respuesta a incidentes
82 artículos con esta etiqueta
Incidente de seguridad de Fireworks AI (octubre de 2026): afectados datos de facturación y, en algunas cuentas, conjuntos de datos y pesos de modelos incompletos; la empresa dice que intervino una brecha de un proveedor de nube. Qué deben hacer los clientes
Fireworks AI, que ofrece infraestructura de inferencia de modelos de IA, publicó el 9 de noviembre de 2026 una actualización del incidente de seguridad que comunicó por primera vez el 9 de octubre. Según la empresa, del incidente original, detectado el 6 de octubre, solo se sabía que afectaba a secretos almacenados en Fireworks (como los usados en trabajos de evaluación); desde entonces ha hallado impacto en información de cuenta y de facturación y, en un conjunto limitado de cuentas, en secretos, conjuntos de datos y pesos de modelos incompletos. En su relato, un proveedor de nube de terceros que alojaba sus máquinas de I+D sufrió un incidente de seguridad el 23 de octubre, y el 24 de octubre un tercero no autorizado lo usó para llegar a máquinas de desarrollo de Fireworks y ejecutar una carga de trabajo no autorizada, lo que causó un impacto adicional en datos de clientes. La empresa lo detectó ese mismo día y, a 25 de octubre, no había detectado más pruebas de acceso no autorizado con éxito a la plataforma que usan los clientes. Dice que las pruebas indican vínculos con un grupo cibercriminal con motivación económica. La empresa no almacena números de tarjeta de pago y no se vieron afectados. No se ha detectado impacto en Inference, Training SDK ni Nexus, que por defecto no retienen datos. Las subidas y descargas de conjuntos de datos por autoservicio están desactivadas durante la investigación. Nuestra opinión: los clientes deben inventariar y rotar lo que guardaron en la plataforma; los operadores deben mantener los entornos de desarrollo separados de los sistemas de facturación y de datos de clientes.
Vulneración de NEAR AI por un fallo del motor de inferencia (datos de cuenta de unos 100 usuarios): qué se ha confirmado y qué deben hacer los usuarios y los operadores de infraestructura de IA
NEAR AI, que ofrece chat y agentes de IA, comunicó en una entrada oficial de su blog fechada el 9 de noviembre de 2026 un acceso no autorizado a parte de su infraestructura. Según la empresa, la causa fue un fallo de ejecución remota de código en SGLang, el motor de inferencia de código abierto que funciona en sus servidores; el atacante ejecutó código en un servidor de inferencia y desde allí llegó a otra infraestructura. Lo que confirmó: datos de cuenta de unos 100 usuarios (direcciones de correo, nombres y, en algunas cuentas, información de plan y saldo) tomados de un sistema interno situado detrás del servicio Private Chat, ya retirado; el historial de chat, los ajustes y los registros de 18 agentes heredados que no se ejecutaban en su entorno de computación confidencial (TEE); y, por separado, claves de API de NEAR AI Cloud de dos clientes de Cloud que quedaron expuestas en registros (revocadas; el informe no dice que se las llevaran). El 8 de noviembre el atacante pudo además observar las solicitudes de los usuarios que se procesaban en el servidor comprometido, incluidas las del modo confidencial. La empresa no halló indicios de que se accediera a las conversaciones almacenadas de Private Chat ni a los archivos subidos. Dice que ha sustituido las credenciales, corregido el fallo y restablecido el acceso a NEAR AI Cloud (Private Chat sigue sin conexión). El informe oficial no da número CVE. Nuestra opinión: para los operadores de infraestructura de IA, lo esencial es mantener los servidores de inferencia separados de los sistemas internos, no dejar entornos heredados atrás y mantener los secretos fuera de los registros.
Acceso no autorizado al sistema interno de gestión de Sharefull (hasta unas 7,5 millones de cuentas): pueden haberse filtrado nombres, datos bancarios, contactos de emergencia y más, y qué deben hacer los trabajadores
El 9 de noviembre de 2026, Sharefull anunció que un tercero había accedido sin autorización a su sistema interno de gestión y que la información personal de los usuarios puede haberse filtrado. El acceso se produjo alrededor de las 23:30 del 4 de noviembre, se detectó alrededor de las 9:45 del 5 de noviembre y la vía se bloqueó ese mismo día. Pueden estar afectadas hasta unas 7,5 millones de cuentas individuales. La información que puede haberse filtrado es: nombre y nombre en kana, número de teléfono, dirección de correo, dirección postal, fecha de nacimiento, datos de la cuenta bancaria para el pago del salario (no incluye PIN ni contraseñas), la URL de la foto del rostro, el contacto de emergencia (relación con el usuario y número de teléfono), información relacionada con el estatus de residencia y atributos de la cuenta como la fecha de registro, el número de trabajos realizados y las preferencias. No se ven afectados los pagos y puntos, los datos de contratos y de trabajo ni las imágenes de documentos de identidad, y la empresa afirma que no conserva ni My Number ni datos de tarjetas de crédito. Un aviso distinto del mismo día cubre los datos de contacto de las empresas contratantes (hasta unas 7.500 empresas). A 11 de noviembre de 2026 no se había encontrado ningún aviso posterior. Conclusión de este sitio: como pueden estar incluidos datos bancarios, contactos de emergencia y estatus de residencia, prepárese para contactos que usen el nombre de Sharefull o de un organismo, llamadas que finjan una emergencia de un familiar, pagos hechos para parecer transferencias por error y exigencias de dinero que citen su estatus de residencia.
bee-js 13.3.0 de Ethersphere y Swarm Desktop 0.56.2 distribuyeron malware (noviembre de 2026): versiones afectadas y qué deben hacer los usuarios
La versión 13.3.0 del paquete npm @ethersphere/bee-js, de Ethersphere, el desarrollador de la red de almacenamiento descentralizado Swarm, contenía código malicioso. Un aviso de GitHub (GHSA-hh7j-5m3j-23pf) publicado el 9 de noviembre de 2026 enumera la 13.3.0 como la única versión afectada y dice que no hay versión corregida. Dice que cualquier ordenador que tenga el paquete instalado o en ejecución debe considerarse totalmente comprometido, y que todos los secretos y claves que contenga deben rotarse de inmediato desde otro ordenador. Eliminar el paquete puede no borrar todo el software malicioso que causó la instalación. En cuanto a Swarm Desktop, las notas de versión de Ethersphere dicen que la versión 0.56.3, publicada el 9 de noviembre, sustituye a la 0.56.2 comprometida. Según el análisis de una empresa de seguridad, bee-js 13.3.0 apareció en npm hacia las 00:09 UTC del 9 de noviembre (09:09 hora de Japón) y se retiró unos 75 minutos después. Swarm Desktop 0.56.2 estuvo público unas 8,5 horas y además se entregó por actualización automática a Windows x64 y Apple Silicon. Se informa de que bee-js 13.2.0 y anteriores, y Swarm Desktop 0.56.1, no están afectados. El mismo análisis dice que se apuntó al archivo de configuración del nodo Bee (que guarda una contraseña en texto plano) y a su clave de monedero, y que se abusó de credenciales usadas por la automatización oficial de publicación. Nuestra conclusión: reconstruya cualquier máquina o entorno de CI que instalara una versión afectada, mueva el monedero a una clave nueva y los fondos con él, y rote las credenciales desde otra máquina.
