comercio electrónico
10 artículos con esta etiqueta
Un acceso no autorizado a una empresa de logística de comercio electrónico (almacenaje y envío) pudo filtrar datos de entrega de varias tiendas en línea: nombres, direcciones, teléfonos y más, y qué deben hacer los compradores
El 11 de noviembre de 2026, una empresa que se encarga de la logística (almacenaje y envío) de tiendas de comercio electrónico anunció que un tercero externo había accedido sin autorización a sus sistemas entre el 8 y el 9 de noviembre y que se había sustraído parte de sus datos de envío. Los datos abarcan las solicitudes de envío realizadas del 8 de abril al 8 de noviembre de 2026, y la información que pudo filtrarse es el nombre, la dirección y el teléfono del destinatario, el correo electrónico (si está registrado) y la información de los artículos. La empresa afirma que no guarda números de tarjetas de crédito, por lo que no están afectados. El número de personas está en investigación y a 11 de noviembre no se había confirmado ningún uso indebido ni daño secundario. Las tiendas en línea que subcontratan la logística a esta empresa han publicado en sus sitios web oficiales el efecto en sus propios clientes (este artículo enumera las seis cuyos avisos oficiales pudimos leer; las cifras son las que indica cada tienda y no se da un total). Conclusión de este sitio: los compradores deben suponer que un contacto que se haga pasar por un transportista, por la tienda donde compraron o por un pedido puede parecer auténtico, y no deben responder a exigencias de pago ni a confirmaciones de quien conozca sus datos de contacto y lo que compraron.
Filtración de datos de tarjetas en la página de pago de Fandango (octubre de 2026): posible acceso no autorizado; pueden verse afectados el número de tarjeta, el CVV, la fecha de caducidad, el código postal de facturación y el correo. Qué hacer
Fandango Media, la empresa de venta de entradas de cine, presentó un aviso ante el Fiscal General de California el 13 de noviembre de 2026. El aviso dice que la empresa tuvo conocimiento de un problema en su página de pago de venta de entradas, lo investigó con especialistas externos en ciberseguridad y lo resolvió. Dice que la investigación halló pruebas de que una parte no autorizada pudo acceder a información de tarjetas de pago asociada con ciertas transacciones en la página de pago del 8 al 11 de octubre de 2026, y que el 30 de octubre determinó que la información de una persona dada pudo verse afectada. La información que pudo verse afectada es el número de la tarjeta de pago, el CVV, la fecha de caducidad, el código postal de facturación y el correo electrónico. El aviso dice que no se vieron implicados el nombre y los apellidos, la información de identificación oficial, los números de Seguridad Social ni otra información de la cuenta. Fandango afirma que actualmente no tiene conocimiento de ningún uso fraudulento de la información, y ofrece 24 meses de monitorización de crédito, monitorización de la web oscura, una póliza de seguro contra el robo de identidad que reembolsa los gastos de recuperación (hasta 1.000.000 de dólares, sujeto a las condiciones de la póliza) y recuperación gestionada del robo de identidad a través de un proveedor de servicios de monitorización; la muestra dice que se active antes del 13 de febrero de 2027. No se indica el número de personas afectadas y no hallamos un anuncio aparte de la empresa. Opinión de este sitio: si compró entradas en la página de pago de Fandango en esas fechas, revise los extractos de su tarjeta, comunique a su emisor los cargos que no reconozca y pregunte al emisor si debe sustituir la tarjeta.
