octubre; al primer inicio tras la reanudación aparece una pantalla de restablecimiento de contraseña. Conclusión de este sitio: restablezca su contraseña en la app, cambie cualquier otro servicio donde la reutilizó y compruebe los mensajes sobre entregas o pedidos sin usar sus enlaces ni números.
Brecha de datos de clientes de ASOS y falsa alerta en la app: nombres y datos de contacto robados, fechas de nacimiento e historial de búsquedas según informaciones — qué deben hacer los clientes
El 6 de octubre de 2026, los clientes de ASOS recibieron una notificación push no autorizada a través de la app de ASOS. ASOS dijo que una parte no autorizada había accedido a plataformas de terceros que usa para comunicarse con los clientes. Dijo que los nombres y los datos de contacto de los clientes podrían haberse visto afectados, y que no cree que se vieran afectados los datos de tarjetas de pago ni las contraseñas de las cuentas. En una actualización posterior para los clientes, según informó BleepingComputer, ASOS dijo que se obtuvieron las credenciales de acceso de un empleado haciéndose pasar por un contacto de confianza. La BBC informó de que una muestra facilitada por los atacantes incluía también números de cliente, fechas de nacimiento y búsquedas hechas en el sitio web de ASOS; ASOS no ha confirmado esa lista. ASOS no ha publicado cuántos clientes están afectados. La conclusión de este sitio: un mensaje que cita su nombre o una búsqueda pasada no prueba que provenga de ASOS. Abra usted mismo la app o el sitio web de ASOS en lugar de pulsar un enlace.
Filtración en un proveedor de Benefit One para 'Toku-Kai' (29.465 personas): nombres, fechas de nacimiento y correos filtrados, y qué deben hacer los miembros
El 28 de octubre de 2026, Benefit One Inc. anunció que un sistema gestionado por uno de sus proveedores externos había sido accedido sin autorización y que se filtraron datos personales de 29.465 miembros (incluidos algunos que ya se habían dado de baja) de Toku-Kai, un servicio para titulares de tarjetas de Credit Saison Co., Ltd. El acceso se produjo de forma intermitente del 14 al 20 de octubre; el proveedor detectó una parte el 21 de octubre y lo comunicó a Benefit One, que suspendió el servicio ese mismo día. Los datos filtrados son nombre, furigana (lectura del nombre), fecha de nacimiento, género, código postal, correo electrónico, número de cliente, información de alta y baja, y un número de gestión usado para procesar el pago de la cuota de membresía (los datos varían según el miembro). Por separado, es posible que se hayan filtrado algunos datos de autenticación de Benefit One usados para conectarse con el sistema de pagos; se cambiaron el 26 de octubre y no se ha confirmado ningún pago fraudulento atribuible a este incidente. Benefit One dice que los números de tarjeta, las fechas de caducidad y los códigos de seguridad no se guardan en el sistema afectado y no se filtraron. La empresa afirma que los datos no proceden de los sistemas de Credit Saison. La causa y la cifra final están en investigación. Conclusión de este sitio: el aviso de Benefit One no pide cambiar el número de tarjeta, pero se filtraron nombres, fechas de nacimiento y correos, así que no abra enlaces de mensajes que digan proceder de la empresa o de sus socios y compruebe todo en un sitio oficial que abra usted mismo.
Acceso no autorizado al groupware interno de Bithumb (datos personales de 844 clientes expuestos): números de identificación, números de cuenta y más, y qué deben hacer los clientes
Bithumb, un exchange de criptomonedas de Corea del Sur, descubrió el 27 de octubre de 2026 un acceso anómalo de un tercero externo no autorizado a su sistema interno de groupware móvil y, según la prensa coreana que informó de su anuncio del 29 de octubre, constató que se expusieron datos personales de clientes. De los registros de 6.444 clientes implicados, 5.600 estaban en archivos cifrados con DRM que no se podían leer desde fuera, y se expusieron los datos de 844 clientes. Los datos varían según el cliente e incluyen nombre, número de móvil, correo electrónico, número de registro de residente, número de carné de conducir, número de cuenta y copias del documento de identidad. También se vieron afectados 715 empleados. Bithumb dice que el groupware está separado de las cuentas del exchange y de la información de activos, y no se ha confirmado ninguna intrusión directa en el servicio del exchange ni en la base de datos de clientes. Conclusión de este sitio: trate como sospechosa cualquier llamada, SMS o correo que mencione su documento de identidad o los datos de su cuenta, no comparta nunca un código de un solo uso ni una contraseña, y consulte el aviso de Bithumb en la app o el sitio oficial que abra usted mismo.
Filtración de datos de agentes de Covered California: nombres, números de licencia y número de la Seguridad Social o FEIN expuestos en un incidente de phishing, y qué deben hacer los agentes
Covered California, el mercado de seguros médicos de California, presentó una notificación de filtración de datos ante el Fiscal General de California (comunicada el 16 de octubre de 2026). El aviso a los agentes dice que el 13 de mayo de 2026 una persona no autorizada usó un esquema de phishing para acceder a información relativa a los agentes, y que se accedió a hojas de cálculo de agentes. Esas hojas incluían el nombre de cada agente, el nombre de la agencia, el número de licencia, el FEIN o número de la Seguridad Social, y la función dentro de la agencia. El aviso no dice cuántos agentes están afectados, no menciona datos de los inscritos (consumidores) y no ofrece monitoreo de crédito. Covered California recomienda activar una alerta de fraude con las tres agencias de crédito y seguir los consejos de Breach Help del Fiscal General. Opinión de este sitio: los agentes autorizados y el personal de las agencias deben activar ya una alerta de fraude o un congelamiento de crédito, tratar como sospechosos los mensajes inesperados que citen su número de licencia o su agencia, y usar el contacto que figura en el aviso.
Brecha de datos del bot de Discord Double Counter (unos 28 millones de IDs de Discord, 1 millón de correos): qué se filtró y qué deben hacer los miembros y los administradores de servidores
Tellter SAS, el operador del bot de verificación de Discord Double Counter, publicó un informe del incidente el 5 de octubre de 2026 (versión 2.0 el 21 de octubre). Dice que un atacante entró el 4 de octubre a través de una herramienta de analítica Metabase accesible públicamente en un servidor retirado de un proveedor de alojamiento, y después usó dos credenciales de su nube guardadas en ese mismo servidor. Se vieron afectados unos 28 millones de IDs y nombres de usuario de Discord, 27 millones de direcciones IP con ubicación aproximada, 25 millones de datos de dispositivo con hash y 1,0 millones de direcciones de correo, con copia parcial en las dos primeras categorías. También se copiaron unos 5.000 registros de clientes de los productos de pago del operador. El bot nunca recibió contraseñas de Discord y los números completos de tarjeta no están afectados. El atacante también usó el token del bot para publicar invitaciones a otro servidor de Discord en unos 50 servidores grandes. El operador notificó a la autoridad francesa de protección de datos el 5 de octubre y empezó a enviar correos a cerca de 1 millón de personas el 21 de octubre. La conclusión de este sitio: los miembros no necesitan cambiar su cuenta de Discord, pero deben esperar mensajes que usen su ID, su correo y su dirección IP, y los administradores de servidores deben eliminar las publicaciones de invitación del 4 de octubre.
Filtración de datos de clientes de ENGIE (Francia): datos de contacto y números de contrato expuestos a través de una herramienta comercial de un socio, sin datos bancarios, y qué deben hacer los clientes
ENGIE, la compañía energética francesa, empezó a enviar correos a clientes en Francia a finales de octubre de 2026 para decirles que un ataque (la formulación se reprodujo como un acto de ciber-malevolencia) alcanzó una herramienta que algunos de sus socios usan para captar clientes y vender sus ofertas. Según informaciones que citan el correo de ENGIE a los clientes (la declaración de ENGIE a BleepingComputer no enumeraba por sí misma los datos), los datos expuestos son nombre y apellidos, direcciones postal y de correo electrónico, teléfonos, la referencia del punto de entrega de electricidad (PDL) o del punto de medida de gas (PCE), el identificador de cliente y el número de contrato. ENGIE dice que no se ven afectados datos bancarios, que sus propios sistemas informáticos no fueron comprometidos, que cortó el acceso de los atacantes a la plataforma y que informó a las autoridades. No se han revelado el número de clientes afectados ni el socio implicado. No encontramos ningún aviso sobre esto en el propio sitio web de ENGIE, por lo que este artículo se apoya en las declaraciones de ENGIE recogidas por varios medios. Conclusión de este sitio: no dé un IBAN, un número de tarjeta ni un código a nadie que llame o escriba citando su número de contrato o de contador, y cuelgue y llame al número que figura en su factura.
Filtración en el sitio web de ayuda financiera del Departamento de Educación de Florida (unos 4,9 millones de personas): números de la Seguridad Social en riesgo y qué hacer
El 29 de octubre de 2026, el Departamento de Educación de Florida (Florida Department of Education) anunció que su personal tuvo conocimiento el 19 de octubre de un acceso criminal no autorizado al sitio web Florida Student Financial Aid (FloridaStudentFinancialAidSG.org). El departamento cree que el incidente se limitó a ese sitio y que pudo afectar a aproximadamente 4,9 millones de personas. La información potencialmente expuesta puede incluir números de la Seguridad Social, nombres y apellidos, fechas de nacimiento, domicilios, números de teléfono (incluidos móviles), direcciones de correo electrónico y códigos de identificación de género (M o F). No todas las personas se vieron necesariamente afectadas. Dice que cualquier persona que haya solicitado antes ayuda financiera en Florida pudo verse afectada. El departamento afirma que activó sus protocolos de respuesta de ciberseguridad, notificó a la oficina del Fiscal General de Florida y trabaja con el Florida Digital Service y el Departamento de Aplicación de la Ley de Florida. Dice que la ayuda financiera vigente, los pagos de matrícula y la elegibilidad para becas, subvenciones y préstamos no se ven afectados. No se ha publicado la causa. Opinión de este sitio: el número de la Seguridad Social no cambia, así que revise sus informes de crédito, considere una alerta de fraude o un congelamiento de crédito y trate como sospechoso cualquier mensaje que use su nombre, correo o teléfono y mencione este incidente.
Filtración de datos de Frontline Education (proveedor de software escolar): 3,09 millones de personas según la lista del Fiscal General de Indiana; números de la Seguridad Social, de Medicaid y de estudiante afectados, y qué deben hacer el personal y las familias
Frontline Education, proveedor estadounidense de software de administración para distritos escolares K-12, publicó un Aviso de Filtración de Datos fechado el 26 de octubre de 2026. Dice que su equipo de seguridad halló el 14 de agosto de 2026 una vulnerabilidad en un producto de software de terceros que utiliza, que esa vulnerabilidad permitió el acceso no autorizado a una parte de su entorno desde ese día, y que el último día de actividad no autorizada fue el 15 de agosto. Los datos afectados se relacionan con dos productos, Frontline Central y School Health Management. La empresa dice que se vieron afectados los siguientes datos, y cuáles se aplican varía según la persona: número de la Seguridad Social, fecha de nacimiento, número de licencia de conducir, número de pasaporte, otro documento de identidad oficial, identificador de Medicaid e identificador de estudiante. Frontline dice que no tiene conocimiento de ningún uso indebido de los datos, y ofrece a los adultos en EE. UU. dos años de monitoreo de crédito de TransUnion y a los menores monitoreo cibernético (su página del incidente habla de monitoreo de la web oscura donde esté disponible). La lista de filtraciones de datos del Fiscal General de Indiana (edición de noviembre de 2026) muestra 3.085.266 personas en total (66.157 residentes de Indiana; fecha de notificación 26 de octubre, fecha de la filtración 14 de agosto), mientras que las presentaciones en otros cinco estados (MA, NH, SC, TX, VT) sumaban unos 1,3 millones (1.298.917), según SecurityWeek. El número de distritos no se ha publicado. Nuestra opinión: si trabaja en un distrito escolar de EE. UU. que usa Frontline, o tiene un hijo en uno, dé por hecho que el aviso se aplica a usted, active un congelamiento de crédito gratuito y trate como no probada cualquier llamada o correo que cite su identificador de Medicaid o de estudiante.
Filtración de datos de miembros de Hana-cupid (hasta 4.238.242 registros): ID de usuario, contraseñas cifradas y correos electrónicos filtrados, y qué deben hacer los miembros
Hana-cupid Co., Ltd. anunció el 28 de octubre de 2026 que un acceso no autorizado de un tercero a sus servicios de floristería online, Internet Hana-cupid y Business Hana-cupid, había filtrado parte de los datos de sus miembros. Según la empresa, un tercero accedió sin autorización a su sistema de gestión entre el 14 de octubre (miércoles) y el 15 de octubre (jueves), y la empresa confirmó la filtración de datos de miembros el 19 de octubre (lunes) durante su investigación. La cifra es de 4.238.242 (clientes que pueden haber sido afectados). Los datos filtrados son: ID de usuario (ID de acceso), contraseña (en una forma cifrada que no puede usarse tal cual; las preguntas frecuentes la llaman con hash), correo electrónico de PC y correo electrónico del móvil. La empresa dice que no se filtraron nombre, género, fecha de nacimiento, dirección, teléfono, número de tarjeta de crédito, nombre de la empresa, nombre del departamento ni datos del destino de entrega. Solo están cubiertos los miembros que registraron un correo electrónico en la tienda online oficial de la empresa (i879.com, i879.com/biz/); no lo están los pedidos hechos a través de centros comerciales externos, los pedidos por teléfono sin correo electrónico ni las compras en floristerías miembro de Hana-cupid. La empresa dice que no conserva datos de tarjetas de crédito y que no hace falta bloquear ni reemitir ninguna tarjeta. No ha confirmado daños secundarios, empezó a enviar correos individuales a los miembros afectados el 28 de octubre y ha informado a la Comisión de Protección de Información Personal y a la policía. No se indica la causa, y la empresa investiga con una organización externa especializada. Dice que no prevé compensaciones económicas ni reembolsos. Conclusión de este sitio: si podría estar afectado, cambie su contraseña y la de cualquier otro servicio donde reutilizó el mismo ID y contraseña. Compruebe cualquier mensaje que diga proceder de Hana-cupid o de una entidad financiera abriendo usted mismo el sitio oficial, no a través de sus enlaces.
Filtración de datos de iRhythm (8.179.772 personas en el listado del HHS): nombres de pacientes de Zio, números de seguro y números de serie de dispositivos, y qué deben hacer los pacientes
iRhythm Technologies, fabricante estadounidense del monitor cardíaco portátil Zio, comunicó a la SEC de EE. UU. el 15 de junio de 2026 que había detectado un acceso no autorizado a ciertas aplicaciones de negocio alojadas por terceros y que se habían extraído datos. En un aviso fechado el 2 de octubre de 2026, la empresa dice que su investigación halló que se accedió a los datos y se descargaron entre el 3 y el 8 de junio de 2026, y que los avisos a las personas afectadas empezaron el 2 de octubre. Los datos incluyen nombre del paciente, información de contacto (domicilio, correo electrónico, teléfono), número de cuenta del paciente, número de serie del dispositivo, número de seguro, fecha del servicio y fecha de nacimiento, y la empresa dice que cuentan como información de salud protegida según la HIPAA. iRhythm no ha publicado una cifra total propia. El incidente apareció en el portal de filtraciones del Departamento de Salud y Servicios Humanos de EE. UU. (HHS) con 8.179.772 personas, según informaron SecurityWeek y CyberInsider el 29 de octubre de 2026. Registros estatales anteriores indicaban 298.647 personas en Texas y 69.526 en Carolina del Sur. La empresa dice que no halló impacto en sus productos ni en los sistemas clínicos o de dispositivos médicos, y que no almacena información de tarjetas de pago ni de cuentas financieras. Opinión de este sitio: si fue paciente de Zio, espere mensajes convincentes que usen su nombre y los datos de su seguro, revise los extractos de su aseguradora y considere un congelamiento de crédito gratuito.
Acceso no autorizado al proveedor del sistema de reservas de JAL, JTA, ANA, Korean Air y Asiana (unos 92.000 clientes de JAL/JTA y 37.800 de ANA): números de reserva, nombres y más datos, y qué deben hacer los viajeros
Japan Airlines (JAL) y Japan Transocean Air (JTA) anunciaron el 28 de octubre de 2026 que el 23 de octubre el proveedor de su sistema de servicio a pasajeros, una empresa extranjera, les informó de que un acceso no autorizado a los sistemas del proveedor dejó rastros de que parte de la información de reservas fue consultada desde el exterior. El periodo va del 10 de agosto de 2023 al 23 de septiembre de 2026. En unas 90.000 personas intervienen el número de reserva, el nombre, la fecha de embarque, la ruta y la clase de cabina; a unas 2.000 personas también se les consultaron el correo electrónico, el teléfono, el número de pasaporte, la nacionalidad, el número de millas, el número de billete, el número de asiento y más. El total es de unas 92.000 personas. El 30 de octubre, JAL y JTA actualizaron el aviso para indicar que se habían puesto en contacto con esos clientes en el correo facilitado al reservar. All Nippon Airways (ANA) anunció el 30 de octubre que hay rastros de que se consultó parte de la información de reservas de unas 37.800 personas que reservaron en el mismo periodo (unas 1.700 de ellas con pasaporte, número de millas y más). En Corea del Sur, Korean Air y Asiana Airlines anunciaron el 23 de octubre que hay indicios de que los números de reserva de algunos clientes se filtraron desde el sistema de reservas de la misma empresa; dicen que se debió a un acceso no autorizado con credenciales de inicio de sesión y que se estima que ocurrió entre agosto de 2023 y septiembre de 2026 (ninguna ha publicado una cifra). JAL, JTA y ANA dicen que no se incluyeron datos de tarjetas de crédito ni contraseñas. Conclusión de este sitio: aunque un mensaje que diga proceder de una aerolínea acierte con su número de reserva, su nombre y su vuelo, no use sus enlaces ni sus números; compruébelo en la app o el sitio oficial. Si su pasaporte o su número de millas pueden estar implicados, cambie la contraseña de su cuenta de millas y revise su historial de canjes.