Explotado un fallo en el servidor MCP de mittwald, 56 proyectos de clientes comprometidos (noviembre de 2026): la cronología publicada y qué deben hacer los usuarios y los operadores de integraciones de IA
La empresa alemana de alojamiento web mittwald dijo en una entrada oficial de su blog que se explotó un fallo en su servidor MCP, que conecta los asistentes de IA de los clientes con su panel de control mStudio, y que 56 proyectos de clientes quedaron comprometidos. Según la empresa, el atacante probó el fallo por primera vez el 21 de octubre, empezó a actuar como un usuario normal con cuentas de prueba desde el 23 de octubre y explotó el fallo a las 15:03 del 27 de octubre usando otra cuenta. La empresa trata como comprometidos todos los datos desde el 27 de octubre en adelante. El 4 de noviembre se halló un comportamiento inusual y ese mismo día la empresa identificó el servidor MCP como punto de entrada y lo apagó. El 6 de noviembre examinó forensemente los 56 proyectos comprometidos y el servidor MCP, no halló más proyectos comprometidos y dice que actualmente no puede detectar actividad del atacante. No se leyeron contraseñas; lo que se leyó fueron los tokens de sesión de los usuarios, todos ellos revocados, dice. El centro de clientes y los sitios web gestionados allí no se vieron afectados. El servidor MCP sigue desconectado, y si vuelve se decidirá tras la investigación. La empresa dice que la velocidad del atacante sugiere el uso de herramientas de IA; es una sospecha de la empresa. Dice que publicará un relato detallado la semana siguiente. Nuestra opinión: en los servidores MCP que conectan asistentes de IA con entornos de alojamiento o de producción, lo esencial son tokens de alcance estrecho y corta duración y una supervisión capaz de detectar la fase de sondeo.
Acceso no autorizado a Nitori: podrían haberse filtrado datos personales de hasta 37,62 millones de registros (nombres, direcciones, teléfonos, fechas de nacimiento): qué deben hacer los miembros particulares y corporativos
El 9 de noviembre de 2026, Nitori Holdings Co., Ltd. anunció que el 6 de noviembre confirmó un acceso no autorizado de un tercero a un sistema que gestiona, y que los datos personales guardados en sus servidores, hasta 37,62 millones de registros, podrían haberse filtrado al exterior. Los datos abarcan a miembros particulares y compradores del Grupo Nitori (número de miembro, nombre incluido el furigana, correo electrónico, dirección, teléfono, fecha de nacimiento, sexo), miembros corporativos (número de miembro, nombre de la empresa, departamento, nombre del representante, dirección y teléfono de la empresa, y nombre, correo electrónico y teléfono de la persona de contacto) y los datos de pedidos hechos a través de Nitori Net y de la tienda oficial de Nitori en centros comerciales online. La empresa dice que no se incluyen las contraseñas de acceso ni los datos de tarjetas de crédito. También pudo haber acceso de terceros de mediados a finales de octubre, la vía está en investigación y la cifra puede cambiar. La empresa dice que contactará por orden con los clientes afectados por correo electrónico o postal. A 10 de noviembre de 2026 no se había encontrado ningún aviso posterior. Conclusión de este sitio: como en los datos están la dirección, el teléfono y el nombre, una llamada, mensaje o correo que use el nombre de Nitori o de una empresa de reparto no es auténtico solo porque conozca su dirección o su pedido correctos.
Incidente de ciberseguridad en la Universidad Vanderbilt (en curso): wifi, Okta, correo y CampusPrint restablecidos, otros sistemas restringidos, semanas hasta la recuperación total, y qué deben hacer estudiantes y personal
El 9 de noviembre de 2026, la Universidad Vanderbilt (Tennessee, EE. UU.) dijo que está respondiendo a un incidente de ciberseguridad activo que puede afectar a dispositivos, sistemas y servicios en la nube de la universidad. En su actualización de las 18:00 del 10 de noviembre, la universidad dijo que están disponibles el wifi del campus, Okta (siga usando la autenticación multifactor), el correo de Vanderbilt (en dispositivos de la universidad y personales), CampusPrint, Brightspace, Zoom y YES (todas las matrículas de cursos avanzan según lo previsto). Todos los demás sistemas y aplicaciones siguen restringidos. Prevé que pueden hacer falta varias semanas para restablecer por completo el funcionamiento normal de todos los sistemas, y dice que se centra en la contención y en determinar a qué datos, si los hay, se pudo acceder. Estudiantes, profesorado y personal pueden volver a usar los dispositivos de la universidad, y se les pide que abran de inmediato un ticket en el servicio de asistencia de VUIT por cualquier actividad anómala o sospechosa que aún no hayan comunicado. Las clases siguen el horario normal. La universidad no ha dicho si se accedió a algún dato, se perdió o se vio comprometido (su actualización de las 9:00 del 10 de noviembre lo llamó «incidente de hackeo»). Según la prensa, un grupo ha reivindicado el ataque; la universidad no lo ha confirmado. La próxima actualización se espera antes de las 10:00 del 11 de noviembre. Conclusión de este sitio: puede usar los servicios disponibles, pero los demás sistemas siguen restringidos y la recuperación total puede tardar semanas, así que consulte los plazos de las tareas con el profesorado y los de las subvenciones con la oficina de investigación de la universidad. La exposición de datos personales no está confirmada, así que espere las actualizaciones oficiales y, mientras tanto, cambie las contraseñas reutilizadas y desconfíe de mensajes que finjan ser el servicio de TI de la universidad.
Brecha en docomo Online Shop y My docomo de NTT DOCOMO (hasta unos 300.000 registros): números de documento de identidad filtrados y qué deben hacer los clientes
El 4 de noviembre de 2026, NTT DOCOMO confirmó un acceso no autorizado desde el exterior a docomo Online Shop y My docomo y, desde aproximadamente la 1:05 del 5 de noviembre, suspendió los trámites en ambos servicios e inició un mantenimiento de emergencia. En su segundo informe (5 de noviembre) la empresa dijo que parte de la información de clientes se había filtrado por el acceso no autorizado antes del mantenimiento, y en el tercero (6 de noviembre) fijó la cifra en hasta unos 300.000 registros. Para «todos los clientes afectados», los datos filtrados son nombre, fecha de nacimiento y edad; dirección, teléfono de contacto y correo electrónico; el número de un documento de identidad; número de teléfono móvil y fecha de inicio del contrato; y el plan de tarifas, las opciones y los descuentos. Para «algunos clientes» incluye además el nombre y los datos de contacto de un representante legal o apoderado, el lugar de trabajo o el nombre y la dirección de la empresa, la entidad financiera, la sucursal, el número de cuenta y el titular, e información sobre un programa de apoyo a la crianza. La causa es un acceso no autorizado desde el exterior; la vía de entrada y el alcance y la cifra exactos se están investigando, no se ha confirmado ninguna filtración nueva y no hay fecha de recuperación. A 7 de noviembre de 2026 no encontramos un cuarto informe. Nuestra conclusión: una llamada o un mensaje que cita su nombre, su dirección o los datos de su contrato no es prueba de que provenga de DOCOMO. No abra enlaces, no facilite PIN, contraseñas ni datos de tarjeta y, si se filtró su número de documento, vigile posibles contratos fraudulentos.