Acceso no autorizado a la tienda online de Edion (datos de pedidos de hasta 9.554 clientes y más): podrían haberse filtrado datos de tarjetas, PIN de tarjetas regalo y credenciales de acceso; qué deben hacer los usuarios
El 6 de noviembre de 2026, Edion Corporation anunció que un acceso no autorizado al servidor que aloja su tienda online pudo filtrar información personal de algunos clientes, y el 9 de noviembre su segundo informe corrigió y amplió ese aviso. El primer informe enumeraba información registrada en archivos de registro de hasta 4.131 clientes (nombre, correo electrónico, teléfono, fecha de nacimiento, dirección, número de cliente y más) e información de pedidos de hasta 9.554 clientes (nombre, número de pedido, importe del pedido, fecha de caducidad de la tarjeta de crédito, número de tarjeta regalo y más), y decía que no se incluían números de tarjeta de crédito ni contraseñas de acceso. El segundo informe lo corrige: se incluían datos de tarjetas de crédito registrados en registros de errores al hacer pedidos (número, fecha de caducidad, titular, código de seguridad) en hasta 5 casos, información de 5.360 Edion Gift Card (número, PIN, historial de uso) y los ID y contraseñas de acceso de hasta 1.141 clientes. Añade que un tercero externo había insertado un programa malicioso en el procesamiento relacionado con el pago, que estaba activo desde poco después de las 19:00 del 4 de noviembre. Respecto a los datos de tarjeta introducidos de nuevo desde un PC en la pantalla de pago (hasta 556 entradas), la empresa no puede descartar que se filtraran directamente a un tercero; los teléfonos inteligentes no se vieron afectados. La empresa detuvo la tienda online y los servicios relacionados a las 22:00 del 7 de noviembre, y la tienda online no tiene fecha de reapertura. Conclusión de este sitio: si introdujo una tarjeta nueva en la tienda online de Edion desde un PC después de las 19:00 del 4 de noviembre, revise su extracto y consulte a su emisor sobre cambiar el número de la tarjeta.
Acceso no autorizado a Nitori: podrían haberse filtrado datos personales de hasta 37,62 millones de registros (nombres, direcciones, teléfonos, fechas de nacimiento): qué deben hacer los miembros particulares y corporativos
El 9 de noviembre de 2026, Nitori Holdings Co., Ltd. anunció que el 6 de noviembre confirmó un acceso no autorizado de un tercero a un sistema que gestiona, y que los datos personales guardados en sus servidores, hasta 37,62 millones de registros, podrían haberse filtrado al exterior. Los datos abarcan a miembros particulares y compradores del Grupo Nitori (número de miembro, nombre incluido el furigana, correo electrónico, dirección, teléfono, fecha de nacimiento, sexo), miembros corporativos (número de miembro, nombre de la empresa, departamento, nombre del representante, dirección y teléfono de la empresa, y nombre, correo electrónico y teléfono de la persona de contacto) y los datos de pedidos hechos a través de Nitori Net y de la tienda oficial de Nitori en centros comerciales online. La empresa dice que no se incluyen las contraseñas de acceso ni los datos de tarjetas de crédito. También pudo haber acceso de terceros de mediados a finales de octubre, la vía está en investigación y la cifra puede cambiar. La empresa dice que contactará por orden con los clientes afectados por correo electrónico o postal. A 10 de noviembre de 2026 no se había encontrado ningún aviso posterior. Conclusión de este sitio: como en los datos están la dirección, el teléfono y el nombre, una llamada, mensaje o correo que use el nombre de Nitori o de una empresa de reparto no es auténtico solo porque conozca su dirección o su pedido correctos.
Acceso no autorizado a la tienda online akyrise de Euglena (hasta unos 900.000 registros): nombres, direcciones y teléfonos pueden haberse filtrado; qué deben hacer los compradores
El 5 de noviembre de 2026, Euglena Co., Ltd. anunció que un tercero había accedido sin autorización, el 4 de noviembre, a la tienda online de su marca de cosmética akyrise y que se filtró información de miembros. La empresa cerró la tienda ese mismo día y presentó un informe preliminar a la Comisión de Protección de Información Personal de Japón. La información que puede haberse filtrado se divide en dos grupos: datos de cuenta de inicio de sesión (ID de cliente, dirección de correo y la contraseña de inicio de sesión, almacenada con hash), hasta unos 490.000 registros; y datos de registro y compra (nombre, dirección, número de teléfono, fecha de nacimiento, género, dirección de correo e información de compra y entrega), hasta unos 900.000 registros. Ambas cifras siguen en verificación y, como la empresa no dice cómo se solapan, no pueden sumarse. Los números de tarjeta de crédito no se guardan en los servidores de la empresa y no están incluidos. El mismo aviso trata también acceso no autorizado distinto en un proveedor de servicio de envío de correo y en una empresa de transporte, que la empresa describe como hechos independientes. A 9 de noviembre de 2026 no se había encontrado ningún aviso posterior. Conclusión de este sitio: un mensaje, un texto o una llamada que use el nombre de akyrise no es auténtico solo porque conozca su nombre o su dirección. No abra enlaces y, si reutilizó su contraseña de akyrise en otro sitio, cámbiela primero allí.