Brecha de Navigate360 y la plataforma de denuncias de Crime Stoppers (P3): qué deben hacer quienes enviaron avisos, quienes aparecen en ellos y los destinatarios de la notificación en EE. UU.
Navigate360 ha publicado un aviso de brecha de datos (la página no muestra fecha; Reuters informa de que la reconoció el 23 de octubre de 2026) en el que dice que un tercero no autorizado copió datos de uno de sus sistemas entre el 21 de noviembre de 2025 y el 5 de marzo de 2026, y que pueden estar implicados nombres, direcciones, fechas de nacimiento, números de la Seguridad Social y otros datos. Toronto Crime Stoppers dice que Navigate360 le comunicó que los datos robados contenían 176.859 avisos de Toronto de enero de 2022 a noviembre de 2025 y 14.973 nombres encontrados en esos avisos, y que suspendió la recepción de avisos el 22 de octubre. El Comisionado de Privacidad de Canadá abrió una investigación sobre Navigate360 el 27 de octubre. El aviso de Navigate360 no nombra la plataforma P3 ni a Crime Stoppers, no se ha encontrado una cifra oficial total de personas o avisos, y Toronto Crime Stoppers dice que no ha recibido el texto de los avisos robados. La conclusión de este sitio: si alguna vez envió un aviso, suponga que su contenido podría vincularse con usted, tenga cuidado con cualquier mensaje que lo mencione y recurra a la policía o a un abogado si se siente en riesgo.
Un acceso no autorizado a Sony Life filtra datos de pólizas (unos 2,9 millones de registros de Sony Life y 385.000 de Medicare Life): nombres, direcciones, números de póliza y más, y qué deben hacer los tomadores
Sony Life Insurance Co., Ltd. anunció el 9 de noviembre de 2026, en un segundo informe, que había confirmado nuevas filtraciones de información derivadas del acceso no autorizado a sus sistemas: datos personales de sus propias pólizas de seguro (número de póliza, nombre, dirección, teléfono y más), unos 2,9 millones de registros que incluyen contratos ya terminados; las direcciones de correo y los números de agente de sus agentes de ventas, unos 780 registros; y las direcciones de correo y los números de empleado de sus propios empleados, unos 12.500 registros. Se indica que no se incluyen datos personales sensibles como el estado de salud y los antecedentes médicos, el My Number, los datos de tarjetas de crédito, los datos de cuentas ni las direcciones de correo de los tomadores. Esto sigue al primer informe del 28 de octubre (información de tomadores y asegurados de Medicare Life que Sony Life gestionaba como agente, unos 385.000 registros), de modo que ahora también están afectados los tomadores propios de Sony Life. El acceso salió a la luz el 27 de octubre. A 9 de noviembre no se había confirmado ningún uso indebido de información de clientes, pero la empresa advierte de correos, mensajes y llamadas que la suplantan. La causa no se ha publicado. Nuestra conclusión: asuma que puede estar afectado si tiene o tuvo una póliza de Sony Life, o contrató una póliza de Medicare Life a través de Sony Life, y verifique cualquier mensaje a través de los puntos de contacto de los sitios oficiales, no de enlaces ni números del mensaje.
Filtración de datos de la Universidad de Copenhague (unas 525.000 personas): nombres, números CPR, teléfonos y correos — qué hacer
La Universidad de Copenhague (Københavns Universitet, KU) anunció el 23 de octubre de 2026 que unos hackers habían accedido a uno de sus entornos de pruebas. Informaciones coincidentes que citan a la universidad dicen que se obtuvieron datos de unas 525.000 personas: nombre completo, número CPR (el número de registro civil de Dinamarca), teléfonos de trabajo y privados y un correo electrónico privado. En una actualización del 25 de octubre, la universidad dijo que también se comprometieron los códigos PIN de las tarjetas de identificación de unos 20.000 empleados y estudiantes, y que se emitieron nuevos PIN. Las informaciones dicen que la intrusión se detectó el martes 20 de octubre y se controló. La universidad lo ha comunicado a la Agencia Danesa de Protección de Datos. Sus propias páginas no pudieron abrirse desde este sitio el 30 de octubre, por lo que este artículo se apoya en esas informaciones. Conclusión de este sitio: trate como no probado cualquier mensaje que use su nombre y su número CPR, compruebe por canales que abra usted mismo y no dé nunca un número CPR, una contraseña o un PIN si se lo piden.
Acceso no autorizado y filtración de datos personales en White Essence (unos 1,05 millones de cuentas): nombres, direcciones, teléfonos y contraseñas cifradas, y qué deben hacer los usuarios
White Essence Co., Ltd. anunció el 12 de agosto de 2026 que había suspendido sus sistemas tras un acceso no autorizado a su sitio de reservas y a sus sistemas centrales, y el 5 de octubre publicó sus conclusiones en un aviso titulado 'Apology and Notice Regarding Leak of Personal Information Due to Unauthorized Access'. Según la empresa, confirmó un acceso no autorizado desde el exterior el 5 de agosto, suspendió los sistemas el 12 de agosto y la investigación halló después que se había extraído información personal al exterior. De la información registrada a fecha del 5 de agosto de 2026, el número de personas afectadas es de unas 1,05 millones de cuentas (un total que incluye clientes, personal de clínicas franquiciadas y empleados de la sede). Los datos filtrados, en su totalidad o en parte, son nombre, dirección, teléfono, correo electrónico, fecha de nacimiento, género, lugar de trabajo, ID de acceso y contraseña (en forma cifrada), información sobre el uso de los servicios y las respuestas, y el número de gestión de la empresa. La empresa dice que no conserva datos de cuentas de entidades financieras y que no ha confirmado que se filtraran imágenes de clientes. La causa, según dice, fue la explotación de una vulnerabilidad en el programa de su sitio de reservas, usada como punto de partida para acceder sin autorización a sus sistemas centrales; la empresa dice que ya ha terminado de resolver esa vulnerabilidad. A fecha del 5 de octubre no se había confirmado ningún daño secundario, pero la empresa dice que pueden llegar correos, llamadas o cartas sospechosos que se hagan pasar por la empresa o por otros negocios. Nuestra conclusión: si usa el mismo ID de acceso y contraseña en otros servicios, cámbielos allí. Trate cualquier mensaje que diga proceder de la empresa o de una clínica dental como no verificado aunque su nombre, dirección y fecha de nacimiento sean correctos, y compruébelo por un canal oficial que busque usted mismo.
Acceso no autorizado a Beauty Garage y Eyelash Garage (775.725 registros): nombres de salones, teléfonos, correos y hashes de contraseñas expuestos, y cómo protegerse de la suplantación
Beauty Garage Co., Ltd. anunció el 15 de octubre que los servidores de su tienda online, y los de Eyelash Garage, sufrieron un acceso no autorizado del 10 al 12 de octubre y que se filtró parte de la información de clientes. Detectó el incidente el 13 de octubre, identificó la vía y la bloqueó ese mismo día. Según la empresa, el alcance es de 775.725 registros de clientes que figuraban en los sistemas de comercio electrónico de Beauty Garage y Eyelash Garage a las 23:55 del 10 de octubre de 2026 (no se da desglose por marca); el aviso propio de Eyelash Garage indica 49.191 (no se dice cómo se relaciona con 775.725). Los principales datos confirmados como filtrados son nombre de la empresa, nombre del salón, nombre del cliente, tipo de negocio, URL del salón, teléfono, correo electrónico, valores hash de contraseñas y valores hash de la pregunta y la respuesta de restablecimiento de contraseña. Hasta ahora no se ha confirmado la filtración de la dirección y los datos de envío, el historial de compras ni los datos de pago, incluidas las tarjetas de crédito. La empresa dice que no ha confirmado que los datos se hayan publicado ni usado indebidamente. Los segundos avisos de ambas empresas del 20 de octubre dicen que las tiendas online funcionan con normalidad y que el asunto se ha comunicado a la Comisión de Protección de Información Personal. La causa no se ha revelado. Conclusión de este sitio: un mensaje que diga proceder de cualquiera de las dos empresas o de un socio comercial no es auténtico solo porque acierte el nombre de su salón o el suyo. Verifique mediante un contacto oficial cualquier petición de cambiar una cuenta de transferencia bancaria o de hacer un pago adicional.
Acceso no autorizado a la base de datos de miembros de So-net (2,14 M de registros de So-net, 443 K de plala S-Course): nombres, teléfonos y fechas de nacimiento expuestos, y qué deben hacer los usuarios
Sony Network Communications Inc. anunció el 27 de octubre de 2026 que había confirmado una filtración de información por un acceso no autorizado a la base de datos de miembros de su servicio de internet So-net. Según la empresa, se accedió a la base de datos desde el exterior el 19 de octubre, la empresa lo confirmó el 23 de octubre y detuvo el servidor afectado, y el 24 de octubre determinó qué datos y cuántos registros se habían filtrado. Los datos filtrados son: información de miembros de So-net, 2.141.986 registros (1.869.771 miembros actuales y 272.215 antiguos miembros que se dieron de baja en marzo de 2026 o después), e información de miembros de plala (S-Course), 443.495 registros (422.365 actuales y 21.130 antiguos miembros que se dieron de baja en marzo de 2026 o después). Ambas incluyen nombre, teléfono, correo electrónico, ID de usuario, fecha de nacimiento, género e ID de conexión a internet. La empresa afirma que no se filtró ninguna contraseña en la información de miembros. En cuatro servicios de correo (Mail Service G, A-Box, Sonnet VAIO Mail y PostPet Mail Account Service) también se filtraron las contraseñas de correo, de 54.401 direcciones en total, y la empresa las restableció el 27 de octubre. También se filtraron datos de cuentas bancarias de 16 registros e información de avisos de restablecimiento de contraseña de 7 registros, y la empresa dice que contactará individualmente con esas personas. No se incluyen datos de tarjetas de crédito, y la empresa no ha confirmado una filtración de otros servicios, como NURO. La causa se indica como un acceso no autorizado de un tercero (en investigación); no se ha anunciado la vía de la intrusión. Conclusión de este sitio: si usó alguno de los cuatro servicios de correo, restablezca la contraseña del correo y cambie la de cualquier otro servicio donde la reutilizara. Todos deben comprobar un mensaje que diga proceder de So-net en un sitio oficial o en la línea telefónica dedicada, no mediante sus enlaces o números, aunque acierte su nombre y fecha de nacimiento.
Acceso no autorizado a la app Toypo (697.209 usuarios afectados, según Toypo): teléfonos, nombres y direcciones filtrados, y qué deben hacer los usuarios de apps de tiendas
Toypo Inc. confirmó el 4 de octubre de 2026 un acceso no autorizado de un tercero a su app de gestión de clientes, la app Toypo, y en un aviso fechado el 14 de octubre indicó que hay 697.209 usuarios afectados y que su información puede haberse filtrado. Una segunda página de aviso de Toypo, sin fecha y sin cifra de personas, afirma que la información se filtró. Desde el 13 de octubre la empresa contacta uno por uno a los afectados, también mediante notificaciones push en la app. Según la empresa, una parte de su sistema tenía un fallo de control de acceso que permitía a un usuario autenticado obtener información de otros usuarios a la que no tenía derecho, y sus registros muestran que un tercero lo usó para obtener información de usuarios. El fallo ya está corregido. La información que puede haberse filtrado es el número de teléfono y el ID de usuario o identificadores similares y, cuando están registrados, el nombre, el nombre en kana, el correo electrónico, la fecha de nacimiento, el género y la dirección. Según la empresa, no se incluyen contraseñas ni otras credenciales de acceso, números de tarjeta de crédito ni otros datos de pago, puntos, historial de visitas a tiendas ni historial de compras o uso, y los usuarios no necesitan cambiar la contraseña ni hacer nada más en la app. No se ha confirmado ningún daño secundario concreto. Ha informado a la Comisión de Protección de Información Personal. Se está organizando una evaluación de seguridad por un tercero. En los avisos de tiendas que usan la app, JR Kyushu Food Service indica que están afectados unos 26.900 de unos 61.500 miembros registrados, y Mannoya, 12 de los 212 miembros de su app oficial Kineya Mannoya. El contacto de Toypo es 0120-546-030 (días laborables de 9:00 a 18:00, hora de Japón; el centro de llamadas atiende hasta las 18:00 del 30 de octubre y después el contacto dentro de la app). Conclusión de este sitio: un mensaje que acierta con su número de teléfono y su nombre no es necesariamente auténtico. No use sus enlaces ni números; compruébelo mediante el contacto dentro de la app o el contacto que figura en el aviso.
Posible filtración de los datos de entrega de Ichiban Kuji ONLINE (acceso no autorizado en Bandai Logipal): nombres, direcciones y teléfonos, y qué deben hacer los socios
El 26 de octubre de 2026, BANDAI NAMCO Holdings Inc., BANDAI SPIRITS CO., LTD. y Bandai Logipal Co., Ltd. anunciaron (primer informe) que un sistema gestionado por Bandai Logipal, la filial logística de BANDAI NAMCO Holdings, había sido accedido sin autorización por un tercero, y que esto se descubrió el 21 de octubre. Según las tres empresas, los datos personales que pueden haberse filtrado son los datos de entrega (nombre, dirección y teléfono) de Ichiban Kuji ONLINE, un servicio cuya entrega de productos BANDAI SPIRITS encarga a Bandai Logipal. Detalles como el número de personas afectadas están en investigación; no se incluyen datos de tarjetas de crédito, y hasta ahora no se ha confirmado ningún uso indebido. El 21 de octubre la empresa encontró indicios de acceso no autorizado en un servidor de su sistema logístico y lo apagó, y ese mismo día confirmó que se habían realizado operaciones mediante el uso indebido de una cuenta de Bandai Logipal. Detuvo el sistema logístico en cuestión el 24 de octubre e informó a la policía y a la Comisión de Protección de Información Personal de Japón el 26 de octubre. El anuncio dice que el sistema de envíos en cuestión está suspendido desde el 26 de octubre. No se ha publicado cómo se produjo el acceso no autorizado. Las empresas advierten de que pueden llegar llamadas telefónicas y correo postal sospechosos relacionados con el incidente. La conclusión de este sitio: quien haya recibido envíos a través de Ichiban Kuji ONLINE no debe responder a llamadas ni a correo postal inesperados que digan proceder de Ichiban Kuji o de Bandai, y debe usar el formulario de consultas del sitio web oficial, abierto por sí mismo, para comprobar cualquier cosa.
Acceso no autorizado en Joshin (antes Joshin Denki) (hasta unos 6 millones de registros): nombres, direcciones y teléfonos de socios pueden haberse filtrado, y qué deben hacer los usuarios
Joshin Corporation, que cambió su nombre desde Joshin Denki Co., Ltd. el 1 de abril de 2026, anunció el 17 de octubre que había detectado un acceso no autorizado el 16 de octubre y que, tras adoptar medidas como restringir el acceso desde el exterior, no podía prestar algunos servicios (presentado ante la Bolsa de Tokio el 19 de octubre). Su segundo aviso, del 26 de octubre, indica que detectó una anomalía en su red el 16 de octubre y adoptó medidas como desconectar de la red los servidores con indicios de acceso no autorizado. Según el segundo aviso, la información que puede haberse filtrado es: hasta unos 6 millones de registros del servidor de la base de datos de socios (nombre, dirección, teléfono, número de socio); hasta unos 230.000 registros del servicio de suscripción de Joshin (número de socio, teléfono + firma manuscrita (datos binarios), ID de inicio de sesión y contraseña inicial, historial de facturación, número de contrato e ID de dispositivo, código de activación); y hasta unos 800 registros del sistema de subida de fotos de reformas (2 imágenes de permisos de conducir, 1 tarjeta My Number, 5 números de cuenta bancaria y fotos de obras de reforma en curso). La empresa afirma que son recuentos totales de registros que pueden haberse filtrado, no cifras de filtración confirmadas. No guarda datos de pago, incluidos los de tarjetas de crédito. Ha consultado e informado a la Comisión de Protección de Información Personal y a la policía. No se han anunciado la causa, la vía de intrusión ni cuándo se reanudarán los servicios suspendidos. Conclusión de este sitio: un mensaje que dice proceder de Joshin no es auténtico solo porque acierte su nombre, dirección o número de socio. No use sus enlaces ni sus números de teléfono; compruébelo a través del contacto indicado en el aviso o de un sitio oficial que usted mismo abra.
Brecha del sitio de encuestas Qzoo (unos 400.000 registros): pueden haberse filtrado datos de socios, incluidos datos de cuentas bancarias, y qué deben hacer los socios
El 21 de octubre de 2026, Monitas Inc. anunció que su sitio de encuestas Qzoo había sido accedido sin autorización por un tercero y que los datos personales de los socios (panelistas) podrían haberse filtrado. Según la cronología, el acceso no autorizado empezó a las 8:30 del 17 de octubre; a las 12:22 la base de datos fue consultada y actualizada mediante inyección SQL; a las 18:44 se detectó y bloqueó el acceso; a las 19:02 el servicio pasó a mantenimiento de emergencia; y el 20 de octubre se presentó un informe preliminar a la Comisión de Protección de Información Personal de Japón. El alcance es de unos 400.000 registros (todos los registros que tenía el sistema de Qzoo a 17 de octubre). La base de datos que puede haberse visto afectada almacena información básica (nombre, fecha de nacimiento, dirección, teléfono, dirección de correo, etc.), información de autenticación del socio (ID de socio, contraseña, etc.), información financiera (número de cuenta, nombre de la sucursal, nombre del titular, etc.) y respuestas a encuestas (ingresos anuales, ocupación, etc.). Los datos concretos siguen en investigación. La empresa no guarda datos de tarjetas de crédito ni el My Number (el número nacional de identificación de Japón). Afirma que el intruso aprovechó una vulnerabilidad de su sistema. No se ha encontrado acceso no autorizado a sus otros sistemas. La opinión de este sitio: cambie hoy cualquier contraseña que comparta con Qzoo, no abra enlaces en mensajes que digan proceder de Qzoo o de un banco y nunca dé su PIN ni sus datos de acceso a nadie. Revise también los movimientos de su cuenta bancaria.