Acceso no autorizado al servicio de envío del boletín de Hotto Motto (hasta unos 7 millones de registros): nombres, fechas de nacimiento y teléfonos filtrados, y qué deben hacer los miembros
El 4 de noviembre de 2026, Plenus Co., Ltd. anunció que el servicio de envío del boletín de Hotto Motto, prestado por un contratista externo, había sufrido un acceso no autorizado por parte de un tercero y que se había filtrado información de miembros que incluye las direcciones de correo electrónico de los clientes. La empresa recibió el aviso del contratista el 2 de noviembre. El incidente ocurrió entre el 28 y el 31 de octubre y afecta a hasta unos 7 millones de registros. La información filtrada es información de miembros que incluye direcciones de correo electrónico, nombres, fechas de nacimiento y números de teléfono. No incluye datos de tarjetas de crédito, y la empresa dice que no guarda datos de tarjetas. No se ha confirmado ningún impacto en el servicio de pedidos en línea, que sigue disponible. El servicio de envío del boletín se ha detenido por completo, sin fecha de reanudación. A 7 de noviembre de 2026 no encontramos ningún aviso posterior. Nuestra conclusión: un correo que usa el nombre de Hotto Motto no demuestra nada solo porque conozca su nombre o su cumpleaños. Desconfíe especialmente de cualquier cosa que parezca el boletín mientras el envío está detenido, y compruebe a través del sitio o la app oficiales en lugar de hacer clic en enlaces.
Acceso no autorizado en Iris Plaza (datos de unos 7,7 millones de personas): nombres, direcciones y contraseñas cifradas pueden haberse filtrado, y qué deben hacer los miembros y compradores
El 5 de noviembre de 2026, Iris Plaza Co., Ltd., del Grupo Iris, dijo en un segundo aviso que un acceso no autorizado a Iris Plaza, la tienda en línea oficial de Iris Ohyama, puede haber filtrado parte de la información personal de sus clientes. El 28 de octubre la empresa encontró archivos sospechosos en un servicio en la nube externo que utiliza, detuvo de inmediato Iris Plaza y los sistemas relacionados, inició una investigación y confirmó un acceso no autorizado por parte de un tercero. Los datos personales guardados en el servicio en la nube externo correspondían a unos 7,7 millones de personas, y la empresa ha confirmado que estos datos pueden haberse visto u obtenido. El número real de registros filtrados y de personas afectadas sigue en investigación. La información que puede haberse filtrado es, en los datos de miembros (unos 5,8 millones de personas, incluidos antiguos miembros), nombre, dirección, número de teléfono, dirección de correo electrónico, sexo, contraseña (salvo en el caso de antiguos miembros), fecha de nacimiento y otros, y en los datos de no miembros (unos 1,9 millones de personas, incluidas quienes compraron sin registrarse o participaron en campañas), nombre, dirección, número de teléfono y dirección de correo electrónico. Algunos datos, entre ellos las contraseñas, están cifrados. La empresa dice que los datos de tarjetas de crédito no estaban guardados en ese servicio en la nube y se ha confirmado que no se vieron afectados. Pide a quienes usan la misma contraseña en otros sitios que la cambien. A 7 de noviembre de 2026 no encontramos un tercer aviso. Nuestra conclusión: si usa su contraseña de Iris Plaza en cualquier otro servicio, cámbiela hoy. Los antiguos miembros y quienes compraron sin registrarse también están incluidos.
Manipulan los archivos del lanzador de PC de GODDESS OF VICTORY: NIKKE y se distribuye un programa malicioso: qué hacer si usó la versión de Windows desde las 15:41 (JST) del 27 de septiembre
El 5 de noviembre de 2026, el operador de GODDESS OF VICTORY: NIKKE (Level Infinite) anunció que un tercero había manipulado algunos archivos de su lanzador de PC, por lo que un programa malicioso podía ejecutarse al iniciar el lanzador. Según el operador, un dominio externo usado por una parte del servicio del juego fue tomado el 27 de septiembre, cuatro scripts oficiales del CDN que descarga el lanzador fueron manipulados a las 15:41 (JST) de ese día, y la distribución del programa malicioso a través de esos scripts comenzó a las 3:52 del 30 de octubre. Detectó la anomalía el 4 de noviembre y sustituyó los scripts para bloquear una mayor distribución. Está afectado quien haya iniciado al menos una vez el lanzador de PC para Windows desde las 15:41 del 27 de septiembre; quienes juegan solo en el móvil no están afectados. El operador dice que el PC, las cuentas en servicios externos y los activos podrían verse afectados, y desde las 8:00 del 5 de noviembre ofrece en el cliente oficial de PC una función de análisis y eliminación. El alcance del daño y la vía de la manipulación se están investigando. Opinión de este sitio: si está afectado, cambie las contraseñas desde otro dispositivo limpio (primero correo, banca, criptomonedas, tiendas de juegos y Discord), cierre las demás sesiones, vuelva a emitir claves de API y tokens, y active la autenticación de dos factores.
Incidente de seguridad de Trigger.dev (noviembre de 2026): claves de API root y variables de entorno al alcance del atacante en el 0,66 % de los clientes; regenere claves y rote secretos
Trigger.dev, una plataforma para ejecutar trabajos en segundo plano y agentes de IA, divulgó un incidente de seguridad el 1 de noviembre de 2026 y publicó un informe de seguimiento el 6 de noviembre. La empresa dice que las alertas de la infraestructura señalaron actividad anómala el 1 de noviembre, que la juzgó maliciosa y que bloqueó al atacante. El incidente afectó al 0,66 % de todos los clientes. El atacante obtuvo claves de API root de algunos entornos de clientes; una clave root da acceso total a la configuración de un entorno, incluidas sus variables de entorno. En algunos entornos el atacante también listó ejecuciones, despliegues y programaciones recientes, lo que devolvió ID, nombres de tareas, claves de idempotencia de ejecuciones, estado de las ejecuciones, etiquetas, metadatos y errores de despliegues, ID externos de programaciones y metadatos de ejecuciones. La empresa dice que no encontró pruebas de que se accediera a otros datos de clientes, a otros servicios, a sus propias bases de datos de producción ni a cuentas del panel de clientes. No revela el vector de ataque, para proteger la investigación y a los clientes. Los clientes afectados fueron contactados por correo (el 1 y el 2 de noviembre) y mediante un banner en el panel (sin indicar cuándo), y se revocaron las claves de API potencialmente afectadas. Los clientes afectados deben regenerar sus claves de API y rotar las credenciales de los entornos afectados, como contraseñas de bases de datos y claves de API de terceros, revocando las antiguas en el proveedor. La empresa dice que los clientes que no recibieron aviso de impacto no se vieron afectados, que los secretos de firma de webhooks no quedaron expuestos y que los despliegues autoalojados no se vieron afectados. Opinión de este sitio: compruebe primero el correo y el banner del panel y, si está afectado, regenere las claves y rote las credenciales como indica la empresa.
Incidente de seguridad de Chainalysis (octubre–noviembre de 2026): expuestos nombres, nombres de usuario, hashes de contraseñas y tokens activos de todos los usuarios, y qué deben hacer los clientes
La empresa de análisis de blockchain Chainalysis publicó un aviso sobre un incidente de seguridad el 30 de octubre de 2026 y lo ha actualizado desde entonces. En su actualización del 4 de noviembre, la empresa dice que los nombres, nombres de usuario, hashes de contraseñas y tokens activos de todos los usuarios quedaron expuestos a un actor malicioso. Dice que no tiene pruebas de que se accediera a datos de investigaciones ni de que se manipularan datos de atribución. Una actualización anterior de esa mañana dice que un ataque on-path expuso las contraseñas de un subconjunto de clientes y que las cuentas afectadas se bloquearon y tuvieron que restablecerse. La empresa pausó KYT, el filtrado de direcciones y la página de inicio de sesión, y el 6 de noviembre empezó a restaurar KYT y el filtrado de direcciones por fases. No se da fecha de restauración para Reactor ni Data Solutions. Se pide a los clientes que soliciten la lista de permitidos de direcciones IP de confianza, restablezcan contraseñas y roten las claves API. El aviso del 30 de octubre decía que no había pruebas de acceso a credenciales de autenticación ni a tokens de sesión; las actualizaciones posteriores describen la exposición de tokens y la página no explica la diferencia.