Filtración en la tienda oficial de Good Smile Company (datos completos de tarjeta de 2.800 personas posiblemente filtrados, datos parciales de 402.466 tarjetas, hasta 202 pedidos posiblemente vistos): qué debe hacer cada grupo
Good Smile Company Co., Ltd. anunció el 23 de octubre de 2026 que un tercero había accedido a su tienda oficial y, en su cuarto informe del 30 de octubre, había clasificado a los afectados en tres grupos. En el grupo B (2.800 personas), un programa malicioso presente desde las 13:55 del 21 de octubre hasta las 7:00 del 23 de octubre pudo capturar el nombre del titular, el número de tarjeta, la fecha de caducidad y el código de seguridad introducidos en la página de pago. El grupo A (cualquiera que haya registrado alguna vez una tarjeta; 402.466 tarjetas, número de personas aún en comprobación) se limita a los últimos cuatro dígitos del número de tarjeta y la fecha de caducidad, y la empresa considera extremadamente improbable un uso indebido solo con eso. El grupo C (5.356 personas) se refiere a datos de pedidos aún no enviados (nombre, dirección, teléfono, correo electrónico, contenido del pedido y similares); como máximo 202 pedidos pueden haberse visto realmente. La empresa dice que la causa no es la vulnerabilidad de PHP notificada recientemente. Conclusión de este sitio: el grupo B debe contactar con el emisor de la tarjeta y preguntar por el cambio de número. Quien no reciba correo pero haya registrado alguna vez una tarjeta en la tienda sigue dentro del alcance y debe revisar sus extractos. No abra enlaces de mensajes inesperados que digan proceder de la empresa.
Filtración de cuentas de clientes de Revolve: números de tarjeta guardados y fechas de caducidad a los que se accedió (1.515.073 personas según la lista de la Fiscalía de Indiana) y qué deben hacer los clientes
El minorista de moda estadounidense Revolve divulgó en un documento presentado ante el regulador bursátil de EE. UU. el 29 de octubre de 2026, según informó The Record, que una parte no autorizada utilizó medios automatizados para acceder a datos de cuentas de clientes, entre ellos nombres, datos de contacto y números de tarjetas de pago guardados con sus fechas de caducidad. Los primeros registros estatales solo mostraban cifras por estado, como 127.200 residentes de Texas. La lista de filtraciones de datos de la Fiscalía General de Indiana (edición de noviembre de 2026) muestra ahora a Revolve Group, Inc con fecha de notificación 29 de octubre, fecha de la filtración 11 de septiembre, 10.534 residentes de Indiana y 1.515.073 personas en total. Los avisos a otros cinco estados (Iowa, Massachusetts, Carolina del Sur, Texas y Vermont) sumaban solo unas 197.000, según SecurityWeek. Las fuentes que leímos no indican si estuvo implicado el código de seguridad de la tarjeta (CVV). Opinión de este sitio: si guardó una tarjeta en su cuenta de Revolve, vigile sus extractos por si hay cargos pequeños desconocidos, pregunte a su emisor si conviene reemitir la tarjeta y trate como sospechoso cualquier mensaje que cite su historial de pedidos hasta que lo compruebe usted mismo.