Filtración de M3 en "MR-kun" (25.775 miembros de m3.com y otros, 2.260 empleados farmacéuticos): qué se filtró y qué deben hacer los médicos y el personal de las farmacéuticas
El 15 de octubre y el 23 de octubre de 2026 (segundo aviso), M3, Inc. anunció que un tercero había accedido sin autorización al sistema de MR-kun, un servicio que ofrece a empresas farmacéuticas, y que se habían filtrado datos personales. Según la empresa, confirmó el acceso no autorizado el 14 de octubre y ese mismo día cortó la vía que había identificado. El segundo aviso confirma filtraciones de 25.775 miembros de m3.com y otros (nombre, centro de trabajo, correo electrónico de algunos, parte de la información sobre su uso de los servicios de M3 e información que las farmacéuticas clientes habían registrado en el servicio (relaciones de asignación y similares); correo electrónico en 6 casos) y de 2.260 empleados de empresas farmacéuticas (nombre, centro de trabajo, correo electrónico de algunos y otros datos; correo electrónico en 264 casos). También incluye a algunos médicos que no son miembros de m3.com, cuyos datos las farmacéuticas habían confiado a M3. No se incluyeron contraseñas de acceso ni puntos m3, y M3 no guarda números de tarjetas de crédito. La causa no se ha publicado. La empresa afirma que no ha encontrado publicación ni uso indebido de los datos. Desde el 22 de octubre contacta individualmente a los miembros afectados en su correo registrado. Conclusión de este sitio: los médicos y demás usuarios de m3.com no deben abrir enlaces de mensajes que digan proceder de M3 o de un representante farmacéutico, ni facilitar contraseñas o datos bancarios.
Filtración en los pedidos online de Pizza Hut Japón: se filtraron direcciones de correo, números de teléfono y tokens de sesión de inicio de sesión, y qué deben hacer los clientes
El 23 de octubre de 2026, Pizza Hut Japan Ltd., que gestiona Pizza Hut en Japón, anunció que un tercero había accedido sin autorización a un sistema vinculado al servicio de pedidos online de Pizza Hut para Japón y que se había filtrado parte de la información de sus clientes. Según la empresa, el 19 de octubre confirmó que un tercero había accedido sin autorización a una API de pago vinculada al servicio de pedidos online (un mecanismo que intercambia información relacionada con los pagos entre sistemas) y había obtenido parte de la información de una base de datos que contenía información de clientes. La información cuya filtración se ha confirmado son ID de cliente, direcciones de correo, números de teléfono, registros relacionados con información de clientes eliminada, tokens de sesión de inicio de sesión y registros de transacciones. No se incluyeron datos de tarjetas de crédito. No se ha publicado el número de personas afectadas. La empresa afirma que la causa y el alcance completo siguen en investigación. La empresa bloqueó las direcciones IP atacantes, corrigió la vulnerabilidad y presentó un informe preliminar a la Comisión de Protección de Información Personal de Japón. No se ha confirmado ningún daño secundario, pero advierte de correos, mensajes de texto y llamadas sospechosos que suplanten a la empresa o a Pizza Hut. Conclusión de este sitio: cualquiera que haya usado los pedidos online de Pizza Hut Japón no debe abrir enlaces en mensajes que digan proceder de Pizza Hut, y debe comprobar su historial de pedidos en la app oficial o en el sitio web oficial que abra usted mismo.
Acceso no autorizado a Rakuten Travel (hasta unos 2,6 millones de registros): nombres, datos de contacto y datos parciales de tarjetas de reservas de hoteles en el extranjero, y qué deben hacer los usuarios
El 26 de octubre de 2026, Rakuten Group, Inc. anunció que había confirmado un acceso no autorizado por parte de un tercero externo a algunas páginas del sitio de reservas de hoteles en el extranjero de Rakuten Travel, gestionado y operado por su filial Rakuten Travel Xchange, y al sitio de reservas multilingüe que opera Rakuten Group. En las páginas de reservas de hoteles en el extranjero (incidente 1), se detectó una anomalía el 10 de septiembre y la corrección del sistema se completó el 16 de septiembre. La información que fue objeto del acceso no autorizado abarca nombres, direcciones de correo, números de teléfono y números de identificación internos de hasta unos 2,6 millones de registros de clientes que iniciaron sesión y, para hasta unos 40.000 registros de clientes que reservaron, nombres, datos de contacto, país de residencia, datos de la reserva y nombres de los acompañantes; además, la información de pago (número de identificación del emisor de la tarjeta y últimos cuatro dígitos, nombre del titular, fecha de caducidad y marca de la tarjeta) de hasta unos 36.000 de ellos. No se incluyen los números completos de tarjeta, los códigos de seguridad, las contraseñas, los documentos de identidad ni las direcciones postales (según la nota del apartado de quienes reservaron). En el sitio de reservas multilingüe (incidente 2), detectado el 20 de octubre y corregido el 21 de octubre, se vieron afectados las direcciones de correo y los ID internos de hasta unos 860.000 registros de clientes que iniciaron sesión, y los nombres de cuenta y las direcciones de correo de hasta unos 40.000 registros de personal de alojamientos introducidos en la pantalla de administración. No se han anunciado la causa, el periodo abarcado ni ninguna compensación. Conclusión de este sitio: un mensaje que le pide volver a introducir su número de tarjeta o pagar no es auténtico solo porque acierte su reserva o los últimos cuatro dígitos de su tarjeta. No use los enlaces de correos ni de mensajes de texto; compruebe su reserva en la app de Rakuten Travel o en un sitio oficial guardado en marcadores.
FortiBleed (filtración de credenciales de FortiGate, unos 74.000 dispositivos): no es una vulnerabilidad nueva, por lo que las contraseñas de administrador y VPN deben cambiarse
FortiBleed es la filtración y el uso indebido a gran escala de credenciales de administrador y de SSL VPN de FortiGate, el dispositivo de cortafuegos y VPN de Fortinet. El 18 de junio de 2026, CISA advirtió de que se habían filtrado credenciales asociadas a unos 74.000 dispositivos. El 19 de junio, Fortinet afirmó que no es una vulnerabilidad nueva y que la actividad probablemente implica la reutilización de credenciales de incidentes anteriores y ataques de fuerza bruta contra dispositivos con contraseñas débiles y sin autenticación multifactor. El 23 de junio, JPCERT/CC emitió una alerta en la que afirmaba haber confirmado que los datos incluyen información relacionada con empresas japonesas. El 6 de octubre, el FBI y el Servicio Secreto de EE. UU. advirtieron de que la actividad continúa, que algunos administradores han quedado bloqueados fuera de sus dispositivos y que el acceso se ha utilizado como punto de entrada para ransomware. Actualizar a un firmware corregido no invalida las contraseñas filtradas. Conclusión de este sitio: si usa FortiGate, cambie las contraseñas de administrador y VPN, active la autenticación multifactor, retire la interfaz de gestión de internet y elimine las copias heredadas de las contraseñas de administrador en SHA-256.
Datos de la campaña de Fujicco posiblemente filtrados (unas 15.500 inscripciones): nombres, direcciones, datos familiares y qué deben hacer quienes participaron
El 22 de octubre de 2026, Fujicco Co., Ltd., fabricante japonés de alimentos conocido por su yogur del Mar Caspio y sus productos de alga kombu, anunció que un servidor de la empresa con la que contrata la gestión de las inscripciones a sus campañas había sido accedido sin autorización por un tercero externo, y que los datos personales de los participantes podrían haberse filtrado. El acceso se detectó el 21 de octubre y el servidor se desactivó de inmediato. Los datos corresponden a la información personal introducida en los formularios de inscripción para no socios de dos campañas realizadas desde mayo de 2026: la serie de yogur del Mar Caspio «¡Motto! Campaña Toro-mocchi Parte 2» y la «Campaña Festival de Agradecimiento de Fujicco». En total hay unas 15.500 inscripciones, incluidas las repetidas por una misma persona. Los datos incluyen nombre, edad, sexo, ocupación, estado civil, composición familiar, número de teléfono, correo electrónico, dirección y respuestas a encuestas. No se incluyen licencias de conducir, tarjetas de crédito ni números de cuenta bancaria. Las inscripciones hechas como socio de Fujicoin, por postal o en X no se ven afectadas. No se ha confirmado la publicación ni el uso indebido de los datos, pero la empresa trata los datos como obtenidos por un tercero. La conclusión de este sitio: quienes se inscribieron a través de los formularios afectados no deben pagar gastos de envío o gestión, reenviar recibos ni volver a introducir datos personales cuando se lo pidan, y deben consultar en la oficina de la campaña, en el número que figura en el aviso oficial.
Posible filtración de datos de la app FX Navi de Green Monster (unos 6,19 millones de registros): direcciones de correo y respuestas de encuestas entre los datos, y qué deben hacer los usuarios
El 23 de octubre de 2026, Green Monster Inc. (Bolsa de Tokio, Growth, 157A) anunció que la información de los usuarios de su app de operaciones demo de FX FX Navi (FXなび) puede haber sido obtenida por un tercero (primer informe). El 17 de octubre detectó un acceso no autorizado a la app por parte de un tercero e inició una investigación. En esa investigación encontró que, desde aproximadamente las 20:26 del 27 de abril hasta aproximadamente las 14:26 del 30 de abril, un tercero que usaba una dirección IP diferente pudo haber obtenido de forma continua información de los usuarios de la app. Afirma que no se ha confirmado ninguna filtración derivada del acceso del 17 de octubre en sí. Pueden haberse obtenido unos 6,19 millones de registros, incluidos datos que no son información personal. Los datos son dirección de correo (66.003), apodo, sexo, grupo de edad, categoría de ocupación, ID de X (antes Twitter) (6.434), texto de presentación, URL de la imagen de icono, respuestas a la encuesta de primer inicio (4.809.631), ID del dispositivo, credenciales de inicio de sesión, código de transferencia de cuenta (5.120), identificador de notificaciones push, ID publicitario, dirección IP de origen y datos de uso como los resultados de operaciones. Nombre, dirección, teléfono, fecha de nacimiento, tarjeta de crédito, cuenta bancaria y Mi Número (número de identificación nacional de Japón) no son datos que los usuarios puedan registrar. La empresa dice que la causa fue una función de la API de la app; corrigió la función de la API y las credenciales de inicio de sesión, e invalidó todas las credenciales emitidas antes de la corrección. No se ha confirmado ningún daño secundario. Conclusión de este sitio: los usuarios de FX Navi no deben abrir enlaces ni archivos adjuntos en correos o mensajes de X que aleguen proceder de la empresa o de empresas relacionadas, y deben tratar cualquier oferta de inversión como falsa.
Filtración de datos de miembros de la tienda online y la app de Lindt Japón (3.147.469 registros): nombres, direcciones, teléfonos, fechas de nacimiento y contraseñas con hash expuestos, y qué deben hacer los miembros
El 23 de octubre de 2026, Lindt & Sprüngli Japón, la filial japonesa del fabricante suizo de chocolate, anunció que el sistema de la empresa externa que proporciona la plataforma de su tienda online y gestiona los datos de sus miembros había sido accedido sin autorización, y que 3.147.469 registros de miembros de su tienda online y de la app oficial de Lindt se habían filtrado. Según el informe del proveedor, una vulnerabilidad en un software utilizado en el servidor del proveedor fue explotada entre las 23:02 del 17 de octubre y las 0:16 del 18 de octubre (hora de Japón). Los datos filtrados son el ID de miembro, nombre, correo electrónico, dirección postal, teléfono, fecha de nacimiento, género, ajustes del boletín, tienda registrada, contraseña de acceso (almacenada con hash) y otros datos del miembro como la lectura del nombre, la fecha de registro y el último acceso. No se incluyeron datos de pago como tarjetas de crédito. A las 11:00 del 23 de octubre no se había confirmado ningún uso indebido. La tienda online está suspendida desde las 16:00 del 21 de octubre, y se pedirá a los miembros que cambien su contraseña cuando reabra. Los miembros afectados recibirán un correo a partir del 26 de octubre. Conclusión de este sitio: los miembros no deben seguir las instrucciones de correos, SMS, llamadas o cartas que digan proceder de Lindt, y deben cambiar ya la contraseña de cualquier otro servicio donde usaran la misma.
Filtración de direcciones de correo de la newsletter de Piccoma (1.002.404 registros): solo se expusieron direcciones de correo y qué deben hacer los usuarios
El 24 de octubre de 2026, Kakao piccoma Corp., que opera la aplicación de manga japonesa Piccoma, anunció que blastmail, el sistema de envío de correo de RAKUS Lite Cloud Corporation que utilizaba para enviar su newsletter, había sido accedido sin autorización por un tercero, y que 1.002.404 direcciones de correo de clientes que eran destinatarios de un envío de newsletter se habían filtrado. Piccoma tuvo conocimiento por el informe del servicio de envío el 24 de octubre. Solo se filtraron las direcciones de correo registradas para recibir la newsletter; la empresa afirma haber confirmado que no se incluyeron los números de gestión de clientes ni las fechas de la última compra. Las contraseñas nunca se entregaron a blastmail y no pueden haberse filtrado, y Piccoma no guarda nombres ni datos de tarjetas de crédito. No se accedió a la aplicación ni al sitio web de Piccoma ni a los sistemas propios de la empresa, y las cuentas, las contraseñas y los datos de compra no se vieron afectados. Hasta ahora no se ha confirmado ninguna filtración para la newsletter de Piccoma Novels. La empresa detuvo su newsletter, cambió la configuración para que los correos enviados desde blastmail no se traten como correos auténticos de Piccoma e informó a la Comisión de Protección de Información Personal de Japón. Afirma que contactará individualmente con los clientes afectados. Conclusión de este sitio: las personas que recibieron la newsletter de Piccoma no deben abrir enlaces en correos o mensajes de texto que digan proceder de Piccoma o de editoriales, deben comprobar en la aplicación y nunca deben introducir contraseñas o números de tarjeta desde un correo.
Filtración en la plataforma prepago Value Card (1,42 millones de registros, 1,13 millones de registros de MOS Card): números de tarjeta, PIN y saldos expuestos, y qué deben hacer los titulares
El 23 de octubre de 2026, PayCloud Holdings, empresa cotizada en el mercado de crecimiento de la Bolsa de Tokio, anunció que un tercero accedió sin autorización a los servidores de Value Card, un servicio interno de dinero electrónico (tarjeta prepago de tienda) que su filial Value Design Inc. proporciona a emisores de tarjetas, y que se expusieron 1.424.748 registros de números de identificación, PIN e información de saldo (569.224 IDs emitidos y 855.524 IDs no emitidos, es decir, IDs que aún no han sido adquiridos por un usuario). El acceso se confirmó el 19 de octubre y la causa fue que un tercero explotó una vulnerabilidad de un servidor web en parte del entorno de sistemas de la filial. No se vio involucrada información personal; se atendió el riesgo de uso indebido de los IDs emitidos y no hay daños reales por uso indebido. El mismo día, MOS Food Services, Inc., que gestiona la cadena MOS Burger y su tarjeta prepago MOS Card, anunció que el acceso no autorizado al sistema de Value Design, con el que tiene contratado el funcionamiento y mantenimiento de los servidores de MOS Card, expuso 1.133.070 registros de MOS Card (número de tarjeta de 16 dígitos, PIN de 6 dígitos y saldo; unas 570.000 tarjetas en circulación y unas 560.000 no puestas en circulación), y que restableció forzosamente los PIN vinculados a los números de tarjeta expuestos. No se incluyeron nombres, direcciones, números de teléfono ni datos de tarjetas de crédito. No se ha revelado qué tarjetas de otros emisores se vieron afectadas. Conclusión de este sitio: los titulares de MOS Card deben revisar su historial de uso por cargos que no reconozcan, contactar con la línea de ayuda específica si dejan de funcionar las consultas de saldo en línea y otras funciones similares, y no dar nunca su PIN ni el número de tarjeta a nadie que se lo pida.
Filtración en las tiendas online de FANCL y Attenir (368.184 y 417.312 socios): nombres, direcciones, teléfonos y fechas de nacimiento expuestos, y qué deben hacer los socios
El 16 de octubre de 2026, FANCL Corporation y Attenir Corporation, dos empresas japonesas de cosméticos y productos de salud, anunciaron que un tercero había accedido sin autorización a sus tiendas online entre el 3 y el 10 de octubre, y que parte de los datos de sus socios se había filtrado. El acceso se detectó en una investigación interna el 15 de octubre, y las empresas identificaron y detuvieron la función que lo causó. Los datos filtrados abarcan 393.785 registros de 368.184 socios de FANCL y 441.162 registros de 417.312 socios de Attenir. Los elementos son la dirección de correo electrónico, el nombre, la dirección postal, el número de teléfono, la fecha de nacimiento, el sexo, el número de cliente, una dirección de correo electrónico secundaria y su contraseña (una contraseña secundaria con hash que algunos socios establecieron; no se incluye la contraseña principal), los elementos de preguntas de seguridad (sin respuestas) y otros datos de registro como puntos y nivel de socio. No se incluyen datos de pago como tarjetas de crédito. No se ha confirmado ningún uso indebido ni daño secundario. La FAQ de FANCL indica que a los clientes afectados se les contactó en su correo electrónico registrado durante el 17 de octubre. La conclusión de este sitio: los socios de cualquiera de las dos empresas deben asumir que su nombre, dirección, teléfono y fecha de nacimiento son conocidos, no deben seguir instrucciones de correos, mensajes, llamadas o cartas que digan proceder de las empresas, y deben comprobarlo a través del sitio oficial o de la línea de ayuda compartida.