Incidente de seguridad de Northflank (octubre de 2026): variables de entorno almacenadas que se deben dar por descifradas y uso indebido de claves de API de IA
El 30 de octubre de 2026 (UTC), la plataforma de despliegue en la nube Northflank publicó un incidente de seguridad en su página de estado. Una alerta de amenaza de un proveedor de seguridad llegó a las 11:43 UTC; la empresa desplegó parches desde las 12:02 UTC, indicó a los clientes que rotaran las variables de entorno a las 13:40 UTC y, a las 13:58 UTC, que supusieran que todas las variables de entorno habían sido descifradas. A las 15:12 UTC su página de estado ya señalaba que varios usuarios informaban de que sus claves de IA se habían usado y, a las 23:38 UTC, decía que usuarios habían informado del uso no autorizado de claves de API de IA almacenadas en la plataforma. El 31 de octubre habilitó los registros de auditoría para todos los clientes y fue publicando la rotación de secretos de los complementos, un tipo cada vez. En una actualización del 2 de noviembre (11:09 UTC, estado Monitoring) dijo que cree haber contenido el ataque en la hora siguiente a la primera alerta, que las cargas de trabajo en ejecución no se vieron afectadas y que no ha visto señales de que se accediera a las cargas de trabajo ni a sus datos, y que el ataque parecía centrado en los secretos del plano de control. Auditores forenses independientes lo están revisando, revocó tokens de acceso, sesiones, integraciones con sistemas de control de versiones (VCS) y roles IAM entre cuentas (por lo que los usuarios deben volver a iniciar sesión y reconectar las integraciones), y prometió un análisis de causa raíz cuando se confirmen los hallazgos. En una actualización del 6 de noviembre (10:09 UTC) dijo que el primer descifrado conocido de secretos ocurrió entre las 02:39 y las 03:08 UTC del 30 de octubre, antes de su primera alerta de las 11:43 UTC; que el exploit se parcheó en los 60 minutos siguientes al aviso y que se notificó a los clientes en dos horas; que no ha encontrado pruebas de que se accediera a las cargas de trabajo de los clientes ni a sus datos; y que ha trabajado con proveedores previos para revocar credenciales cuando fue posible. La revisión forense sigue en curso. No se han revelado el número de clientes afectados, cómo entró el atacante ni qué proveedores de IA estuvieron implicados. Opinión de este sitio: revoque todos los secretos que guardó en Northflank en el servicio que los emitió, luego revise el uso y la facturación de cada proveedor de IA y fije límites de gasto.
Qué comprobar tras una actualización urgente de PHP: PHP web frente a PHP de línea de comandos, set -e y códigos de salida de diff, y una revisión de intrusión
Durante la respuesta de octubre de 2026 a las vulnerabilidades críticas de PHP, un sitio que gestiona el operador de este sitio había actualizado el PHP web, pero el PHP de línea de comandos que usaba cron seguía apuntando a una versión antigua. Compruebe por separado el web y la CLI. Con set -e, diff y grep devuelven el estado de salida 1 para «diferencias encontradas» o «sin coincidencias», lo que detiene el script; gestione por separado los códigos 0, 1 y 2. Tras el parche, ejecute la misma lista de revisión de intrusión en todos los servidores, y resuelva una entrada de registro sospechosa comparando los archivos activos con la copia desplegada de referencia.
Filtración en Tin Pan Alley, filial de World (operador de RAGTAG, según la prensa), con unos 1,2 millones de registros en total: nombres, direcciones y teléfonos pueden haberse filtrado y qué deben hacer los socios
El 30 de octubre de 2026, World Co., Ltd. anunció que un tercero accedió sin autorización a un servidor de negocio de su filial consolidada Tin Pan Alley Co., Ltd., y que parte de la información de socios almacenada en él puede haberse filtrado. La información de socios que puede haberse filtrado suma unos 1,2 millones de registros (una cifra agregada, no un número de personas). Los datos son nombre, dirección, número de teléfono, fecha de nacimiento, sexo y dirección de correo electrónico. La empresa dice que no se ha confirmado la filtración de datos de tarjetas de crédito u otros datos de pago, ni de datos faciales. El acceso se produjo alrededor de las 14:51 del 17 de octubre, se detectó alrededor de las 12:08 del 28 de octubre y la vía quedó bloqueada a las 21:36 de ese mismo día. Aún se está confirmando qué socios y cuántos están afectados, y los correos individuales a los socios saldrán cuando estén listos. Según la prensa, Tin Pan Alley opera la marca de ropa de segunda mano RAGTAG y otras, pero el aviso no nombra ningún servicio ni marca. Opinión de este sitio: suponga que su nombre, dirección, teléfono y correo están juntos en manos ajenas, no abra enlaces de mensajes, compruebe en un sitio oficial que usted mismo abra y nunca facilite contraseñas ni números de tarjeta.
Servidor de actualizaciones de AOMEI Backupper manipulado (de abril a julio de 2026): quién puede estar afectado, las fechas y cómo revisar su PC
AOMEI, fabricante del software de copias de seguridad para Windows AOMEI Backupper, publicó el 19 de octubre de 2026 (última actualización el 30 de octubre) un comunicado sobre un compromiso de la cadena de suministro de software que afectó a su servidor de actualizaciones. Citando la investigación de una empresa de seguridad, dice que entre abril y julio de 2026 los archivos de configuración del servidor de actualizaciones de AOMEI Backupper se modificaron repetidamente durante unos cinco a diez minutos y después se restauraron. Durante esas ventanas, la configuración modificada podía hacer que el software descargara archivos maliciosos. Hasta ahora se han identificado tres ventanas: 28 de mayo (05:40–05:50 UTC), 16 de julio (08:33–08:39 UTC) y 20 de julio (10:35–10:40 UTC). La empresa reforzó los servidores antes del 29 de julio, trasladó el servicio de actualizaciones a un servidor nuevo el 5 de agosto y publicó AOMEI Backupper 8.5.1 el 19 de octubre. Pide a todos los usuarios de AOMEI Backupper, afectados o no, que ejecuten su AOMEI Security Scanner, actualicen a la 8.5.1, analicen el equipo con su software de seguridad y cambien la contraseña de su cuenta de Windows o de dominio. No se han publicado el número de usuarios afectados ni las versiones afectadas. La opinión de este sitio: si AOMEI Backupper estaba instalado en un PC que estuvo encendido durante esas ventanas, haga los cuatro pasos y, si puede, cambie la contraseña de Windows desde otro dispositivo limpio.
Robo de criptoactivos en Binance (unos US$6.300 millones): ¿están cubiertos los fondos de los usuarios y qué deben hacer los titulares de cuentas?