Drupal Commerce Core CVE-2026-118539: omisión de acceso sin autenticación, explotada activamente (actualice a 8.x-2.41 o 3.3.13)
El 28 de octubre de 2026, el Equipo de Seguridad de Drupal publicó SA-CONTRIB-2026-254 para el módulo Commerce Core (CVE-2026-118539). El módulo no protege lo suficiente ciertas rutas y campos de entidad, lo que permite una omisión de acceso que puede tener un impacto financiero para el dueño de la tienda. Drupal la clasifica como Muy crítica (21/25), sin requerir autenticación, y afirma que se está explotando activamente en la práctica. Las versiones afectadas son las anteriores a 8.x-2.41 y de 3.0.0 hasta 3.3.13 sin incluir; las versiones corregidas son 8.x-2.41 y 3.3.13. El registro de NVD muestra una puntuación CVSS v3.1 más baja, de 6,5, añadida por el ADP de CISA, y sigue pendiente de análisis. A fecha del 31 de octubre no figura en el catálogo KEV de CISA. Nuestra conclusión: si gestiona una tienda online en Drupal Commerce, actualice ya y audite los pedidos y pagos recientes por si hay algo incoherente.
Vulnerabilidad CVE-2026-48356 de Adobe Commerce y Magento: CISA confirma su explotación (KEV), la corrección de julio y cómo comprobar si hubo intrusión
El 27 de octubre de 2026, CISA añadió CVE-2026-48356, una vulnerabilidad de subida de archivos en Adobe Commerce y Magento Open Source, a su catálogo de vulnerabilidades explotadas conocidas (KEV). El plazo para las agencias civiles federales de EE. UU. es el 10 de noviembre. Adobe corrigió este fallo, junto con otros 13, en el boletín de seguridad APSB26-73 el 14 de julio de 2026. Están afectados Adobe Commerce 2.4.4 a 2.4.9, Magento Open Source 2.4.6 a 2.4.9, Adobe Commerce B2B y Adobe Commerce Events. La corrección es la corrección de seguridad 2026-jul de cada línea de versiones (1.21.0 para Events). La tabla del boletín de Adobe le asigna un CVSS de 9,6, mientras que el registro CVE de Adobe y NVD le asignan 9,3; la única diferencia es el impacto en la disponibilidad. El boletín de Adobe (actualizado el 11 de agosto) sigue diciendo que Adobe no tiene constancia de explotación. El 24 de octubre, una empresa de seguridad de comercio electrónico informó de que web shells colocadas a través de este fallo (al que llama PolyShell) y de otros fallos se usaron para inyectar JavaScript en páginas de tiendas, en una campaña que ha alcanzado 953 tiendas, en su mayoría Magento, desde julio de 2025, y de que encontró el código inyectado también en tiendas corregidas. A 28 de octubre, ningún organismo público japonés ha emitido una alerta y ninguna tienda japonesa ha revelado estar afectada. Conclusión de este sitio: las tiendas con Adobe Commerce y Magento deben confirmar hoy que la corrección de julio está aplicada y, aunque lo esté, revisar las carpetas de subida, los bloques CMS y las cuentas de administrador en busca de indicios de intrusión.
Programa de robo de tarjetas en la página de pago de PhotoGoods (Daiko Printing): qué deben hacer las personas que pagaron entre el 6 de agosto y el 11 de septiembre
El 16 de septiembre de 2026, Daiko Printing Co., Ltd. anunció el acceso no autorizado de terceros a PhotoGoods (photo-goods.com), el servicio que opera, y dijo que se había instalado un programa capaz de capturar ilegalmente los datos de tarjetas de crédito introducidos en la página de pago. El programa estuvo activo desde el 6 de agosto hasta que se eliminó el 11 de septiembre. Las personas que introdujeron una tarjeta en la página de pago en ese periodo (incluidas quienes no completaron una compra) podrían haber tenido expuestos el número de tarjeta, la fecha de vencimiento y el código de seguridad, junto con nombre, dirección, teléfono, correo electrónico e información derivada de su contraseña de socio (almacenada en forma convertida). La empresa afirma haber confirmado el acceso no autorizado mediante vulnerabilidades del sistema y el abuso de una función de subida de archivos. El número de personas afectadas y el alcance real están bajo investigación, y no había ningún aviso posterior al 7 de octubre. La opinión de este sitio: quien introdujo una tarjeta en ese periodo debe pedir a su emisor que cambie el número, cambiar la contraseña de cualquier otro servicio que comparta la contraseña de PhotoGoods e ignorar los enlaces de mensajes de «disculpas» o «reembolso».