La filtración de Trustbank en Furusato Choice (4.454.097 registros de socios): nombres, direcciones y contraseñas con hash expuestos — qué deben hacer los donantes
El 20 de octubre de 2026, Trustbank, Inc., que gestiona Furusato Choice, un sitio importante para el sistema japonés de donaciones de impuesto a la residencia local (furusato nozei), anunció que un tercero había obtenido acceso no autorizado a datos de socios y que los datos personales de los donantes se habían filtrado. Tras notar patrones de acceso inusuales el 19 de octubre, la empresa comprobó que el acceso no autorizado se había producido el 17 de octubre y cerró los servicios relacionados a las 15:50 del 19 de octubre. La filtración confirmada abarca 4.454.097 registros de socios: nombre, dirección de correo electrónico, dirección postal, número de teléfono, contraseña con hash e importe estimado de la deducción fiscal por donación. En un segundo informe del 23 de octubre, la empresa dijo que, en el caso de cinco de estos donantes, se habían filtrado otros datos, entre ellos el historial de puntos, el historial de donaciones, la fecha de nacimiento y la dirección de entrega. En el caso de dos de ellos, un tercero accedió a la pantalla Mi Página, que muestra los datos de tarjeta guardados (últimos cuatro dígitos, nombre del titular, fecha de vencimiento). La empresa afirma que los datos de la tarjeta se obtienen del procesador de pagos cada vez que se muestra esa pantalla, que no se almacenan en sus sistemas y que no pueden usarse por sí solos para realizar un pago con tarjeta. Desde el 21 de octubre se envía a los socios un correo electrónico individual para informarles de si sus datos se filtraron y qué datos fueron. En un tercer informe del 26 de octubre, la empresa dijo que ese día había empezado a reanudar de forma gradual el sistema de gestión de donaciones que usan los ayuntamientos y los proveedores de regalos de agradecimiento (sus preguntas frecuentes del mismo día dicen que desde el 25 de octubre). No se aceptan nuevas donaciones, y no se ha fijado una fecha de reanudación del sitio para donantes. Se han invalidado las contraseñas de todos los socios, y habrá que establecer una nueva contraseña tras la reanudación. La conclusión de este sitio: los socios deben cambiar la contraseña de cualquier otro servicio en el que usen la misma combinación de correo electrónico y contraseña, y no deben abrir enlaces en mensajes que digan proceder de Furusato Choice o de un ayuntamiento.
Filtración de datos de and ST HD (unos 2,5 millones de registros de clientes): qué pudo filtrarse y qué deben hacer los miembros
El 23 de octubre de 2026, and ST HD Co., Ltd. anunció que un acceso no autorizado de un tercero a sus servidores de negocio pudo filtrar parte de los datos de clientes, socios comerciales y empleados. Según la empresa, desde aproximadamente las 7:30 del 22 de octubre (hora de Japón) se realizaron, uno tras otro, intentos de inicio de sesión, intrusión y extracción de datos contra varios de sus servidores; la empresa detectó la actividad no autorizada hacia las 10:00, aisló los servidores y cortó la vía de acceso antes de las 17:00. Los datos que pudieron filtrarse abarcan unos 2,5 millones de registros de clientes (nombre, fecha de nacimiento, sexo, dirección, número de teléfono, correo electrónico e ID de socio) y unos 10.000 registros de socios comerciales (nombre de la empresa, direcciones de pedidos y devoluciones, nombre de la persona de contacto, teléfono y correo electrónico); el alcance para los empleados aún se está confirmando. Según la empresa, no se incluyen datos de pago como los de tarjetas de crédito ni las contraseñas fijadas por los propios clientes. Su tienda web and ST no se vio afectada por el acceso no autorizado, pero actualmente los puntos de socio no pueden usarse en tiendas ni en la tienda web. La empresa dice que está empezando a contactar de forma sucesiva a los clientes y socios comerciales afectados y que habilitará un servicio de consultas. Valoración de este sitio: como se indica que no se incluyen contraseñas, la prioridad hoy no es cambiar la contraseña, sino desconfiar de los mensajes que usen el nombre de la empresa o de sus marcas junto con su dirección o fecha de nacimiento reales. Compruebe la información en la app oficial o en un sitio web que usted mismo abra.
Acceso no autorizado al servicio de envío de correo blastmail (datos de cuenta de todos los clientes y listas de destinatarios y datos similares de 345 contratos): qué deben hacer los destinatarios de boletines y las organizaciones clientes
El servicio de envío de correo blastmail, proporcionado por RAKUS Lite Cloud Co., Ltd., filial de RAKUS Co., Ltd., sufrió el acceso de un tercero externo, que extrajo datos. La empresa cerró el servicio de emergencia a las 0:30 del 21 de octubre de 2026, y la matriz RAKUS publicó ese mismo día un primer y un segundo informe. Según los avisos, el tercero entró en dos servidores de API, ejecutó comandos y se conectó al sistema de gestión de ventas y a la base de datos del servicio para extraer datos. Del sistema de gestión de ventas se tomaron el nombre de empresa, el nombre de contacto, el teléfono, el correo electrónico, el correo de facturación y el historial de contratos y pagos de todos los clientes. La empresa no conserva números de tarjeta de crédito. En algunos clientes también se confirmó la filtración de datos de envío, como listas de destinatarios. En su actualización de las 17:00 del 26 de octubre, la empresa indicó que se había encontrado un caso más, con lo que la cifra llegaba a 345 contratos, y que había contactado individualmente con todos ellos. La vía de intrusión está en investigación, y en su actualización de las 12:00 del 30 de octubre la empresa indicó que la cifra seguía siendo 345 y que apunta a reanudar el servicio hacia el 11 de noviembre (sujeto a cambios). En los avisos de organizaciones clientes, The Niigata Nippo indicó que se filtraron los datos de todos los miembros de su servicio Niigata Nippo Passport, hasta unas 253.000 personas, incluidos nombre (en katakana), correo electrónico, sexo y franja de edad. JR Shikoku indicó que unos 30.000 registros podrían haberse filtrado, la ciudad de Yokohama informó de tres servicios de correo relacionados, el Ministerio de Medio Ambiente informó de seis boletines y Japan Petroleum Exploration (JAPEX) informó de que su boletín y los envíos a destinatarios de eventos para inversores podrían estar afectados. giftee indicó que confirmó que su contrato no estaba entre los 288 contabilizados al 23 de octubre. Conclusión de este sitio: quienes reciben boletines de estas organizaciones no deben abrir enlaces aunque el nombre del remitente sea auténtico, y deben comprobarlo a través del sitio oficial. Las organizaciones que usan blastmail deben confirmar si fueron contactadas, decidir si notifican a la Comisión de Protección de Información Personal (informes conjuntos con la empresa: segunda ronda de solicitudes hasta el 5 de noviembre) y si avisan a las personas afectadas, y advertir a su propio personal sobre correos de facturación o de nuevo inicio de sesión que se hagan pasar por blastmail o RAKUS, ya que se tomaron los datos de contacto de todos los clientes.
Acceso no autorizado al sistema de gestión de clínicas @link (at-link) de Medley: filtración de nombres, fechas de nacimiento, ID de acceso y contraseñas de pacientes — qué deben hacer pacientes y clínicas
El 15 de octubre de 2026, Medley, Inc. anunció un acceso no autorizado de un tercero a su sistema de gestión de instituciones médicas @link (at-link), a la app at-link para pacientes y a servicios relacionados, y dijo que los suspendió desde altas horas de la noche del 14 de octubre. Según la empresa, comenzó a investigar el 11 de octubre, después de que una organización especializada externa la alertara de un posible acceso no autorizado, y confirmó el acceso. El 23 de octubre informó de que había confirmado que, desde finales de septiembre hasta mediados de octubre de 2026, el tercero accedió a la base de datos de la empresa mediante un programa que había instalado sin autorización y obtuvo información, y que hubo filtración de datos personales. Para los pacientes que usaron la app at-link o la reserva web, los datos filtrados son: nombre, lectura del nombre (furigana), mes y día de nacimiento, correo electrónico (solo si lo registraron), ID de acceso y contraseña de la app y de la reserva web, nombre de la clínica utilizada, fecha de registro, fecha de la última visita e historial de pagos con tarjeta de crédito (solo fecha y monto del pago; solo para quienes pagaron en línea mediante la app). Para los pacientes que no usaron la app ni la reserva web, los datos filtrados son: nombre, furigana, mes y día de nacimiento, nombre de la clínica utilizada, fecha de registro, fecha de la última visita y el ID de acceso y la contraseña inicial de la app y de la reserva web. La empresa dice que no conserva números de tarjeta. El número de clínicas y de personas afectadas está en investigación; la empresa notificará a los afectados de forma sucesiva, en colaboración con las clínicas. No ha revelado el método concreto, porque hacerlo podría invitar a ataques similares. Ha cerrado la vía de acceso, ha invalidado todas las credenciales relacionadas y ha informado a la Comisión de Protección de Información Personal y al Ministerio de Salud, Trabajo y Bienestar. Las contraseñas de la app y de la reserva web no se trasladarán; los usuarios establecerán una nueva al reiniciarse el servicio. En el aviso actualizado a las 12:30 del 28 de octubre, la empresa indicó que el 28 de octubre comenzó el uso de prueba de «@link Cloud beta», dirigido a las clínicas, en algunas clínicas (funciones en prueba: consulta y registro de reservas, información de pacientes y calendario de consultas), que la app para pacientes, el sitio de reserva web y otros servicios siguen suspendidos, y que prevé reembolsar las tarifas del periodo de suspensión dentro de noviembre. La investigación sobre la causa y el alcance continúa. Opinión de este sitio: quienes usaron la app at-link o la reserva web deberían cambiar la contraseña en cualquier servicio donde la reutilizaran y no abrir enlaces en mensajes que mencionen su clínica o sus visitas. Las clínicas deberían dirigir las consultas de los pacientes al contacto específico de la empresa.
Acceso no autorizado a Nikkei (unos 1,83 millones de registros): nombres, correos electrónicos y otros datos filtrados en unos 150 000 — qué deben hacer los usuarios
El 16 de octubre de 2026, Nikkei Inc., la editorial de periódicos japonesa, anunció que un servicio en la nube que usa para el desarrollo de sistemas había sido objeto de un acceso no autorizado y que, a fecha del día 16, se habían filtrado unos 1,83 millones de registros de información personal. Unos 150 000 contenían al menos uno de estos datos: nombre, correo electrónico, dirección postal, número de teléfono o fecha de nacimiento, y unos 120 000 de ellos incluían un correo electrónico. Los restantes, unos 1,68 millones, constaban solo de identificadores que no permiten identificar a una persona por sí solos. No se incluyó información de tarjetas de crédito. Según la empresa, las credenciales de acceso al servicio en la nube fueron robadas de algún modo, y el acceso no autorizado se produjo desde la madrugada hasta la mañana del 7 de octubre. La empresa deshabilitó las credenciales utilizadas y notificó el incidente a la Comisión de Protección de Información Personal de Japón el 11 de octubre. A fecha del día 16 no se habían confirmado daños secundarios como el uso indebido de los datos, ni caídas del sistema ni alteración de datos. La empresa afirma que notificará individualmente a quienes tengan confirmada la filtración de sus datos. La empresa del grupo Nikkei National Geographic indicó el 22 de octubre que se incluía información de algunos usuarios de sus servicios. No se ha revelado qué usuarios de qué servicios están afectados, las cifras por tipo de dato ni cómo se robaron las credenciales. Opinión de este sitio: no use enlaces ni números de teléfono de correos o llamadas que digan ser de Nikkei; compruébelo en el sitio oficial.
Filtración de datos de Treasure Factory (Trefac) (746.277 registros de correo): qué deben hacer los clientes de compra a domicilio y de Trefac Moving
El 23 de octubre de 2026, Treasure Factory Co., Ltd., una minorista japonesa de artículos de segunda mano, anunció que un tercero había accedido sin autorización al sistema de gestión de casos que usa para recibir y tramitar las solicitudes de su servicio de compra a domicilio (shutchō kaitori) y de su servicio Trefac Moving, y que se había llevado parte de los datos de clientes y otros datos almacenados allí. Según la divulgación oportuna de la empresa, los datos confirmados son 746.277 registros de clientes (direcciones de correo electrónico; 11 de ellos incluyen también nombre y dirección), 750 registros de nombres y correos electrónicos de socios comerciales, empleados y otras personas, y 1.000 registros de nombres e identificadores de dispositivos usados por socios comerciales, empleados y otras personas. No se incluyeron números de tarjeta de crédito ni otra información de pago, y los datos de clientes que se conservan en las tiendas y en la app de la empresa se gestionan en sistemas distintos y no se vieron afectados. La empresa confirmó el acceso mediante una revisión de los registros de acceso el 20 de octubre y ese mismo día cortó el acceso externo y los formularios de solicitud. Cree que se aprovechó una vulnerabilidad relacionada con el acceso a la base de datos, y afirma que el incidente no tiene relación con una vulnerabilidad de PHP divulgada recientemente. No se ha confirmado ningún daño secundario. Está previsto reiniciar el sistema y los formularios de solicitud alrededor del 28 de octubre. Conclusión de este sitio: si alguna vez solicitó la compra a domicilio o Trefac Moving, suponga que su dirección de correo electrónico es conocida, no abra enlaces de correos que digan ser de Trefac y compruebe la información en el sitio oficial.
Filtración de CAPCOM ID de Capcom (11.774.247 registros): se filtraron direcciones de correo y datos de inicio de sesión — qué deben hacer los titulares de cuentas
El 22 de octubre de 2026, Capcom Co., Ltd. anunció que su servicio de membresía en línea CAPCOM ID (la cuenta común que se usa en los servicios web de Capcom y en algunos juegos en línea) fue objeto de un acceso no autorizado por parte de un tercero y que parte de la información de clientes se filtró. Los datos filtrados son direcciones de correo electrónico e información de identificadores propios del sistema (fecha y hora de creación de la cuenta, fecha y hora del último inicio de sesión, número de inicios de sesión y la dirección IP del cliente usada en el último inicio de sesión), en 11.774.247 registros en todo el mundo. En 43 de ellos también se filtraron la fecha de nacimiento, el género, el país o región y el apodo. En 196 de las cuentas, la contraseña de inicio de sesión había sido cambiada sin autorización; la empresa ya restableció esas contraseñas. Según su segundo aviso del 23 de octubre, en 19 de esas 196 cuentas (en Japón) un tercero no autorizado accedió a las páginas de cuenta de e-Capcom, la tienda en línea de la empresa en Japón, y se filtró lo siguiente: nombre, nombre en caracteres fonéticos japoneses, número de teléfono, código postal, dirección, género, fecha de nacimiento, historial de compras, historial de consultas de e-Capcom e información de la libreta de direcciones guardada. En las 177 cuentas restantes de las 196, la empresa no encontró información comprometida como resultado de los cambios de contraseña. La empresa dice que no ha confirmado ninguna filtración de las contraseñas establecidas por los propios clientes y que la información de tarjetas de crédito no estaba entre los datos afectados. Según la empresa, el 19 de octubre encontró rastros que sugerían un acceso no autorizado, comenzó de inmediato a bloquear el acceso y a investigar la causa y el alcance, y confirmó el acceso no autorizado ese mismo día; el 20 de octubre confirmó la filtración y los cambios de contraseña; y el 21 de octubre informó del incidente a la policía y a la Comisión de Protección de Información Personal de Japón. Dice haber identificado y abordado el método de ataque, pero no ha divulgado detalles de la causa. En el segundo aviso indicó que la investigación sobre el alcance del impacto ha concluido y que seguirá monitoreando CAPCOM ID y los servicios relacionados. Los servicios que usan CAPCOM ID y todos los juegos siguen disponibles. Indicó que se pondrá en contacto individualmente con los clientes afectados y que habilitará canales de atención específicos para cada región. Opinión de este sitio: los titulares de CAPCOM ID no deben abrir enlaces en correos o mensajes de texto que afirmen venir de Capcom, no deben dar datos personales por teléfono, deben cambiar cualquier contraseña que reutilicen en otros servicios y deben activar la autenticación en dos pasos.
Filtración de datos de miembros de Comic Cmoa (hasta unos 4,2 millones de registros en archivos de registro): direcciones de correo y fechas de nacimiento expuestas — qué deben hacer los usuarios
NTT Solmare Corporation, que opera la tienda japonesa de libros electrónicos Comic Cmoa (コミックシーモア), publicó cuatro comunicados sobre un acceso no autorizado al servicio, desde un primer aviso el 15 de octubre de 2026 hasta un cuarto informe el 21 de octubre. Según la empresa, el 15 de octubre consideró que muy probablemente se había producido un acceso no autorizado desde el exterior a sus servidores y suspendió el servicio a las 11:35. En su segundo informe, del 16 de octubre, dijo haber confirmado que los datos de miembros del sistema que gestiona la información de los miembros se habían filtrado a un tercero (el número todavía se estaba examinando). En su tercer informe, del 18 de octubre, dijo haber identificado la vía de intrusión y el método de ataque y que los estaba atendiendo, y que algunos archivos de registro del sistema también habían sido vistos y sustraídos. En su cuarto informe, del 21 de octubre, describió los datos confirmados como filtrados como 319 registros de datos de registro en la base de datos de miembros (correo electrónico, contraseña cifrada, apodo, fecha de nacimiento, sexo) y hasta unos 4,2 millones de registros en archivos de registro del sistema (correo electrónico, apodo, fecha de nacimiento, sexo; sin contraseñas; posiblemente con duplicados de una misma persona). Afirma que los datos de tarjetas de crédito no se conservan en los sistemas afectados y no se filtraron, y que no se ha confirmado ninguna filtración del historial de compras ni ninguna filtración, pérdida o daño de MY Bookshelf (las bibliotecas de los usuarios). Dice que la identificación y el bloqueo de la vía de intrusión y del método de ataque están completados, pero no ha revelado cuáles fueron. Las personas afectadas serán contactadas por correo electrónico. El servicio sigue suspendido y se reanudará por fases, empezando por la lectura web de títulos comprados; se pedirá a todos los usuarios que restablezcan su contraseña al reanudarse. Nota de este sitio: quien use la misma dirección de correo y contraseña que en Comic Cmoa en otro servicio debería cambiar esa contraseña hoy, no debería abrir enlaces de correos que se hagan pasar por la empresa y debería consultar la página de comunicados de prensa de NTT Solmare abriéndola por sí mismo.