Binance dijo que sus hot wallets (carteras calientes) se vieron comprometidas hacia las 20:05 UTC del 29 de octubre de 2026 y que siguieron retiradas no autorizadas, con un impacto estimado de unos US$6.300 millones. El 31 de octubre, el FBI anunció que Corea del Norte fue responsable del robo de más de US$6.000 millones y publicó 628 direcciones que, según dice, tienen o han tenido activos del robo, pidiendo a los exchanges y otros servicios que las bloqueen. Binance dice que los fondos de los usuarios están seguros, que absorberá ella misma la pérdida (el 1 de noviembre dijo que ya se ha repuesto alrededor del 95 % del importe afectado) y que se congelaron en la cadena unos US$3.000 millones. Su primera actualización decía que la investigación inicial sugería que el portátil comprometido de un ingeniero de DevOps permitió a un atacante llegar a un contenedor de servicio y enviar retiradas no autorizadas; su segunda actualización dice que la investigación posterior descubrió puntos de intrusión adicionales y que no se ha encontrado ninguna prueba de una filtración de clave privada de cartera. La Actualización n.º 4 de Binance fijó la primera fase de retiradas entre las 06:00 y las 09:00 UTC del 1 de noviembre, y Binance dijo en una publicación en X que a las 12:36 UTC las 15 redes de la primera fase ya se habían reanudado; las demás redes y activos aún se están probando y los depósitos no se ven afectados. En la Actualización n.º 5 del 2 de noviembre, Binance dijo que la prueba completa de conocimiento cero de la Prueba de Reservas para diez tokens está terminada y que la siguiente fase de retiradas está prevista para el 3 de noviembre. En la Actualización n.º 6 del 3 de noviembre, Binance dijo que las retiradas se reabren para más activos desde las 04:00 UTC de ese día, de forma progresiva a medida que terminan las comprobaciones de seguridad. Aún falta un análisis posterior. La conclusión de este sitio: en lo divulgado, se trató de un robo de las propias carteras del exchange, y Binance no ha indicado que se vieran afectados datos de clientes, así que el principal riesgo para los titulares de cuentas ahora son los mensajes falsos de soporte, de reembolso y de recuperación. Abra Binance solo desde su propio marcador o la app oficial, no comparta nunca una frase semilla, una clave privada ni un código de verificación, y active la autenticación en dos pasos.
Extensión «Claude Code» manipulada en el mercado de Cursor (29 de oct., unas 11 horas): cómo comprobar si hay una puerta trasera SSH
Cursor publicó un aviso de seguridad el 29 de octubre de 2026 (actualizado el 30 de octubre) en el que dice que las versiones manipuladas 2.1.312 y 2.1.313 de una extensión publicada con el nombre de Anthropic (Anthropic.claude-code) se distribuyeron en el mercado de extensiones de Cursor para Windows y macOS entre aproximadamente las 2:27 y las 13:35 (hora del Pacífico) del 29 de octubre. Cursor afirma que Anthropic no desarrolló esas versiones. Según Cursor, el código se ejecutaba al cargar la extensión, recogía información del equipo y del usuario, añadía una clave SSH controlada por el atacante (con la etiqueta svc-telemetry), intentaba activar SSH y abrir un túnel inverso, instalaba persistencia mediante un LaunchAgent en macOS o una tarea programada o una entrada de Inicio en Windows, y enviaba datos del equipo al atacante. Cursor dice que activar SSH falla en la mayoría de los equipos, por lo que allí el atacante no habría podido iniciar sesión por el túnel. Cursor retiró la extensión, pausó el mercado, auditó otras extensiones, rotó claves y dice que el servidor del atacante ya no funciona. Cursor dice que no tiene pruebas de que otras versiones ni la distribución oficial estén afectadas. BleepingComputer informa de que hasta unos 5.000 desarrolladores pueden haber estado expuestos. Nuestra conclusión: si instaló o actualizó esa extensión en Cursor el 29 de octubre, compruebe la clave y las entradas de persistencia, y rote los secretos accesibles desde ese equipo.
Incidente de DreamHost (octubre de 2026): credenciales FTP y SFTP expuestas a través de File Manager, también se obtuvieron credenciales de webmail, y qué deben hacer los titulares de cuenta
El 29 de octubre de 2026, DreamHost dijo que el 23 de octubre detectó un acceso no autorizado al servidor que ejecuta su File Manager web (files.dreamhost.com). El atacante explotó una vulnerabilidad en un software de terceros que usa File Manager y obtuvo los nombres de usuario y contraseñas FTP/SFTP de los usuarios que iniciaron sesión en File Manager desde aproximadamente agosto hasta el 23 de octubre. El atacante también llegó a ciertos sistemas de webmail y obtuvo las credenciales de acceso de un número limitado de usuarios de webmail; en un pequeño número de casos, el contenido de los buzones puede haberse visto, y DreamHost contacta a esos clientes de forma individual. DreamHost dice que no encontró pruebas de que se accediera a los accesos del panel de control ni a los datos de facturación, y que no almacena números de tarjeta completos. Sitúa el impacto muy por debajo de aproximadamente el 10 % de las cuentas de correo y FTP/SFTP y no ha dado una cifra. Presentó una notificación ante el fiscal general de California (informada el 2 de noviembre), y la carta de muestra ofrece un año de protección contra el robo de identidad. Desde el 23 de octubre restableció algunas contraseñas como precaución, y esos usuarios de correo, FTP y SFTP siguen bloqueados hasta que el titular de la cuenta configure contraseñas nuevas en el panel. La opinión de este sitio: si usó File Manager desde agosto, cambie sus contraseñas FTP/SFTP aunque no haya recibido un aviso de restablecimiento, actualice las contraseñas guardadas en las herramientas, y revise los reenvíos y filtros de correo y los archivos de su sitio por si hay cambios que usted no hizo.
Filtración en el sistema de gestión de la app de Matsuya (2.377.127 registros más miembros de la app): nombres, teléfonos y direcciones de entrega expuestos: qué deben hacer los miembros
El 30 de octubre de 2026, Matsuya Foods Holdings Co., Ltd., la cadena japonesa de restaurantes de gyudon (cuencos de arroz con ternera), anunció que un tercero había accedido sin autorización al sistema de gestión de la app oficial de Matsuya (Matsuben Net, Mobile Order y Matsuben Delivery) y que se habían filtrado datos de miembros. La empresa descubrió la intrusión y la filtración el 28 de octubre. Para los usuarios de Matsuben Net, Mobile Order y Matsuben Delivery (2.377.127 registros), los datos son el ID de miembro, la dirección de entrega, el nombre, el número de teléfono y los puntos de Matsuya. Para los miembros de la app de Matsuya (2.000 registros, posiblemente hasta 3.000), los datos son el ID de miembro, la prefectura, el nombre, el número de teléfono, la fecha de nacimiento, la dirección de correo electrónico, la contraseña cifrada y los puntos de Matsuya. La empresa afirma que no conserva datos de tarjetas de crédito. La causa y cómo se produjo la intrusión están bajo investigación, y la app y servicios relacionados, como su sitio web, están suspendidos. Nuestra conclusión: no abra enlaces de mensajes que digan ser de Matsuya, consulte solo en lugares oficiales que abra usted mismo y, si es miembro de la app, deje de reutilizar su contraseña de Matsuya en otros sitios.
Filtración de la app y la tienda en línea de Ryohin Keikaku (MUJI) (hasta unos 27,26 millones de registros): también afectados unos 1,09 millones de números de MUJI Card — qué deben hacer los usuarios
Tras su primer aviso del 30 de octubre, Ryohin Keikaku Co., Ltd., la minorista japonesa detrás de MUJI, dijo en un segundo aviso del 4 de noviembre de 2026 que el alcance era mayor. Están afectados los miembros de la tienda en línea de MUJI (incluidas personas que nunca usaron la app de MUJI) además de los usuarios de la app, con los clientes dados de baja incluidos. Dirección de correo, fecha de nacimiento, género e ID de miembro de hasta unos 27,26 millones de registros pueden haber sido accedidos desde el exterior, y en unos 520.000 de ellos también nombre, dirección y número de teléfono. Para unos 1,09 millones de miembros de la MUJI Card (emitida por Credit Saison, con alta hasta julio de 2021), están afectados el número completo de la tarjeta, el ID de MUJI Card y la fecha de nacimiento; el nombre en la tarjeta, la fecha de caducidad y el código de seguridad no se incluyen. Para unos 120 registros en los que se registró una tarjeta en la app o en la tienda en línea, están afectados los seis primeros y los dos últimos dígitos del número de tarjeta y el nombre del titular. La empresa dice que no ha confirmado ninguna filtración a la dark web ni daños por uso indebido, y que contactará individualmente por correo electrónico o postal a los clientes afectados. El 6 de noviembre anunció que había suspendido la tienda en línea. Conclusión de este sitio: si tiene una MUJI Card, revise el extracto de su tarjeta y contacte con Credit Saison por cualquier cargo que no reconozca, y compruebe cualquier mensaje o llamada que diga proceder de MUJI o de una compañía de tarjetas mediante la app o el sitio oficial que usted mismo abra, o el número del reverso de su tarjeta.