Brecha en proveedor de Iwai Cosmo Securities (4.975 clientes): qué se filtró, las órdenes no deseadas y qué deben hacer los clientes
El 16 de octubre de 2026, Iwai Cosmo Securities Co., Ltd., una corredora japonesa, anunció mediante una divulgación oportuna de su empresa matriz Iwai Cosmo Holdings que un tercero había accedido al sistema de un proveedor que utiliza para operar y mantener su sistema de negociación en línea, y que nombres, direcciones de correo electrónico y otros datos (氏名、メールアドレス他) de 4.611 clientes de negociación en línea se habían filtrado. La empresa detectó el acceso el 14 de octubre. En su segundo aviso del 20 de octubre, indicó que una revisión de los registros de acceso y de comunicación encontró 364 personas más, con lo que el total asciende a 4.975; dijo que esto no se debió a ningún acceso posterior. Los datos filtrados no incluyen los PIN de negociación, y la empresa afirma que no pueden usarse para iniciar sesión en cuentas ni para negociar. El segundo aviso también reveló que el 14 de octubre el sistema de gestión de operaciones también fue atacado, y se realizaron órdenes que los clientes no pretendían en 7 cuentas (5 de ellas se ejecutaron). Las operaciones han sido revertidas y los clientes no asumen ningún coste. La empresa afirma que los datos personales filtrados no se usaron en estas operaciones. Dice que el punto que permitió el acceso ha sido identificado y corregido, y que el proveedor añadió medidas como restricciones de acceso a las funciones de gestión. El método concreto no ha sido revelado. Nota de este sitio: no utilice enlaces ni números de teléfono en mensajes que digan proceder de Iwai Cosmo; revise su historial de órdenes y ejecuciones desde una página de inicio de sesión que usted mismo haya abierto, y contacte la línea oficial (0120-405-546) si tiene alguna duda.
Acceso no autorizado al servicio de envío de correo Cuenote FC de Ymirlink (ahora unos 51,63 millones de registros acumulados): incluye datos de socios de Express Reservation y smartEX. Qué deben hacer los destinatarios de boletines y las empresas clientes
El 26 de octubre de 2026, Ymirlink, Inc. (TSE Growth, 4372) publicó un segundo informe sobre el acceso no autorizado a su servicio de envío de correo Cuenote FC, en el que dice que se filtraron datos de 49 sistemas, un total acumulado de 51.628.280 registros. En su primer informe del 19 de octubre había estimado cinco sistemas y unos 9 millones de registros acumulados; tras revisar los registros de todos los sistemas, el 25 de octubre encontró indicios de acceso no autorizado y exportación de datos en 42 sistemas más. El número de registros filtrados sigue en investigación para 16 sistemas, y el total acumulado podría aumentar. Atribuye el incidente a una vulnerabilidad de una biblioteca y dice haber confirmado que se obtuvieron las credenciales de su personal de soporte y de control de calidad, que se instalaron programas maliciosos y que se usó información de sesión capturada al iniciar sesión para acceder sin autorización. En su sistema de gestión de clientes Cuenote BASE, 190 registros de información contractual de clientes (nombre de la empresa, nombre, teléfono, dirección de correo) podían consultarse. Dice que no ha encontrado indicios de que los datos personales filtrados se hayan hecho públicos o se hayan usado indebidamente. Entre las empresas clientes, JR Central, JR West y JR Kyushu anunciaron el 26 de octubre que, aunque al principio se les había dicho que sus servicios Express Reservation y smartEX no estaban afectados, se filtraron las direcciones de correo, los ID de socio, los nombres (en katakana) y los tipos de socio de los socios a los que se enviaron correos a través del servicio. En un segundo informe del 5 de noviembre, dijeron que el número de afectados es 172.735. AsMarq dijo el mismo día que se le había comunicado que probablemente se obtuvo sin autorización parte de los datos registrados en el entorno que utiliza. El 27 de octubre a las 21:00, Bandai Namco Entertainment Inc. y BANDAI SPIRITS Co., Ltd. anunciaron que se habían filtrado 346.247 registros (direcciones de correo e identificadores internos para gestionar Bandai Namco ID) del entorno THE GUNDAM BASE MEMBERS del servicio de correo de Bandai Namco ID; dicen que no se incluyen nombres, direcciones, historial de compras, contraseñas de acceso ni datos de tarjetas de crédito, y que se siguen comprobando otros entornos. Dicen que los correos que envíen sobre esto no contendrán URL. DCM Holdings (envío de correos de su programa de socios Maibo) dijo en su segundo informe del 30 de octubre que confirmó una filtración que afecta a 753.272 socios (a 29 de octubre), con la dirección de correo, el ID de socio, el nombre, el sexo, el año y mes de nacimiento y la prefectura de residencia; no se incluyen contraseñas, datos de tarjetas ni saldos o historial de puntos. La conclusión de este sitio: los socios de Express Reservation y smartEX no deben abrir enlaces ni siquiera en correos o SMS que muestren su nombre en katakana o su ID de socio, y deben comprobarlo a través de la aplicación oficial o de un sitio oficial guardado en marcadores. Los destinatarios de boletines no deben abrir enlaces de correos que digan proceder del remitente. Las empresas clientes deben confirmar con Ymirlink si su entorno está afectado y decidir si deben notificar a la Comisión de Protección de Información Personal y avisar a las personas afectadas.
Recruit: fuga o acceso no autorizado en Carsensor.net y C-MATCH (hasta 3.709.551 registros): nombres y direcciones de personas que contactaron a concesionarios podrían estar expuestos — qué deben hacer usuarios y concesionarios
El 21 de octubre de 2026, Recruit Co., Ltd. anunció que la información de usuarios y socios comerciales de Carsensor.net, su sitio de anuncios de coches usados (incluida la aplicación), y de C-MATCH, su servicio de apoyo empresarial para concesionarios de coches usados, podría haberse filtrado hacia el exterior como resultado de un acceso no autorizado. Según la empresa, detectó un acceso sospechoso desde el exterior a sistemas relacionados con Carsensor.net el 17 de octubre y suspendió todos los servicios relacionados desde aproximadamente las 17:00 de ese día. El 20 de octubre identificó los datos y el número (máximo) de registros personales que podrían haberse filtrado. La cifra es de hasta 3.709.551 registros: 3.210.421 de personas que contactaron a concesionarios a través del sitio (sobre todo nombre y dirección; las direcciones se limitan en principio a la ciudad o municipio), 5.289 de personas que publicaron reseñas, 483.168 de concesionarios registrados en C-MATCH (nombres y teléfonos del personal, números de licencia de comerciante de segunda mano, IDs de acceso, etc.; en el caso de autónomos, también información de cuentas bancarias para domiciliaciones) y 10.673 de empleados de la empresa y personal de contratistas y agentes de ventas. Ninguno incluye datos de pago como tarjetas de crédito, ni contraseñas de acceso. La causa es un acceso no autorizado por un tercero, cuyos detalles están bajo investigación. La empresa ha presentado un informe preliminar ante la Comisión de Protección de Información Personal de Japón y contactará individualmente a las personas afectadas de forma progresiva. Hasta el 21 de octubre no se había confirmado ningún daño secundario. Los servicios se están restableciendo por fases desde aproximadamente las 13:00 del 22 de octubre, empezando por los que se han confirmado seguros. La opinión de este sitio: quien haya contactado a un concesionario a través de Carsensor debe asumir que cartas, correos electrónicos y llamadas pueden proceder de alguien que conoce su nombre y dirección, no debe abrir enlaces ni archivos adjuntos en contactos inesperados, y debe consultar la página de avisos de Recruit.
Filtración de datos de H2O ID (unos 1,26 millones de registros) a través del sitio de reservas de los grandes almacenes Hankyu y Hanshin: direcciones, números de teléfono y fechas de nacimiento filtrados — qué deben hacer los miembros
El 19 de octubre de 2026, H2O Retailing Corporation y Hankyu Hanshin Department Stores, Inc. anunciaron conjuntamente que un tercero había accedido sin autorización al sitio de reservas de los grandes almacenes Hankyu y Hanshin, HANKYU HANSHIN E-STORES y Remo Order, todos gestionados por Hankyu Hanshin Department Stores, y que parte de los datos personales de los clientes se había filtrado. El 16 de octubre las empresas confirmaron un acceso no autorizado al sistema de gestión de clientes a través del sitio de reservas y detuvieron todo el sistema de ese sitio; el 17 de octubre confirmaron también accesos no autorizados en E-STORES y Remo Order y detuvieron ambos. El 19 de octubre se estableció que parte de los datos personales de unos 1,26 millones de H2O ID gestionados en el sistema de gestión de clientes se había filtrado. El comunicado indica que se filtró parte de los datos personales de casi todos los miembros de H2O ID. Los datos afectados son el H2O ID, nombre (en kanji y katakana), sexo, dirección de correo electrónico, código postal, dirección, número de teléfono móvil, número de teléfono, edad, fecha de nacimiento y los servicios utilizados con el H2O ID. En el caso de E-STORES y Remo Order, sigue en investigación si hubo filtración de datos; las empresas indican que esos servicios conservan el historial de pedidos, parte de la información de tarjetas de crédito (tipo de tarjeta, últimos cuatro dígitos, nombre del titular, fecha de caducidad), parte de la información de tarjetas de puntos y la información de la libreta de direcciones. No se conservan los números completos de tarjeta ni los códigos de seguridad. No se ha confirmado filtración de contraseñas de acceso ni uso indebido o daño secundario. La causa está en investigación. E-STORES reabrió a las 14:00 del 19 de octubre. La nota de este sitio: espere mensajes convincentes que conozcan su nombre, dirección, número de teléfono, fecha de nacimiento y los servicios que usa; no abra sus enlaces y compruebe en el sitio oficial que abra usted mismo o a través de los contactos del comunicado.
Incidente de acceso no autorizado al sistema de solicitudes de línea de NIFTY (hasta 542.513 registros): IDs de socio, nombres, direcciones y números de teléfono podrían estar expuestos — Qué deben hacer los clientes de fibra
El 19 de octubre de 2026, NIFTY Corporation, un proveedor de servicios de internet japonés, anunció (primer informe) que había confirmado un acceso no autorizado desde el exterior a su sistema de gestión de solicitudes y aceptación de líneas. Según la empresa, confirmó el acceso no autorizado alrededor de las 10:20 del 19 de octubre y bloqueó de inmediato el acceso desde el origen. El sistema es una herramienta interna de gestión que la empresa utiliza para registrar información; está separado del sitio web (formularios de solicitud, etc.) que los clientes usan para solicitar directamente. Podrían verse afectados hasta 542.513 registros. Abarcan a los clientes que solicitaron una línea desde 2019 (excluido el sitio web de la empresa), para los servicios @nifty Hikari, @nifty MAX Hikari y @nifty au Hikari Plus. Los datos son el ID de socio, nombre, sexo, fecha de nacimiento, dirección, número de teléfono y dirección de correo electrónico; esta es la lista completa de datos que podrían haberse filtrado, y lo que realmente se filtró está bajo investigación. El sistema no contiene datos de cuentas bancarias ni de tarjetas de crédito, que no están incluidos. El aviso no menciona contraseñas. La causa no se ha revelado; la empresa está investigando con especialistas externos y está en proceso de informar a la Comisión de Protección de Información Personal de Japón. Según la opinión de este sitio: quien haya solicitado uno de estos servicios desde 2019 debe asumir que los contactos podrían provenir de alguien que conoce su nombre, dirección, número de teléfono y fecha de nacimiento, y no debe seguir enlaces ni instrucciones de correos, mensajes de texto o llamadas que digan ser de NIFTY. Verifique a través de un contacto oficial que busque usted mismo.
Acceso no autorizado al creador de sitios web Studio: los datos de todos los usuarios y los envíos de formularios podrían haberse filtrado — qué deben hacer quienes enviaron formularios y los propietarios de sitios
El 16 de octubre de 2026, Studio Inc. anunció que un tercero había obtenido acceso no autorizado al entorno de nube que utiliza y que los datos de todos los clientes registrados en su creador de sitios web Studio podrían haberse filtrado. El tercero aprovechó una vulnerabilidad en algunas funciones de Studio para acceder al entorno y dejó sus datos al alcance desde el exterior. El periodo de acceso no autorizado confirmado va del 30 de septiembre al 1 de octubre de 2026 (hora de Japón); la empresa lo detectó en una investigación interna el 13 de octubre y terminó de corregir la vulnerabilidad y cerrar la vía el 13 y 14 de octubre. Los datos que podrían haberse filtrado incluyen datos de cuenta (nombres de usuario, direcciones de correo electrónico, contraseñas con hash y más), el contenido del editor de diseño y del CMS, el contenido de los formularios enviados en sitios creados con Studio, URL de vista previa en vivo, claves API y tokens de servicios externos registrados en integraciones API, contraseñas de páginas protegidas con contraseña y URL de notificación de webhooks. Algunos datos almacenados cifrados también podrían haberse leído, porque la clave necesaria para descifrarlos se leyó en el mismo acceso. La empresa no ha confirmado que un tercero haya sustraído realmente los datos, pero los trata como sustraídos. El número de personas afectadas y si ha habido algún uso indebido están en investigación. Empresas y organizaciones que crearon sitios con Studio también han indicado que los datos personales enviados a través de sus formularios podrían haberse filtrado: Luup indicó 21.368 registros, Link-U Group 7.663, TRUSTART unos 1.440 y el Museo Bosque Verde de Saitama, de la Prefectura de Saitama, 162. La Agencia Digital de Japón comunicó el 22 de octubre, tras haberle informado Studio Inc. del incidente el 16 de octubre, que las consultas introducidas en los formularios de contacto de su sitio web entre mayo de 2021 y marzo de 2023 (cinco categorías, hasta 8.833 registros en la mayor; hasta 13.323 en total, según la suma de este sitio) y 35 registros de cuentas de Studio podrían haberse filtrado. Sobre la notificación a la Comisión de Protección de Información Personal de Japón (PPC), Studio Inc. pidió primero el 17 de octubre a los usuarios de formularios que pospusieran las notificaciones individuales y luego indicó el 20 de octubre que, tras conversar con la PPC, los clientes pueden elegir entre notificar individualmente o de forma conjunta con Studio (en ambos casos, los clientes siguen decidiendo si notifican a las personas afectadas). El 19 de octubre añadió a su página de orientación que incluso las respuestas que son ofertas comerciales, spam o que plantean preocupaciones de seguridad exigen, en principio, notificar a la persona si contienen información que la identifica. Conclusión de este sitio: si envió un formulario en un sitio creado con Studio, revise el aviso del propietario de ese sitio y no abra enlaces de mensajes que mencionen lo que envió. Los propietarios de sitios deben cambiar su contraseña y rotar las claves de integración en el orden que indica Studio Inc.
Filtración en la app de Burger King Japón (unos 11,18 millones de registros): nombres, fechas de nacimiento y números de teléfono expuestos — Qué deben hacer los miembros
El 15 de octubre de 2026, BK Japan Co., Ltd., que opera Burger King en Japón, anunció que un tercero había accedido sin autorización a la app oficial de Burger King que gestiona y que había confirmado la filtración de información de los miembros de la app. El acceso se produjo del 2 al 7 de octubre de 2026, y la filtración se estableció el 13 de octubre. Se ven afectados unos 11,18 millones de registros de miembros de la app. Los datos son el ID de miembro, la dirección de correo electrónico, el tipo de registro, la prefectura, el género, la fecha de nacimiento, el nombre (en kanji y katakana), el número de teléfono, si el miembro tiene historial de pedidos móviles y si la dirección de correo electrónico está verificada. La empresa afirma que no conserva números de tarjetas de crédito, por lo que no se filtraron, y que hasta ahora no se ha confirmado ninguna filtración de información de contraseñas de inicio de sesión. La causa detallada está bajo investigación con una organización especialista externa, y en el momento del aviso no se había confirmado ningún daño secundario, como un uso fraudulento. No hubo seguimiento hasta el 17 de octubre. La opinión de este sitio: es probable que reciba mensajes convincentes que conozcan su nombre, fecha de nacimiento y número de teléfono; no abra sus enlaces y compruebe en la app oficial que usted abra. Si usa su fecha de nacimiento como PIN o contraseña, cámbiela.
Filtración de datos de miembros de SourceNext (22.519.960 registros): correos, contraseñas y direcciones podrían estar expuestos — Qué deben hacer los miembros
El 15 de octubre de 2026, SOURCENEXT CORPORATION anunció que un tercero había obtenido acceso no autorizado a los datos de miembros que gestiona y que datos personales de sus miembros registrados se habían filtrado fuera de la empresa. Según la compañía, desde alrededor de las 10:00 del 9 de octubre un tercero utilizó indebidamente una API de recuperación de datos de miembros para obtener información de los miembros; la compañía confirmó el acceso no autorizado alrededor de las 9:00 del 13 de octubre y completó la contención antes de las 13:36 del mismo día. Los datos que podrían haberse filtrado abarcan 22.519.960 registros. Los elementos son dirección de correo, contraseña, nombre, nombre en katakana, dirección, sexo, número de teléfono, número de fax, fecha de nacimiento, nombre de la empresa, cargo, departamento e identificadores del sistema (servicios contratados, fecha de registro, fecha de inicio de sesión, etc.); los elementos varían según cómo se registró cada miembro. Según la empresa, los datos de tarjetas de crédito no se almacenan en el sistema afectado y no están incluidos. En una actualización del 16 de octubre, la compañía dijo que la contraseña de todos los miembros ya ha sido desactivada y que las contraseñas antiguas ya no funcionan, y pidió a los miembros que establezcan una nueva. Un informe del 19 de octubre atribuye al portavoz de la compañía el almacenamiento cifrado y la exposición descifrada confirmada. La FAQ de la empresa indica que pidió a un especialista externo e independiente en seguridad que iniciara una investigación de terceros el 16 de octubre, que sus productos Super Security y Virus Security pueden seguir usándose como antes, y que los datos guardados en 1Password no están en poder de la empresa y no forman parte de la filtración. Por separado, el 27 de octubre y el 5 de noviembre la empresa anunció que un tercero había obtenido acceso no autorizado al proveedor del servicio de envío de correo que utilizaba (un contratista), por lo que podrían haberse filtrado direcciones de correo e información de pedidos usadas en los envíos (142.669 registros, contados como direcciones de correo distintas, en el segundo informe del 5 de noviembre; no se incluyen contraseñas, nombres, direcciones, teléfonos ni datos de tarjetas de crédito). La empresa dice que es un incidente aparte, sin relación con el del 15 de octubre. Opinión de este sitio: quien se haya registrado en SourceNext debe primero cambiar la contraseña de cualquier otro servicio que use el mismo correo y contraseña, luego establecer una nueva contraseña de SourceNext a través del sitio oficial que abra por sí mismo, y no usar enlaces ni números incluidos en correos, mensajes de texto, llamadas o cartas que digan ser de SourceNext.
Filtración de datos de IDARE (129.659 personas): saldos, historial de transacciones y algunos números de documentos de identidad expuestos — qué deben hacer los usuarios
El 13 de octubre de 2026, Fivot Inc. anunció que su aplicación de pago sin efectivo IDARE había sufrido un acceso no autorizado de terceros que filtró datos personales. Se explotó una vulnerabilidad en un software externo que la empresa utilizaba para atención al cliente y otras tareas, y los datos de su base de datos fueron obtenidos en varias ocasiones entre el 10 de agosto y el 27 de septiembre. Las personas afectadas son las 129.659 que se habían registrado hasta el 27 de septiembre, incluidas las que habían cerrado sus cuentas. Para todos, los datos filtrados incluyen número de teléfono, dirección de correo electrónico, fecha de nacimiento, ID de usuario, nombre visible, configuración y estado de la cuenta, saldo, historial de transacciones, y el nombre y la fecha de caducidad de la tarjeta IDARE. Para algunas personas también incluyen el nombre, la dirección, el sexo, la finalidad de uso y el número de documento de identidad presentado para la verificación de identidad, los últimos 4 dígitos del número de la tarjeta IDARE, los primeros 6 y últimos 4 dígitos de una tarjeta de crédito registrada para recargas, los últimos 3 dígitos de una cuenta bancaria registrada para recargas, el código de activación de la tarjeta física, y los ingresos anuales y datos del empleador introducidos para LADDER, un servicio de préstamos que cerró en octubre de 2021. No se vieron implicadas las contraseñas de inicio de sesión, las imágenes de documentos de identidad y de rostros, el Mi Número, los números completos de tarjeta, los códigos de seguridad, los PIN ni los números completos de cuenta. La empresa afirma que no se ha confirmado ninguna transacción fraudulenta y que para iniciar sesión se requiere autenticación multifactor. En su segundo informe del 21 de octubre, indicó que a esa fecha no se había confirmado ninguna transacción fraudulenta y expuso medidas de prevención con plazos (30 de octubre y 30 de noviembre). Se espera que una investigación de terceros, realizada por una organización especializada externa, esté compilada entre finales de noviembre y principios de diciembre, y la empresa afirma que publicará el informe cuando esté completo. Conclusión de este sitio: los datos filtrados por sí solos no permiten iniciar sesión ni pagar, pero un mensaje que indique correctamente su saldo o sus compras recientes no es prueba de que sea auténtico. No actúe según mensajes que digan ser de IDARE, de una compañía de tarjetas o de un banco a través del canal por el que llegaron, y nunca entregue a nadie su contraseña, PIN, código de seguridad o código de autenticación.
Filtración de SpeeCAN RAIDEN (2026): usuarios de alertas de desastre por correo y riesgo de estafas
El 13 de octubre de 2026, Arcadia Inc. anunció que un tercero accedió sin autorización a SpeeCAN RAIDEN, su servicio de notificación masiva por correo y otros mensajes, y que pudieron filtrarse los nombres de contacto, las direcciones de correo, los números de teléfono y fax, la información de personal y de contratos, y el texto de los mensajes enviados guardado como historial. Las cifras máximas son unas 3.136.000 direcciones de correo, unos 105.000 números de teléfono y unos 15.000 números de fax (todas son estimaciones y siguen bajo investigación). Arcadia detectó actividad sospechosa a las 16:30 del 11 de octubre, aplicó un bloqueo provisional hacia las 3:00 del 12 de octubre y, a las 11:00 del 13 de octubre, cerró los servicios que habían sido la vía de intrusión (raiden3 y s2, de Raiden School). El 14 de octubre añadió NET119 y 119RAIDEN a la posible filtración y, en su undécima actualización del 16 de octubre, dio cifras por servicio: para NET119, datos personales como nombres, fechas de nacimiento y direcciones vinculados a 9.020 direcciones de correo (confirmó que no se filtraron datos personales sensibles); para 119RAIDEN, unas 97.000 direcciones de correo y otros datos. Los servicios suspendidos se restablecieron hacia las 15:00 del 15 de octubre. No maneja datos de pago. Los municipios han publicado sus propios avisos; la ciudad de Shizuoka afirma haber establecido que se filtraron las direcciones de correo de 34.336 residentes registrados y otros datos, y ha visto correos falsos que se hacían pasar por una empresa de tarjetas y se enviaron desde el mismo dominio que las alertas reales, @raiden.ktaiwork.jp. En su 17.ª actualización del 21 de octubre, Arcadia indicó que un programa malicioso envió 1.423.428 correos de phishing desde su sistema entre la 1:17 y las 7:16 del 13 de octubre, que al menos 869.575 de ellos fueron a direcciones que la empresa no tiene, y que un organismo externo realizará una investigación en la dark web. También ha escrito a clientes y distribuidores sobre la presentación, en su nombre, de los informes a la Comisión de Protección de la Información Personal y al Ministerio de Asuntos Internos y Comunicaciones. En su 20.ª actualización del 22 de octubre comunicó a los clientes que deben usar la autenticación en dos pasos al iniciar sesión, para evitar que se repita, y en su 22.ª actualización del 23 de octubre pidió lo mismo a los clientes de Raiden School. En el informe publicado con su 21.ª actualización del 23 de octubre dice que se obtuvo un archivo de configuración mediante una vulnerabilidad del servidor de medios que publica los archivos adjuntos, lo que filtró una clave secreta usada para los inicios de sesión entre servicios, entre otras causas; que todos los servicios están dentro del alcance de la posible filtración; y que el recuento sigue bajo investigación (9.020 de ellos corresponden a NET119). Ha pedido una investigación detallada a un organismo de seguridad externo. En su 25.ª actualización (17:00 del 2 de noviembre) dijo que, aparte del envío del 13 de octubre, también se enviaron externamente desde su sistema presuntos correos de phishing los días 22 y 23 de octubre. Da dos causas: la cuenta de la API de envío de correo filtrada durante la intrusión del 11 al 13 de octubre cuya contraseña se rompió por fuerza bruta y se usó desde fuera, y, tras detenerse la integración con la API, el uso de una vulnerabilidad de confusión en el análisis de URL para abusar de nuevo de la API. Dice que detuvo la integración con la API hacia las 6:30 del 22 de octubre y corrigió la vulnerabilidad hacia las 10:30 del 23 de octubre, y que los correos no autorizados cesaron. En la 26.ª actualización, a las 16:15 del 6 de noviembre, dijo que está reanudando la función de integración por API con sistemas externos que se detuvo en la 19.ª actualización; los clientes deben cambiar ajustes para volver a usarla y se está contactando individualmente a los afectados. Conclusión: el remitente no permite distinguir lo real de lo falso, así que no bloquee al remitente de las alertas de desastre y no abra enlaces en correos que le pidan confirmar datos de tarjeta o personales.
Acceso no autorizado a Commune (166.505 registros de miembros, contados por comunidad): se filtraron datos de miembros de comunidades corporativas — qué deben hacer los miembros y los operadores
El 9 de octubre de 2026, Commune Inc. anunció que sus servicios de comunidades para empresas, Commune y Commune for Work, fueron accedidos sin autorización por un tercero externo, y que los datos de miembros de algunas comunidades se filtraron. Las filtraciones ocurrieron desde aproximadamente las 18:00 del 5 de octubre hasta aproximadamente las 21:00 del 6 de octubre, y desde las 13:17 hasta las 14:36 del 7 de octubre (hora de Japón). Su primer aviso indicó unos 307.000 miembros (estimación de personas únicas) como máximo posiblemente afectado. En un seguimiento del 21 de octubre, tras una investigación detallada, confirmó que 166.505 miembros resultaron afectados (el total de identificadores de miembro contados por comunidad, de modo que las personas en varias comunidades se cuentan una vez por cada una; incluye comunidades gestionadas por la empresa y comunidades de prueba o demostración, y excluye cuentas creadas por el atacante), y que 125.601 de ellos tenían datos que incluían direcciones de correo electrónico filtradas. En el resto, los datos filtrados incluyen nombres visibles, perfiles y pertenencias a grupos privados. A 144 miembros se les cambió la contraseña por una temporal sin su acción. No se confirmó la filtración de las propias contraseñas ni de mensajes directos, y la empresa no conserva datos de pago. Atribuye el incidente a enlaces de invitación de comunidades privadas obtenidos de forma ilegítima y a la suplantación de administradores. Empresas clientes que gestionan comunidades en el servicio también han publicado avisos; JMAM dijo que los nombres, direcciones, edades y números de teléfono de los perfiles de miembros de su comunidad Toki Labo también se filtraron. Para evitar el uso indebido de las direcciones de correo filtradas, Commune Inc. detuvo todas las comunidades por mantenimiento de emergencia desde las 00:50 del 10 de octubre y adoptó medidas como hacer obligatoria la autenticación de dos factores para las cuentas de administrador. El 16 de octubre anunció que las comunidades se reabrirían por fases, empezando por los clientes que lo soliciten, solo en la versión para navegador web y con algunas funciones restringidas (la aplicación, el nuevo registro con dirección de correo y el restablecimiento por «He olvidado mi contraseña» siguen no disponibles). Afirma que no se encontraron nuevos accesos no autorizados ni filtraciones durante el mantenimiento o las pruebas. El seguimiento del 21 de octubre también indica que la empresa presentó un informe preliminar ante el Ministerio de Asuntos Internos y Comunicaciones (Oficina Regional de Telecomunicaciones de Kanto) el 9 de octubre, ha comenzado a consultar a la policía, no encontró programas, cuentas ni configuraciones dejados por el atacante tras analizar todos los registros, y prepara una investigación forense por una organización externa. La opinión de este sitio: consulte el aviso de la empresa que gestiona su comunidad para saber si está afectado, y no abra enlaces de correos que aseguren provenir de la comunidad.
Filtración de Baitoru (hasta unos 3,89 millones de direcciones de correo): solo se filtraron correos — cómo reconocer mensajes falsos de entrevistas y estafas laborales
El 9 de octubre de 2026, dip Corporation anunció que el 6 de octubre había confirmado un acceso no autorizado de terceros a Baitoru y Baitoru NEXT, las bolsas de empleo que opera en Japón, y que algunas direcciones de correo de miembros se habían filtrado. El número de direcciones que posiblemente se filtraron es de hasta 3.885.771. La empresa afirma que solo se filtraron direcciones de correo y que no se incluyeron nombres, números de teléfono, contraseñas ni datos de tarjetas de crédito. Atribuye la causa a un acceso no autorizado desde el extranjero que aprovechó un fallo en la especificación de una parte de su sistema. Bloqueó todo acceso desde el extranjero y modificó el programa. No ha confirmado que los datos se hayan publicado en internet ni que se hayan usado indebidamente. Los miembros afectados fueron informados en los servicios el 6 de octubre y se les contacta individualmente por correo y otros medios. No hubo aviso de seguimiento hasta el 10 de octubre. La opinión de este sitio: aunque solo se hayan filtrado direcciones de correo, se sabe que pertenecen a miembros de bolsas de empleo. No abra enlaces en mensajes sobre horarios de entrevistas o confirmaciones de solicitudes; consulte la aplicación oficial que abra usted mismo. No pase a otras aplicaciones de mensajería ni responda a ofertas de «sueldo alto, pago el mismo día».
Filtración de datos de socios de Bookoff (6.383.279 personas): nombres, direcciones, correos electrónicos y hashes de contraseñas podrían estar expuestos — qué deben hacer los socios
El 9 de octubre de 2026, BOOKOFF GROUP HOLDINGS LIMITED anunció que un tercero había accedido sin autorización al sistema de gestión de socios de Bookoff en Japón, proporcionado por su filial BOOKOFF CORPORATION LIMITED, y que los datos de socios se habían filtrado fuera de la empresa. Según su segundo informe del 13 de octubre, los datos de socios fueron sustraídos desde el exterior entre el 4 y el 6 de octubre. La cifra es de 6.427.735 registros por número de socio, o 6.383.279 personas si los registros de socio con la misma dirección de correo se cuentan como una sola persona (212.371 de ellas, antiguos socios). Los afectados son socios de la app, socios de la tienda en línea y socios de la web; no están incluidas las personas que solo usan una tarjeta de socio y nunca se registraron en la app o la web. Los datos que podrían haberse filtrado son nombre, fecha de nacimiento, sexo, ocupación, apodo, correo electrónico, teléfono, código postal y dirección, hash de contraseña, número de tarjeta de puntos y número de socio (la ocupación y el apodo se añadieron mediante una corrección del 16 de octubre), aunque no se filtraron todos los datos de todos los socios. No están incluidos los datos de pago, como los de tarjetas de crédito, los datos de cuentas bancarias, el texto leído de documentos de identidad en las compras en tienda ni las imágenes de documentos de identidad de las compras por correo. La empresa envió correos a los socios afectados por etapas desde el 15 de octubre (el envío a todas las direcciones que pudo confirmar como entregables terminó el 22 de octubre) y les pide que cambien sus contraseñas de la tienda en línea oficial y de la app. El 23 de octubre anunció una consulta web en el sitio de socios de Bookoff que permite iniciar sesión y comprobar si uno está afectado, y dijo que había abierto una línea gratuita dedicada el 22 de octubre. En su tercer informe del 6 de noviembre, dijo que una investigación con expertos externos halló que un tercero había aprovechado un problema de control de acceso en parte del sistema que trata los datos de socios; no revela detalles técnicos como la configuración del sistema o los ajustes. Según el tercer informe, el alcance (servicios, personas y datos) no cambia respecto del segundo informe, y del 26 al 29 de octubre también avisó individualmente a los socios afectados mediante notificaciones en la app oficial. No se ha confirmado la publicación de datos de socios, el uso indebido de puntos ni la alteración de datos de socios, y la empresa dice que compensará íntegramente los puntos si se confirma un uso indebido derivado del incidente. Prevé presentar su informe definitivo a la Comisión de Protección de la Información Personal a principios de diciembre. Opinión de este sitio: quien se haya registrado mediante la app o la tienda en línea debe cambiar la contraseña desde la app oficial o un sitio web que abra por sí mismo, cambiarla en cualquier otro servicio donde la comparta y no abrir enlaces de correos o mensajes de texto que digan ser de Bookoff.
Malware en el PC de un contratista de Daiichikosho (unos 8,72 millones de registros): podrían haberse filtrado nombres, fechas de nacimiento y teléfonos de miembros de Big Echo y otras marcas — qué hacer
El 8 de octubre de 2026, Daiichikosho Co., Ltd. anunció que una empresa a la que externaliza el tratamiento de datos personales había informado de que un PC usado por uno de sus empleados estaba infectado con malware, y que los datos de clientes de Daiichikosho podrían haberse filtrado. Datos personales relacionados con el trabajo externalizado se habían almacenado temporalmente en ese PC. Los registros corresponden a unos 8.631.000 clientes que se registraron como miembros o hicieron reservas en las tiendas de la compañía (Big Echo, Mega Big, Karaoke CLUB DAM, Banana Club, B-GARAGE y DK Dining, tras eliminar duplicados) y unos 93.000 empleados, unos 8.724.000 en total. Los datos son nombre (nombre registrado), sexo, fecha de nacimiento, correo electrónico y número de teléfono. No se incluyeron contraseñas, y la compañía afirma que los puntos no pueden usarse solo con esta información. No se ha confirmado ninguna filtración externa real, uso indebido ni impacto en los sistemas propios de la compañía. El 9 de octubre se abrió una línea de consultas gratuita. En una adición fechada el 26 de octubre, la compañía indicó que está contactando individualmente, de forma escalonada, por SMS y otros medios a los clientes que podrían estar afectados, y publicó los números remitentes (NTT Docomo, au y Rakuten Mobile: 05036052572, que puede aparecer como +815036052572; SoftBank: 247473). Afirma que este contacto no significa que se haya descubierto una nueva filtración, y que no se ha confirmado ninguna filtración externa real ni uso indebido derivado del incidente. También afirma que el número remitente por sí solo no garantiza que un SMS sea auténtico. El 6 de noviembre publicó los resultados de una investigación forense realizada por una organización especializada externa: en el dispositivo que usaba el contratista se detectaron una infección de malware y comunicaciones no autorizadas con un servidor externo, y el malware tenía una función para enviar al exterior información del dispositivo, pero no se pudo identificar qué información se envió realmente ni en qué cantidad. No se ha confirmado ninguna filtración ni uso indebido de datos personales derivados del incidente. No se encontraron rastros que indiquen control remoto, y el malware ya estaba neutralizado cuando comenzó la investigación. Los avisos individuales a los clientes que podrían estar afectados continúan. Opinión de este sitio: no abra enlaces en mensajes que digan ser de Big Echo o DAM sobre cupones, renovación de membresía o puntos, ni en SMS que digan ser de Daiichikosho; consulte en la app oficial o en un sitio que abra usted mismo, y deje de usar su fecha de nacimiento como PIN o contraseña.