Brecha de OpenCode Console (octubre de 2026, 1,4 % de los usuarios de Console): claves de API de proveedores de IA posiblemente expuestas, y qué hacer
El 17 de octubre de 2026, OpenCode, el agente de programación con IA de código abierto, dijo en su cuenta oficial de X que la noche anterior había sufrido una brecha de seguridad, relacionada con un ataque de destilación a gran escala, que afectó al 1,4 % de los usuarios de OpenCode Console. Dijo que esa mañana había enviado un correo a todos los usuarios afectados, que los usuarios que no recibieron el correo no estaban afectados y que los afectados eran un subconjunto que tenía proveedores externos vinculados. La empresa dijo que el incidente seguía en curso, que no podía dar más detalles y que estaba trabajando con los proveedores de IA implicados. Según informaciones de prensa sobre el correo y sobre declaraciones de la empresa, las claves de API de proveedores de IA externos que los usuarios habían guardado en workspaces de Console pueden haber quedado expuestas a través de un sistema antiguo, y se indicó a los usuarios afectados que revocaran y sustituyeran esas claves directamente con cada proveedor. Un cofundador dijo que la app de código abierto y la herramienta de línea de comandos no se vieron afectadas. La opinión de este sitio: si recibió el correo, o tenía claves de proveedores de IA vinculadas en OpenCode Console y no está seguro, revóquelas hoy en el panel de cada proveedor y revise el uso y la facturación desde el 17 de octubre.
Filtración de datos de Photon Health (fallo en una herramienta de análisis): nombres, direcciones, teléfonos, fechas de nacimiento e información de recetas — qué deben hacer los pacientes afectados
El 8 de octubre de 2026, Photon Health, una plataforma estadounidense de receta electrónica, publicó un aviso en el que dice que un tercero no autorizado explotó una vulnerabilidad desconocida hasta entonces en su herramienta de análisis de datos (Metabase), que Photon ejecuta en su propia infraestructura, y accedió a ciertos datos. Photon dice que tuvo conocimiento del incidente el 21 de agosto y terminó su revisión de los datos el 4 de septiembre. Los datos son nombre, dirección, número de teléfono, fecha de nacimiento e información de medicamentos recetados, según la persona. Photon dice que no recoge ni almacena números de la Seguridad Social ni información financiera, por lo que no se vieron afectados, y que no tiene pruebas de uso indebido. Photon no ha revelado cuántas personas están afectadas. Por separado, Blueberry Pediatrics, una empresa de telemedicina pediátrica, informó a la fiscalía general de Oregón de que 340.915 personas se vieron afectadas por una vulneración de su propio entorno de Metabase, con datos que incluyen detalles del plan de salud e historias clínicas. Conclusión de este sitio: son datos relacionados con la salud vinculados a un nombre, una dirección y un teléfono reales, así que espere llamadas y mensajes convincentes sobre recetas, seguros o cuentas de farmacia. No actúe según ellos; devuelva la llamada a un número que busque usted mismo.
Trezor informa de un posible implante de hardware en un Safe 5 de un antiguo revendedor (sin confirmar): qué deben hacer los propietarios
El 30 de octubre de 2026, Trezor publicó un aviso en el que dice que su equipo de seguridad recibió, el 28 de octubre, un informe de divulgación responsable sobre un implante de hardware en un Trezor Safe 5. El dispositivo se compró en agosto de 2026, a través de un mercado en línea, a una empresa que fue revendedor oficial de Trezor en el sudeste asiático hasta octubre de 2026. El informe describe una placa de circuito adicional con un módulo celular y una antena entre la placa principal y la pantalla, que según se dice lee lo que muestra la pantalla, incluida la copia de seguridad de la cartera (frase de recuperación), y lo envía por una red móvil. Trezor no ha recibido el dispositivo, así que esto no está verificado, y dice que no se sabe que se hayan robado fondos. Para los dispositivos comprados a ese revendedor desde marzo de 2026, Trezor dice: no configure uno nuevo y, si ya usa uno, cree una cartera nueva con una nueva frase de recuperación en un dispositivo nuevo y traslade sus fondos. Nuestra conclusión: es un informe, no un hallazgo confirmado, pero los pasos son baratos en comparación con el riesgo, así que siga la guía del fabricante si su dispositivo procede de ese revendedor.
Filtración del sitio web de Yakult Honsha (unos 40.000 registros): se filtraron nombres, direcciones, teléfonos, correos y contenido de consultas — qué deben hacer los afectados
Yakult Honsha Co., Ltd. confirmó un acceso no autorizado a su sitio web el 26 de octubre de 2026 y suspendió ese mismo día las funciones del sitio. En su segundo informe del 30 de octubre, dijo haber confirmado que se filtraron unos 40.000 registros de datos personales proporcionados a través del sitio web. Los grupos y datos afectados son: usuarios del formulario de consulta por correo (nombre, género, tramo de edad, dirección, número de teléfono, dirección de correo, contenido de la consulta); miembros del sitio de comedores escolares «Tanoshii Kyushoku» (nombre, tipo de actividad, lugar de trabajo, dirección y teléfono del lugar de trabajo, dirección de correo, contraseña cifrada y más); usuarios del formulario de consultas de prensa; y personal de la empresa que atendió esas consultas (nombres). La empresa afirma que el sitio web no guardaba datos de tarjetas de crédito ni de cuentas bancarias. No se han revelado el desglose de la cifra, el periodo afectado ni la causa. Ha presentado un primer informe a la Comisión de Protección de Información Personal de Japón y ha consultado a la policía. Conclusión de este sitio: no abra enlaces en mensajes que digan proceder de Yakult y, si es miembro del sitio de comedores escolares, cambie la contraseña de cualquier otro servicio donde usó la misma.
Incidente de seguridad de Zeabur (octubre de 2026, 3,22 millones de variables de entorno leídas): qué secretos rotar y qué deben hacer los usuarios
El 19 de octubre de 2026, la plataforma de despliegue de aplicaciones Zeabur publicó un informe preliminar sobre un incidente de seguridad ocurrido el 14 y 15 de octubre (UTC). La empresa afirma que un atacante usó credenciales internas filtradas de Zeabur para entrar en su clúster compartido, en algunos Dedicated Servers y en sistemas internos, y que finalmente leyó la base de datos de la plataforma entre las 16:10 y las 16:47 UTC del 15 de octubre. Confirmó que se leyeron 3.218.965 registros de variables de entorno (nombres y valores) y datos de 321.810 cuentas (correo electrónico, nombre de usuario, número de teléfono y más), además de 566 claves de API de zSend, que ha revocado. La empresa dice que la causa de fondo es responsabilidad de Zeabur: credenciales de administración de larga duración se almacenaban en texto claro y podían usarse desde internet. Pide a todos los usuarios que sustituyan todas las contraseñas y claves almacenadas en Zeabur, aunque ya las hubieran sustituido tras otro incidente en agosto. Zeabur había anunciado el 17 de octubre que cerrará el 31 de diciembre de 2026, y el 22 de octubre fijó el 30 de noviembre de 2026 como plazo para reclamar pérdidas causadas por el incidente. La opinión de este sitio: trate cualquier secreto que haya puesto alguna vez en una variable de entorno de Zeabur como conocido por otra persona, revóquelo primero en el servicio que lo emitió y revise facturas y registros desde el 14 de octubre.
Brecha de datos de clientes de ASOS y falsa alerta en la app: nombres y datos de contacto robados, fechas de nacimiento e historial de búsquedas según informaciones — qué deben hacer los clientes
El 6 de octubre de 2026, los clientes de ASOS recibieron una notificación push no autorizada a través de la app de ASOS. ASOS dijo que una parte no autorizada había accedido a plataformas de terceros que usa para comunicarse con los clientes. Dijo que los nombres y los datos de contacto de los clientes podrían haberse visto afectados, y que no cree que se vieran afectados los datos de tarjetas de pago ni las contraseñas de las cuentas. En una actualización posterior para los clientes, según informó BleepingComputer, ASOS dijo que se obtuvieron las credenciales de acceso de un empleado haciéndose pasar por un contacto de confianza. La BBC informó de que una muestra facilitada por los atacantes incluía también números de cliente, fechas de nacimiento y búsquedas hechas en el sitio web de ASOS; ASOS no ha confirmado esa lista. ASOS no ha publicado cuántos clientes están afectados. La conclusión de este sitio: un mensaje que cita su nombre o una búsqueda pasada no prueba que provenga de ASOS. Abra usted mismo la app o el sitio web de ASOS en lugar de pulsar un enlace.
Robo de criptoactivos en Bitget (unos 387,5 millones de dólares): ¿están cubiertos los saldos de los clientes y qué deben hacer los titulares de cuentas?
El 24 de septiembre de 2026 (UTC), el exchange de criptomonedas Bitget detectó transferencias no autorizadas desde parte de sus monederos calientes y templados. Primero estimó unos 351,6 millones de dólares y el 25 de septiembre confirmó unos 387,5 millones de dólares enviados a direcciones controladas por el atacante. Bitget dice que los saldos de las cuentas de los clientes no se vieron afectados, que la pérdida entra en su Fondo de Protección del Usuario, que los monederos fríos no se tocaron y que la vía de entrada fue una vulnerabilidad zero-day en productos de seguridad de terceros, ya corregida. Se pausaron los retiros y luego se restablecieron por fases; la página de Bitget dice que quedaron totalmente restablecidos el 2 de octubre. Bitget no ha publicado el nombre del producto afectado ni un informe completo de la causa raíz. La conclusión de este sitio: fue un robo de los monederos del propio exchange, no una filtración de datos de clientes, así que el principal riesgo para los titulares ahora son los falsos mensajes de «recuperación» y «compensación». Active la autenticación en dos pasos, abra Bitget solo desde su propio marcador y no comparta nunca una frase semilla, una clave privada ni un código de verificación.
Incidente de ConnectWise Cloud Backup (antes SkyKick): intentos de inicio de sesión dirigidos por IA contra más de 2.250 inquilinos de Microsoft 365 y qué deben comprobar los administradores
El 16 de octubre de 2026, ConnectWise publicó un aviso en el que indica que hubo un acceso no autorizado a credenciales de aplicaciones asociadas a Cloud Backup (antes SkyKick), su servicio de copias de seguridad de Microsoft 365 para proveedores de servicios gestionados (MSP). El 17 de octubre desactivó siete identidades de aplicación, suspendió Cloud Backup, SaaS Security y Cloud Management, y el 19 de octubre restableció todas las cuentas y credenciales del entorno afectado. El 21 de octubre Microsoft publicó una investigación en la que valora que un grupo alineado con un Estado estuvo detrás de la intrusión y que después usó un marco de pruebas de penetración multiagente de IA, de código abierto, para intentar iniciar sesión en más de 2.250 inquilinos. Microsoft dice que la mayor parte de los intentos no tuvo éxito, pero que se obtuvo acceso privilegiado a la nube en muchas organizaciones, en algunos casos en menos de tres horas. Una empresa de seguridad confirmó por separado inicios de sesión no autorizados en 162 inquilinos a fecha del 16 de octubre. ConnectWise dice que los archivos de copia existentes no muestran indicios de compromiso, pero que eso no establece si inquilinos concretos de Microsoft 365 se vieron afectados. La conclusión de este sitio: si usted o su MSP instalaron alguna vez estas aplicaciones, revise las credenciales, los roles de directorio y los consentimientos de aplicaciones en su propio inquilino, y mantenga las aplicaciones desactivadas hasta que ConnectWise indique otra cosa.
Filtración de datos de Frontline Education (proveedor de software escolar): 3,09 millones de personas según la lista del Fiscal General de Indiana; números de la Seguridad Social, de Medicaid y de estudiante afectados, y qué deben hacer el personal y las familias
Frontline Education, proveedor estadounidense de software de administración para distritos escolares K-12, publicó un Aviso de Filtración de Datos fechado el 26 de octubre de 2026. Dice que su equipo de seguridad halló el 14 de agosto de 2026 una vulnerabilidad en un producto de software de terceros que utiliza, que esa vulnerabilidad permitió el acceso no autorizado a una parte de su entorno desde ese día, y que el último día de actividad no autorizada fue el 15 de agosto. Los datos afectados se relacionan con dos productos, Frontline Central y School Health Management. La empresa dice que se vieron afectados los siguientes datos, y cuáles se aplican varía según la persona: número de la Seguridad Social, fecha de nacimiento, número de licencia de conducir, número de pasaporte, otro documento de identidad oficial, identificador de Medicaid e identificador de estudiante. Frontline dice que no tiene conocimiento de ningún uso indebido de los datos, y ofrece a los adultos en EE. UU. dos años de monitoreo de crédito de TransUnion y a los menores monitoreo cibernético (su página del incidente habla de monitoreo de la web oscura donde esté disponible). La lista de filtraciones de datos del Fiscal General de Indiana (edición de noviembre de 2026) muestra 3.085.266 personas en total (66.157 residentes de Indiana; fecha de notificación 26 de octubre, fecha de la filtración 14 de agosto), mientras que las presentaciones en otros cinco estados (MA, NH, SC, TX, VT) sumaban unos 1,3 millones (1.298.917), según SecurityWeek. El número de distritos no se ha publicado. Nuestra opinión: si trabaja en un distrito escolar de EE. UU. que usa Frontline, o tiene un hijo en uno, dé por hecho que el aviso se aplica a usted, active un congelamiento de crédito gratuito y trate como no probada cualquier llamada o correo que cite su identificador de Medicaid o de estudiante.
Filtración de datos de iRhythm (8.179.772 personas en el listado del HHS): nombres de pacientes de Zio, números de seguro y números de serie de dispositivos, y qué deben hacer los pacientes
iRhythm Technologies, fabricante estadounidense del monitor cardíaco portátil Zio, comunicó a la SEC de EE. UU. el 15 de junio de 2026 que había detectado un acceso no autorizado a ciertas aplicaciones de negocio alojadas por terceros y que se habían extraído datos. En un aviso fechado el 2 de octubre de 2026, la empresa dice que su investigación halló que se accedió a los datos y se descargaron entre el 3 y el 8 de junio de 2026, y que los avisos a las personas afectadas empezaron el 2 de octubre. Los datos incluyen nombre del paciente, información de contacto (domicilio, correo electrónico, teléfono), número de cuenta del paciente, número de serie del dispositivo, número de seguro, fecha del servicio y fecha de nacimiento, y la empresa dice que cuentan como información de salud protegida según la HIPAA. iRhythm no ha publicado una cifra total propia. El incidente apareció en el portal de filtraciones del Departamento de Salud y Servicios Humanos de EE. UU. (HHS) con 8.179.772 personas, según informaron SecurityWeek y CyberInsider el 29 de octubre de 2026. Registros estatales anteriores indicaban 298.647 personas en Texas y 69.526 en Carolina del Sur. La empresa dice que no halló impacto en sus productos ni en los sistemas clínicos o de dispositivos médicos, y que no almacena información de tarjetas de pago ni de cuentas financieras. Opinión de este sitio: si fue paciente de Zio, espere mensajes convincentes que usen su nombre y los datos de su seguro, revise los extractos de su aseguradora y considere un congelamiento de crédito gratuito.