Posible filtración de correos de JR East, VIEW Card y JR Kyushu (2026): qué hacer
El 9 de octubre de 2026, East Japan Railway Company (JR East), VIEW Card Co., Ltd. y Kyushu Railway Company (JR Kyushu) anunciaron cada una que el servicio externo que usan para enviar correos a sus socios se vio afectado por un acceso no autorizado en un proveedor de servicios en la nube, y que no pueden descartar que las direcciones de correo y otros datos de sus socios hayan sido vistos u obtenidos. Las cifras son, como máximo, unos 1,67 millones de socios de eki-net y unos 390.000 socios del Otona no Kyujitsu Club (JR East); unos 4,03 millones de direcciones de correo de usuarios de VIEW's NET (VIEW Card); y, como máximo, unos 1,3 millones de socios de JR Kyushu Web (JR Kyushu). En eki-net, VIEW's NET y JR Kyushu Web solo están implicadas las direcciones de correo; en los socios del Otona no Kyujitsu Club también intervienen el número de socio, la fecha de caducidad de la tarjeta de crédito y la fecha de nacimiento. Quedan excluidos los nombres, direcciones, números de teléfono y números de tarjeta. El proveedor de servicios en la nube ha dicho que la interrupción iniciada a primera hora del 7 de octubre fue causada por un ataque de ransomware de un tercero. En su quinto informe, del 14 de octubre, el proveedor afirmó que no había encontrado rastro de que se consultaran o sacaran datos de los servidores virtuales de la zona afectada, y concluyó que no se filtraron datos al exterior. El 15 de octubre, tras recibir esas conclusiones, JR Kyushu anunció que no se había confirmado ninguna filtración de las direcciones de sus socios de JR Kyushu Web. El sitio de eki-net de JR East también indica que el 15 de octubre la empresa de envío de correo comunicó que había concluido que no se filtraron datos personales de socios de eki-net (consultado el 19 de octubre). En cuanto al Otona no Kyujitsu Club y VIEW Card, este sitio no encontró seguimiento al 19 de octubre (consultado en el sitio de cada empresa). En su séptimo informe, del 27 de octubre, el proveedor de servicios en la nube indicó que su investigación había concluido y señaló como causa una vulnerabilidad en un software de código abierto usado en el sistema de autenticación de su portal de gestión de clientes. Su conclusión de que no se filtraron al exterior datos de los servidores virtuales no ha cambiado. La postura de este sitio: JR Kyushu dijo que no se confirmó filtración alguna, y eki-net afirma que se le comunicó que no se filtraron datos personales de sus socios. Aun así, pueden llegar correos falsos que usen este incidente como pretexto. No inicie sesión desde enlaces de correos; compruebe a través de la aplicación oficial o de un marcador que haya guardado usted mismo.
Filtración de datos de NewsPicks (nombres de titulares de tarjetas y últimos dígitos, hasta 362.000 registros): qué se filtró a través de una herramienta de administración interna y qué deben hacer los usuarios
El 8 de octubre de 2026, Uzabase, Inc. anunció que una herramienta de administración utilizada en la operación de su servicio de noticias NewsPicks había sido accedida sin autorización por un tercero, y que datos personales de algunos usuarios podrían haberse filtrado. Su segundo aviso, del 9 de octubre, indicó que la intrusión aprovechó una vulnerabilidad de esa herramienta y ofreció recuentos máximos estimados por cada elemento: parte de los datos de tarjeta usados para pagos en la web (nombre del titular y los últimos 3 o 4 dígitos del número de tarjeta, entre otros) 362.000; direcciones de correo electrónico 323.000; categoría de nivel de puesto 273.000; afiliación 65.000; nombres 59.000; y otros. La empresa afirma que los números completos de tarjeta y los códigos de seguridad nunca se almacenaron en sus sistemas y no se filtraron, y que no se ha confirmado ninguna filtración de contraseñas. No se ha confirmado ningún daño secundario. La opinión de este sitio: un mensaje que cita los últimos dígitos de su tarjeta o su empleador no demuestra que sea auténtico. No abra enlaces; verifique a través de la aplicación oficial o de un sitio oficial que abra usted mismo, y vigile los extractos de su tarjeta.
Filtración de datos de skyticket (Adventure Inc.) (unos 14,64 millones de registros): contraseñas, datos bancarios de reembolso y datos de tarjetas de algunos usuarios expuestos. Qué deben hacer hoy los usuarios
El 9 de octubre de 2026, Adventure Inc. anunció tres incidentes de acceso no autorizado separados, cada uno por una vía distinta, que afectaron a su sitio de comparación y reserva de viajes skyticket. En el primero, se utilizó indebidamente una función administrativa como punto de partida para llegar a otros servidores y a datos almacenados en la nube; se filtraron unos 14,64 millones de registros, con nombres (también escritos como figuran en el pasaporte), fechas de nacimiento, direcciones de correo electrónico, números de teléfono, direcciones y el nombre del remitente usado en las transferencias bancarias, y unos 4,13 millones incluían contraseñas de socios con hash. En el segundo, se explotó una vulnerabilidad en un sistema de gestión empresarial, y 17.780 registros (incluidos duplicados, y se siguen contando) que contenían datos de cuentas bancarias de reembolso se filtraron o podrían haberse filtrado. En el tercero, una página de finalización de reservas de autobús podía mostrarse sin iniciar sesión, y unas 12.000 reservas fueron o podrían haber sido vistas. La empresa afirmó primero que los números de tarjeta no estaban entre los datos filtrados, pero lo corrigió en un segundo aviso del 16 de octubre: el número de tarjeta, el nombre del titular y la fecha de caducidad (en algunos casos, solo el número; sin códigos de seguridad) de hasta 6.140 personas que se registraron o usaron una tarjeta de crédito para pagar la cuota de la membresía «skyticket Premium» entre febrero de 2017 y junio de 2018 se filtraron en el primer incidente, junto con los ID de socio, nombres y contraseñas de un servicio de prestaciones sociales ofrecido como ventaja de Premium. No se expusieron imágenes de pasaportes y, a fecha del aviso del 9 de octubre, el único perjuicio secundario confirmado fue un acceso no autorizado a una cuenta de socio (el segundo aviso no indica si los datos de tarjetas filtrados han sido utilizados indebidamente). La opinión de este sitio: los socios deben cambiar hoy su contraseña desde el sitio o la aplicación oficial, cambiarla en todos los servicios donde la reutilizaron, revisar los extractos de la tarjeta a partir de octubre si se registraron o usaron una tarjeta para la cuota Premium en ese periodo, ignorar los mensajes sobre reembolsos, compensaciones o cambios de reserva, y no dar nunca a nadie el PIN bancario ni un código de un solo uso.
Programa de robo de tarjetas en la página de pago de PhotoGoods (Daiko Printing): qué deben hacer las personas que pagaron entre el 6 de agosto y el 11 de septiembre
El 16 de septiembre de 2026, Daiko Printing Co., Ltd. anunció el acceso no autorizado de terceros a PhotoGoods (photo-goods.com), el servicio que opera, y dijo que se había instalado un programa capaz de capturar ilegalmente los datos de tarjetas de crédito introducidos en la página de pago. El programa estuvo activo desde el 6 de agosto hasta que se eliminó el 11 de septiembre. Las personas que introdujeron una tarjeta en la página de pago en ese periodo (incluidas quienes no completaron una compra) podrían haber tenido expuestos el número de tarjeta, la fecha de vencimiento y el código de seguridad, junto con nombre, dirección, teléfono, correo electrónico e información derivada de su contraseña de socio (almacenada en forma convertida). La empresa afirma haber confirmado el acceso no autorizado mediante vulnerabilidades del sistema y el abuso de una función de subida de archivos. El número de personas afectadas y el alcance real están bajo investigación, y no había ningún aviso posterior al 7 de octubre. La opinión de este sitio: quien introdujo una tarjeta en ese periodo debe pedir a su emisor que cambie el número, cambiar la contraseña de cualquier otro servicio que comparta la contraseña de PhotoGoods e ignorar los enlaces de mensajes de «disculpas» o «reembolso».
Cómo comprobar si tu contraseña se ha filtrado: usar Have I Been Pwned con seguridad y las comprobaciones que ya traen tu navegador y tu móvil
Guía para comprobar contraseñas filtradas. Have I Been Pwned (HIBP) te dice si una dirección de correo aparece en una filtración de datos conocida, de qué servicio salió y qué tipos de datos se filtraron. Su comprobación de contraseñas (Pwned Passwords) aplica un hash a la contraseña en tu dispositivo y solo envía los cinco primeros caracteres del hash, así que la contraseña nunca se envía (documentación de la API de HIBP). La opinión de este sitio: comprueba tus contraseñas actuales donde ya están guardadas (Gestor de contraseñas de Google, la app Contraseñas del iPhone, el Monitor de contraseñas de Edge o tu gestor de contraseñas) en lugar de escribirlas en una web, y usa HIBP para las direcciones de correo. Un resultado de «no encontrado» no demuestra que no se haya filtrado nada.
Filtración en un proveedor de Daiwa Securities (unos 110.000 clientes, 220.000 registros): qué pudo filtrarse y qué deben hacer los clientes
El 5 de octubre de 2026, Daiwa Securities Co. Ltd., una de las mayores casas de bolsa de Japón, anunció que se había accedido sin autorización al servidor de un proveedor cuyo servicio utiliza para gestionar las consultas en línea de los clientes. Nombres, direcciones de correo electrónico, números de cuenta y otra información de 110.000 clientes, contenida en registros de consultas, pudo haberse filtrado; incluyendo consultas que no identifican a nadie, están implicados unos 220.000 registros. El acceso se produjo entre aproximadamente las 20:33 del 2 de octubre y las 8:01 del 3 de octubre, y no se encontró acceso no autorizado a los sistemas propios de Daiwa. La empresa afirma que estos datos no pueden usarse para acceder a cuentas u operar, incluida la negociación en línea, y que hasta el 5 de octubre no se habían detectado operaciones fraudulentas ni la publicación o difusión de los datos. El 6 de octubre, el proveedor publicó su propio aviso: los datos de consultas almacenados en los entornos de hasta cinco empresas clientes en el mismo servidor, de hasta 713.126 registros contados por consulta, pudieron haber sido sustraídos. Citando al mismo proveedor, Citizen Watch (unas 100.000 personas), Sompo Japan (unos 60.000 registros contados por consulta) y ORIX Life Insurance (unos 26.500 registros) también han anunciado que sus datos de clientes pudieron haberse filtrado. La nota de este sitio: espere mensajes falsos que conozcan su número de cuenta y sus consultas anteriores. Nunca inicie sesión desde enlaces en correos o SMS; entre desde un marcador o la aplicación oficial y revise allí su buzón de mensajes y su historial de operaciones.
Uso indebido del registro CPR de Dinamarca (unos 8,8 millones de personas): qué se obtuvo y qué deben hacer los residentes y las organizaciones que conceden acceso de consulta
El 5 de octubre de 2026, el Ministerio de Investigación, Educación y Digitalización de Dinamarca anunció que personas no autorizadas habían utilizado indebidamente el acceso legítimo de una empresa privada danesa para consultar datos del registro civil (CPR) y obtener nombres, direcciones, números CPR y otros datos de unos 8,8 millones de personas registradas, incluidas personas vivas, emigradas y fallecidas. El CPR incluye a unos 11 millones de personas. La administración del CPR detectó en la noche del 2 de octubre actividad irregular durante septiembre y suspendió el acceso de la empresa. No se incluyeron los nombres ni las direcciones de las personas con protección de nombre y dirección. Según medios daneses, el 9 de octubre la administración del CPR recordó a las 1.039 empresas con acceso de consulta sus normas de seguridad, y la ministra reconoció que la seguridad no había sido suficiente. Los medios también informan de que la contraseña 123456 se usó en cuentas de consulta; esto no ha sido confirmado oficialmente. Opinión de este sitio: quien conoce su nombre, su dirección y su número CPR puede seguir siendo un estafador. Los residentes nunca deben compartir datos de MitID ni códigos de un solo uso, y las empresas deben dejar de tratar estos tres datos como prueba de identidad.
Filtración en el sitio de encuestas infoQ (894.082 registros): qué se filtró y qué deben hacer los miembros
El 5 de octubre de 2026, GMO Research & AI, Inc. anunció que un tercero había accedido sin autorización a su sitio de encuestas infoQ y que se habían sustraído datos personales de los miembros. En su segundo informe, del 14 de octubre, confirmó que el número de registros sustraídos era 894.082 (el primer informe hablaba de hasta 948.498). Los datos son nombre, lectura del nombre (furigana), sexo, fecha de nacimiento, correo electrónico, domicilio, número de teléfono, contraseña cifrada, ID de miembro y otros datos de registro como el apodo y el saldo de puntos. La empresa afirma que no conserva datos de tarjetas de crédito ni My Number (el número de identificación nacional de Japón). Además, 611 intercambios de puntos por un valor de 2.869.500 yenes se convirtieron en códigos de regalo de Amazon sin el consentimiento de los miembros, y la empresa dice que los compensará en su totalidad (se abonará en las cuentas cuando se reanude el servicio). La empresa invalidó las contraseñas de todos los miembros el 7 de octubre. Según la empresa, el intruso aprovechó una vulnerabilidad del software utilizado en su sitio. Nuestra valoración: con fechas de nacimiento y domicilios incluidos, es fácil fabricar mensajes falsos convincentes. Cambie la contraseña de cualquier servicio que comparta con infoQ, active la verificación en dos pasos en su cuenta de correo y no abra enlaces en mensajes que digan ser de infoQ.
Aplicación y tienda online de MrMax: filtración de hasta unos 1,74 millones de personas, con nombres, correos y teléfonos expuestos: qué deben hacer los miembros
El 6 de octubre de 2026, MrMax Co., Ltd., una cadena japonesa de tiendas de descuento, anunció que un tercero había accedido sin autorización a los servidores de la aplicación y la tienda online de MrMax que opera, y que parte de los datos personales de sus miembros se había filtrado. Están afectadas hasta 1.735.154 personas registradas como miembros al 3 de octubre de 2026. Los datos son el ID de miembro, el nombre, la dirección de correo electrónico y el número de teléfono (que varían según lo que cada miembro registró). La empresa afirma haber confirmado que no se filtraron las direcciones, las fechas de nacimiento, los datos de tarjetas de crédito, las contraseñas ni el historial de compras. Detectó accesos sospechosos la noche del 3 de octubre, suspendió el servicio de inmediato y bloqueó los accesos externos ese mismo día. La empresa dice que un tercero utilizó indebidamente una función del software que compone el servicio para entrar en el servidor. En el momento del aviso no se había confirmado ningún daño derivado del uso indebido de los datos. Opinión de este sitio: es probable que reciba correos, mensajes y llamadas convincentes que usen su nombre. No abra sus enlaces, consulte en la aplicación o sitio oficial que abra usted mismo y nunca dé contraseñas ni números de tarjeta.
Filtración en Rakuten Drive (datos almacenados de 15.382 cuentas): qué se accedió y qué deben hacer los usuarios
El 6 de octubre de 2026, el servicio de almacenamiento en la nube Rakuten Drive anunció que un tercero había obtenido de forma ilegítima las credenciales de una cuenta de administración de una parte de los sistemas que usa el servicio, accedió a los sistemas y obtuvo y vio información. Resultaron afectados los datos almacenados (incluidas fotos y documentos) de 15.382 cuentas entre el 29 de enero y el 17 de septiembre de 2026; el nombre de cuenta, el nombre visible y la URL de la imagen de perfil de 687 cuentas el 27 de agosto; y, el mismo día, el nombre de cuenta, el nombre visible, la contraseña cifrada, la cadena añadida durante el cifrado de la contraseña y la URL de la imagen de perfil de 313 cuentas. El servicio afirma que no se ha confirmado ningún daño secundario y que notificará a los usuarios afectados de forma individual por correo electrónico u otro medio. En una actualización del 13 de agosto sobre notificaciones push sospechosas vistas el 30 de julio, el servicio había dicho que en ese momento no se había confirmado un acceso de terceros no autorizado a los datos almacenados. Opinión de este sitio: a diferencia de una contraseña, lo que alguien ya ha visto de los archivos almacenados no tiene vuelta atrás. Compruebe si hay un aviso, considere vistos los documentos de identidad o contratos que haya guardado, cambie su contraseña y no responda a mensajes, exigencias de pago ni amenazas que digan ser de Rakuten Drive.
Filtración de datos de Abahouse: podrían haberse filtrado los detalles de los pedidos y cómo tratar los correos falsos de reembolso
El 2 de octubre de 2026, Abahouse International Co., Ltd. anunció que un acceso no autorizado a sus sistemas internos, que se cree realizado por un tercero en el extranjero, podría haber filtrado los ID de miembro, nombres, direcciones, números de teléfono, correos electrónicos, fechas de nacimiento, sexo y detalles de pedidos (fecha y hora del pedido, nombres de productos, importes y direcciones de entrega). Como no puede determinar por completo el alcance de los datos sustraídos, la empresa envió el 2 de octubre un correo a los clientes que consideró posiblemente afectados, según el historial de compras y otros registros. Elimina los datos de un miembro un mes después de que se da de baja, pero conserva los registros de pedidos anteriores durante un periodo por motivos legales y contables, y afirma que no puede descartar que esos pedidos hayan sido accedidos; los antiguos miembros recibieron el mismo correo. No se ha anunciado ninguna cifra. Los números de tarjeta y los códigos de seguridad los gestiona un procesador de pagos, y no se ha confirmado su filtración. La brecha salió a la luz cuando varios clientes denunciaron correos sospechosos de reembolso que coincidían con sus pedidos reales. En una actualización del 9 de octubre, la empresa afirmó que la vía de intrusión había sido cortada, que no se había confirmado más propagación, que había presentado un informe de daños ante la policía y que no había recibido denuncias de pérdidas económicas. El alcance de los datos sustraídos y los detalles de la causa siguen en investigación con especialistas externos. El punto de vista de este sitio: que un mensaje acierte con los datos de tu pedido no demuestra que sea auténtico. No sigas enlaces ni te pases a LINE a partir de correos sobre 'reembolso' o 'agotado'; revisa tu historial de pedidos en Mi cuenta.
Fuga de datos de Lashinbang: números de documentos de identidad y datos bancarios de pago podrían haberse filtrado (sin imágenes de documentos) — qué deben hacer los vendedores
El 1 de octubre de 2026, Lashinbang Co., Ltd. anunció que un acceso no autorizado a un servicio que opera, entre el 14 y el 16 de septiembre de 2026, podría haber filtrado nombres, direcciones, números de teléfono, direcciones de correo electrónico, fechas de nacimiento y ocupaciones, junto con el tipo y número de documentos de identidad, el nombre del banco, la sucursal, el número de cuenta y el titular introducidos al solicitar una compra a la tienda (cuando los clientes venden artículos a la tienda), imágenes de los formularios de consentimiento de la compra, y datos de la compra y de los pedidos. La empresa afirma que no se filtraron datos de tarjetas de crédito ni contraseñas, y que no recoge el My Number (el número individual de Japón). En una adenda del 9 de octubre, añadió que no se filtraron imágenes de documentos de identidad, incluidos los permisos de conducir. El aviso también incorporó una sección que indica que las personas afectadas son quienes recibieron un correo electrónico individual de la empresa. A fecha de 10 de octubre de 2026, no se han anunciado el número de afectados ni la causa. La opinión de este sitio: un número de cuenta y el nombre del titular por sí solos no permiten retirar dinero, pero no respondan a contactos que usen sus datos de cuenta, su número de identidad o los datos reales de su compra para parecer legítimos. Nunca den a nadie un PIN, una contraseña o un código de autenticación, y si se filtró su número de documento de identidad, consideren una autodeclaración ante las agencias de crédito de Japón.
Filtración en la app de Seicomart (unos 575.000 socios): nombres, direcciones y fechas de nacimiento vistos: qué deben hacer los socios
El 29 de septiembre de 2026, Seicomart Co., Ltd., que gestiona la cadena de tiendas de conveniencia Seicomart en Japón, anunció que un tercero había obtenido acceso no autorizado al servidor que almacena los datos de los socios a través del servidor de su app para smartphone Seicomart. Su cuarto aviso, el 5 de octubre, indicó que las cuentas afectadas son 574.647 de los socios del Club que se han registrado en la app, y que las personas que dieron de baja la Tarjeta Club antes del 24 de septiembre no están incluidas. Los datos vistos son apellido y nombre, sexo, fecha de nacimiento, dirección, número de teléfono, correo electrónico, y las fechas de alta y baja en el programa de la Tarjeta Club. No se filtraron los datos de contraseña ni el historial de compras, y la empresa no guarda datos de tarjetas de crédito. Desde el 5 de octubre, la empresa informa a todos los socios de la app, mediante los avisos de la app, si están afectados. Ha dado por terminadas las funciones de la app y la web para nuevos registros, consulta y cambio de datos de socio, y cambio de tarjetas registradas; las solicitudes ahora se tramitan en tiendas o mediante un formulario. No se ha revelado la causa. La opinión de este sitio: lo expuesto es un conjunto de datos personales que no se pueden cambiar, y el siguiente paso más probable son correos, SMS y llamadas convincentes que se hacen pasar por la empresa. Consulte los avisos de la app para saber si está afectado, no siga los enlaces ni las instrucciones de esos mensajes, y deje de usar su fecha de nacimiento como PIN o como respuesta en verificaciones de identidad.
Filtración de datos de ShopServe de E-store (informe final: unos 23,36 millones de personas): qué deben hacer compradores, dueños de tiendas y afiliados
En su informe final del 16 de octubre de 2026, E-store Co., Ltd. indicó que un tercero explotó una vulnerabilidad en una aplicación de los servidores de ShopServe, su servicio para crear tiendas online, y envió al exterior contenido de la base de datos entre el 21 de mayo y el 1 de agosto de 2026. Se ven afectadas unas 23.356.000 personas (compradores y miembros, operadores de tiendas y afiliados en conjunto; cifra aproximada tras eliminar duplicados), de las cuales unas 2.096.900 tenían incluidos datos parciales de su tarjeta. Se ven afectadas 7.858 tiendas (incluidas las actuales y las antiguas de ShopServe). La filtración incluye nombres, direcciones, teléfonos, correos electrónicos y lugares de trabajo de los compradores; IDs de miembro y contraseñas cifradas; nombres de titulares, los primeros 6 y los últimos 4 dígitos de la tarjeta y fechas de caducidad; y las credenciales de tiendas y afiliados. No se conservaban números completos de tarjeta ni códigos de seguridad y no se vieron afectados. El informe final corrige el segundo informe: se confirmó que no se filtraron los IDs y contraseñas del sistema de correo y del FTP de las tiendas ni los datos de las cuentas bancarias a las que E-store transfiere dinero (cuentas de pago). No se habían comunicado daños secundarios. Conclusión de este sitio: la mayoría de los compradores compró en la web propia de cada tienda sin haber oído nunca el nombre ShopServe. Aunque no sepa de qué tienda se trata, desconfíe de los mensajes que citen los datos reales de su pedido o los cuatro últimos dígitos de su tarjeta, revise los extractos de su tarjeta y cambie las contraseñas reutilizadas. Los dueños de tiendas y los afiliados deben cambiar su contraseña de administración o de afiliado y activar la verificación en dos pasos.
Acceso no autorizado a TEMAIRAZU (2026): guía para huéspedes y hoteles
El 28 de septiembre de 2026, Temairazu, Inc. anunció un acceso no autorizado a su TEMAIRAZU Series, un sistema que hoteles y ryokan usan para gestionar en un solo lugar reservas procedentes de muchas fuentes. Desde la noche del 21 de septiembre, los huéspedes de los alojamientos que usan el sistema empezaron a recibir mensajes sospechosos por aplicaciones de mensajería como WhatsApp, por correo electrónico y por SMS. Los mensajes parecían conocer los datos de la reserva y, con pretextos como el registro de entrada anticipado o mantener la reserva válida, llevaban a los destinatarios a sitios web externos para introducir datos de tarjeta o pagar. En su segundo informe del 7 de octubre (versión en inglés del 8 de octubre), la empresa enumeró la información que podría haber sido vista u obtenida por un tercero: nombres de huéspedes, números de teléfono, direcciones de correo electrónico, nombres de los establecimientos, fechas de entrada, fechas de salida y cargos de alojamiento. No conserva información de tarjetas de crédito ni credenciales de acceso a los sitios de reserva. En una comunicación de información relevante a los inversores del 9 de octubre, situó el número de personas cuya información de reserva está implicada en hasta unos 4,45 millones y dijo que había encargado a una empresa externa de seguridad que investigara. Según los avisos de hoteles que usan el sistema, la causa fue un problema de seguridad en parte de un producto instalado que la empresa proporcionó en el pasado, corregido el 26 de septiembre. La opinión de este sitio: las personas que reservaron a través de webs de viajes también podrían verse afectadas. Si un mensaje que dice ser de su hotel le pide volver a introducir datos de tarjeta o pagar, no responda aunque los datos sean correctos, y compruebe a través de la aplicación oficial del sitio de reservas o del teléfono que figura en la web oficial del hotel.
Filtraciones de datos de Yamato y Sagawa (2026): usuarios afectados y respuesta
Yamato Transport detectó un acceso no autorizado a su servicio de pago diferido Kuroneko el 28 de septiembre de 2026, y Sagawa Express detectó un acceso no autorizado a su servicio de seguimiento de paquetes el 30 de septiembre. Entre el 1 y el 2 de octubre, ambas empresas afirmaron que los datos personales podrían haberse filtrado. Son incidentes separados, y ninguna de las dos empresas menciona una conexión entre ellos. En su cuarto aviso, del 16 de octubre, Yamato dijo que se habían obtenido datos: unos 5,26 millones de registros de usuarios del pago diferido (nombre, dirección, teléfono, correo electrónico, detalles de artículos y otros, desde el 1 de octubre de 2018 hasta el 28 de septiembre de 2026), unos 50.000 registros de información de dirección de entrega de algunos usuarios, y unos 4.100 registros de tiendas participantes. No se halló que se hubieran obtenido importes de facturación, saldos pendientes ni nombres de empleados. En su quinto aviso, del 23 de octubre, Sagawa dijo que los nombres, direcciones y teléfonos de remitentes y destinatarios de paquetes que gestionó entre el 21 de junio y el 30 de septiembre de 2026 (unos 100 días), entre otros datos, podrían haberse filtrado, y dio como cifra máxima unos 53,23 millones de registros (con duplicados incluidos; no es el número de personas). No se incluyen los paquetes enviados con guías escritas a mano. Ninguna de las dos filtraciones incluye datos de tarjetas de crédito ni contraseñas. Yamato reanudó el servicio de pago diferido el 9 de octubre y amplió los plazos de pago 17 días; Sagawa reanudó su servicio de seguimiento de paquetes el 23 de octubre, mientras que otros ocho servicios web, incluida la reserva en línea, siguen detenidos. Opinión de este sitio: en el caso de Sagawa, puede verse afectado solo por haber recibido un paquete, aunque nunca haya usado la empresa. Dé por hecho que los falsos avisos de entrega fallida y las reclamaciones de pago pueden incluir ahora su nombre y dirección reales, el hecho de que recibió un paquete o lo que compró. No abra los enlaces de esos mensajes; consulte en la aplicación oficial o en el historial de pedidos de la tienda donde compró.
Brecha de datos de Basic-Fit (IBAN y visitas): estafas de «pago fallido» y qué deben hacer los socios
Basic-Fit informó el 13 de abril de 2026 de un acceso no autorizado al sistema que registra las visitas de los socios a sus clubes. Según la empresa, el acceso se detuvo a los pocos minutos, pero se descargaron datos de socios activos de varios países: información de la suscripción, nombre y dirección, correo, teléfono, fecha de nacimiento y datos de la cuenta bancaria; no se accedió a contraseñas. Basic-Fit indicó a Reuters que afecta a unos 1 millón de socios en seis países, entre ellos España. La conclusión de este sitio: la cuota del gimnasio supone pagos periódicos según el contrato y, si usas domiciliación SEPA, un aviso de «tu pago ha fallado» imita un proceso real de Basic-Fit. Comprueba siempre el estado de tu cuota en la app, nunca desde un enlace; revisa los adeudos de acreedores que no reconozcas (13 meses para devolverlos) y no devuelvas por pánico la cuota legítima del gimnasio.
Brecha de datos de reservas de Booking.com: cómo reconocer mensajes fraudulentos que se hacen pasar por tu alojamiento
En abril de 2026 Booking.com notificó a sus clientes que terceros no autorizados pudieron acceder a cierta información de reservas, actualizó los PIN de las reservas afectadas y dijo que había contenido el problema. Según la comunicación y lo que dijo un portavoz de la empresa a los medios, la información incluía datos de la reserva, nombres, direcciones de correo electrónico, números de teléfono y mensajes compartidos con los alojamientos; no se accedió a la información financiera. No se han publicado ni el número de afectados ni la causa. La conclusión de este sitio: que el mensaje acierte el nombre del hotel, la fecha y el precio ya no demuestra nada. La prueba es si lo que te piden coincide con la política de pago de la reserva que abres tú mismo en la app oficial. Rechaza cualquier petición de volver a introducir la tarjeta, pagar por un enlace o hacer una transferencia que no esté en la política.
Brecha de datos de Endesa (DNI e IBAN): cómo actuar ante llamadas fraudulentas que conocen tu contrato
Endesa Energía comunicó a sus clientes (hacia el 12 de enero de 2026) que un actor malicioso accedió sin autorización a su plataforma comercial y podría haber exfiltrado datos identificativos básicos, de contacto, DNI, datos del contrato y, eventualmente, IBAN; las contraseñas no se vieron afectadas. Endesa notificó el incidente a la AEPD y no ha publicado el número de afectados. Estos son justo los datos que hacen creíble la estafa energética de siempre («cambio de tarifa», «corte de suministro»): una llamada que ya sabe tu DNI y tu contrato no suena a estafa. Saber tus datos no prueba nada: cuelga y llama tú al número oficial. Y como el IBAN puede usarse para domiciliar recibos, revisa los adeudos: un cargo que no autorizaste se puede devolver hasta 13 meses después.
Brecha de datos de Canvas (Instructure): se filtraron inscripciones en cursos y mensajes — qué deben hacer estudiantes, docentes y centros educativos
Según Instructure, la empresa detrás del sistema de gestión del aprendizaje (LMS) Canvas, el 29 de abril de 2026 se detectó actividad no autorizada y se exfiltraron nombres de usuario, direcciones de correo electrónico, nombres de cursos, información de inscripción y mensajes. La empresa dice que los campos afectados no están diseñados para almacenar contraseñas, fechas de nacimiento, información de salud, números de la Seguridad Social, información financiera, calificaciones ni expedientes disciplinarios. El 7 de mayo, el mismo actor usó otra vulnerabilidad para alterar las páginas que se mostraban tras iniciar sesión. La lista de campos parece poco relevante, pero un correo electrónico más las clases que cursa alguien es justo lo que necesita una estafa convincente con temática escolar, y los mensajes son texto libre, así que puede estar incluida cualquier cosa que se haya escrito en ellos. Verifica cualquier contacto solo por los canales oficiales de tu centro; el equipo de TI debe registrar contactos de seguridad, revisar los registros, exigir MFA a los administradores y guardar copia de los datos de los cursos fuera del LMS.
Filtración de datos de Times Car (6.628.007 registros con nombres y direcciones, indicios de envío de unas 1,46 millones de imágenes de documentos de identidad): cómo revisar Mi Página y qué deben hacer los socios y los exsocios
En su quinta notificación del 23 de octubre de 2026, Times Mobility Co., Ltd. indicó que la investigación forense externa había concluido y publicó las cifras finales. En el sistema web de Times Car se encontraron indicios de acceso del atacante y de transmisión al exterior de 6.628.007 registros de nombre, dirección, fecha de nacimiento, número de teléfono, correo electrónico e información de la licencia de conducir. De las imágenes de documentos de identidad, almacenadas cifradas, 1.464.800 mostraron indicios de envío (la empresa había dicho antes que podrían haberse filtrado unos 1,6 millones) y 891.602 fueron accedidas sin indicios de envío. Las contraseñas con hash se enviaron en 4 casos. En el sistema web relacionado de Times Club, donde también se encontró acceso no autorizado, 19.510 números de tarjeta Times Club, 135.436 identificadores de servicios vinculados y 28 registros de los últimos cuatro dígitos de tarjetas de crédito, entre otros, mostraron indicios de envío (la empresa no conserva los números completos de tarjeta ni los códigos de seguridad). La causa fue la explotación de una vulnerabilidad en el sistema web. La empresa dará un pago de 3.000 yenes a las personas cuyas imágenes fueron enviadas (detalles y método aún en decisión) y, desde las 17:00 del 23 de octubre, muestra en Mi Página los datos filtrados de cada persona. La opinión de este sitio: primero revise sus datos en Mi Página. Si se enviaron sus imágenes de documentos, registre alertas de fraude en las agencias de crédito y revise su historial crediticio; todos deben ignorar los contactos que se hagan pasar por la empresa. Los exsocios pueden consultar mediante un formulario específico.
Filtración masiva de MOVEit (2023) — cómo un zero-day de inyección SQL alcanzó a más de 2.700 organizaciones, y cómo defenderse
La entrada fue un zero-day de inyección SQL (CVE-2023-34362) en MOVEit Transfer, expuesto a internet. Se plantó un web shell (LEMURLOOT) y se robaron datos en masa de la base de datos de respaldo, golpeando a más de 2.700 organizaciones y ~93,3M de personas. La mayoría de las víctimas fueron arrastradas indirectamente porque un proveedor usaba MOVEit. En tu entorno: parcheo rápido de KEV, minimizar la exposición, mínimo privilegio y segmentación web↔BD, inventario de proveedores y minimización de datos.
El mínimo de seguridad de una organización: seis prioridades deducidas de los incidentes reales de Japón en 2026
El «mínimo» de una organización debe fijarse por dónde los incidentes reales rompieron la defensa, no por una lista de productos. Si se ponen en fila los incidentes de Japón en 2026, las entradas difieren —un dispositivo VPN, software de terceros, una función de consulta, no divulgada—, pero las causas que ampliaron el daño se reducen a seis: (1) cerrar los dispositivos expuestos a internet con plazo, (2) acotar las cuentas de mantenimiento, contratistas y exempleados, (3) vigilar volumen y horario, (4) conservar registros lo bastante como para mirar atrás, (5) no guardar datos que ya no hacen falta, (6) repriorizar según KEV. La visión de este sitio: el mínimo es decidir quién se da cuenta, con qué número y cuándo.
Filtración de Capital One (2019) — cómo un SSRF expuso más de 100M de registros, y cómo defenderse
Un solo SSRF alcanzó el endpoint de metadatos → credenciales IAM temporales con privilegios excesivos → copia masiva de S3, filtrando ~106M de registros. Cada paso pudo haberlo detenido. En tu entorno: IMDSv2, IAM de mínimo privilegio y una lista de permitidos para las peticiones salientes.
Filtración de Codecov (2021) — cuando una herramienta de CI fue manipulada y se filtraron secretos
Una herramienta de confianza del CI (el Bash Uploader curl|bash) fue alterada en origen. Como tu propio código quedó intacto, pasó ~2 meses inadvertida mientras se filtraban secretos del CI; una verificación de checksum lo detectó. En tu CI: verifica los artefactos descargados, secretos de mínimo privilegio, rotación, monitorización de salida.
Filtración de Equifax (2017) — cómo un fallo de Apache Struts sin parchear expuso a 147M de personas
La causa fue un CVE conocido y ya parcheado (CVSS 10.0) dejado sin aplicar en un sistema público. Un certificado de monitorización caducado ocultó la exfiltración durante 76 días. En tu entorno: inventario de activos, un SLA de parcheo, monitorización automática y detección saludable.