Filtración de datos de la Universidad de Copenhague (unas 525.000 personas): nombres, números CPR, teléfonos y correos — qué hacer
La Universidad de Copenhague (Københavns Universitet, KU) anunció el 23 de octubre de 2026 que unos hackers habían accedido a uno de sus entornos de pruebas. Informaciones coincidentes que citan a la universidad dicen que se obtuvieron datos de unas 525.000 personas: nombre completo, número CPR (el número de registro civil de Dinamarca), teléfonos de trabajo y privados y un correo electrónico privado. En una actualización del 25 de octubre, la universidad dijo que también se comprometieron los códigos PIN de las tarjetas de identificación de unos 20.000 empleados y estudiantes, y que se emitieron nuevos PIN. Las informaciones dicen que la intrusión se detectó el martes 20 de octubre y se controló. La universidad lo ha comunicado a la Agencia Danesa de Protección de Datos. Sus propias páginas no pudieron abrirse desde este sitio el 30 de octubre, por lo que este artículo se apoya en esas informaciones. Conclusión de este sitio: trate como no probado cualquier mensaje que use su nombre y su número CPR, compruebe por canales que abra usted mismo y no dé nunca un número CPR, una contraseña o un PIN si se lo piden.
Posible filtración de los datos de entrega de Ichiban Kuji ONLINE (acceso no autorizado en Bandai Logipal): nombres, direcciones y teléfonos, y qué deben hacer los socios
El 26 de octubre de 2026, BANDAI NAMCO Holdings Inc., BANDAI SPIRITS CO., LTD. y Bandai Logipal Co., Ltd. anunciaron (primer informe) que un sistema gestionado por Bandai Logipal, la filial logística de BANDAI NAMCO Holdings, había sido accedido sin autorización por un tercero, y que esto se descubrió el 21 de octubre. Según las tres empresas, los datos personales que pueden haberse filtrado son los datos de entrega (nombre, dirección y teléfono) de Ichiban Kuji ONLINE, un servicio cuya entrega de productos BANDAI SPIRITS encarga a Bandai Logipal. Detalles como el número de personas afectadas están en investigación; no se incluyen datos de tarjetas de crédito, y hasta ahora no se ha confirmado ningún uso indebido. El 21 de octubre la empresa encontró indicios de acceso no autorizado en un servidor de su sistema logístico y lo apagó, y ese mismo día confirmó que se habían realizado operaciones mediante el uso indebido de una cuenta de Bandai Logipal. Detuvo el sistema logístico en cuestión el 24 de octubre e informó a la policía y a la Comisión de Protección de Información Personal de Japón el 26 de octubre. El anuncio dice que el sistema de envíos en cuestión está suspendido desde el 26 de octubre. No se ha publicado cómo se produjo el acceso no autorizado. Las empresas advierten de que pueden llegar llamadas telefónicas y correo postal sospechosos relacionados con el incidente. La conclusión de este sitio: quien haya recibido envíos a través de Ichiban Kuji ONLINE no debe responder a llamadas ni a correo postal inesperados que digan proceder de Ichiban Kuji o de Bandai, y debe usar el formulario de consultas del sitio web oficial, abierto por sí mismo, para comprobar cualquier cosa.
Brecha del sitio de encuestas Qzoo (unos 400.000 registros): pueden haberse filtrado datos de socios, incluidos datos de cuentas bancarias, y qué deben hacer los socios
El 21 de octubre de 2026, Monitas Inc. anunció que su sitio de encuestas Qzoo había sido accedido sin autorización por un tercero y que los datos personales de los socios (panelistas) podrían haberse filtrado. Según la cronología, el acceso no autorizado empezó a las 8:30 del 17 de octubre; a las 12:22 la base de datos fue consultada y actualizada mediante inyección SQL; a las 18:44 se detectó y bloqueó el acceso; a las 19:02 el servicio pasó a mantenimiento de emergencia; y el 20 de octubre se presentó un informe preliminar a la Comisión de Protección de Información Personal de Japón. El alcance es de unos 400.000 registros (todos los registros que tenía el sistema de Qzoo a 17 de octubre). La base de datos que puede haberse visto afectada almacena información básica (nombre, fecha de nacimiento, dirección, teléfono, dirección de correo, etc.), información de autenticación del socio (ID de socio, contraseña, etc.), información financiera (número de cuenta, nombre de la sucursal, nombre del titular, etc.) y respuestas a encuestas (ingresos anuales, ocupación, etc.). Los datos concretos siguen en investigación. La empresa no guarda datos de tarjetas de crédito ni el My Number (el número nacional de identificación de Japón). Afirma que el intruso aprovechó una vulnerabilidad de su sistema. No se ha encontrado acceso no autorizado a sus otros sistemas. La opinión de este sitio: cambie hoy cualquier contraseña que comparta con Qzoo, no abra enlaces en mensajes que digan proceder de Qzoo o de un banco y nunca dé su PIN ni sus datos de acceso a nadie. Revise también los movimientos de su cuenta bancaria.
Acceso no autorizado a Rakuten Travel (hasta unos 2,6 millones de registros): nombres, datos de contacto y datos parciales de tarjetas de reservas de hoteles en el extranjero, y qué deben hacer los usuarios
El 26 de octubre de 2026, Rakuten Group, Inc. anunció que había confirmado un acceso no autorizado por parte de un tercero externo a algunas páginas del sitio de reservas de hoteles en el extranjero de Rakuten Travel, gestionado y operado por su filial Rakuten Travel Xchange, y al sitio de reservas multilingüe que opera Rakuten Group. En las páginas de reservas de hoteles en el extranjero (incidente 1), se detectó una anomalía el 10 de septiembre y la corrección del sistema se completó el 16 de septiembre. La información que fue objeto del acceso no autorizado abarca nombres, direcciones de correo, números de teléfono y números de identificación internos de hasta unos 2,6 millones de registros de clientes que iniciaron sesión y, para hasta unos 40.000 registros de clientes que reservaron, nombres, datos de contacto, país de residencia, datos de la reserva y nombres de los acompañantes; además, la información de pago (número de identificación del emisor de la tarjeta y últimos cuatro dígitos, nombre del titular, fecha de caducidad y marca de la tarjeta) de hasta unos 36.000 de ellos. No se incluyen los números completos de tarjeta, los códigos de seguridad, las contraseñas, los documentos de identidad ni las direcciones postales (según la nota del apartado de quienes reservaron). En el sitio de reservas multilingüe (incidente 2), detectado el 20 de octubre y corregido el 21 de octubre, se vieron afectados las direcciones de correo y los ID internos de hasta unos 860.000 registros de clientes que iniciaron sesión, y los nombres de cuenta y las direcciones de correo de hasta unos 40.000 registros de personal de alojamientos introducidos en la pantalla de administración. No se han anunciado la causa, el periodo abarcado ni ninguna compensación. Conclusión de este sitio: un mensaje que le pide volver a introducir su número de tarjeta o pagar no es auténtico solo porque acierte su reserva o los últimos cuatro dígitos de su tarjeta. No use los enlaces de correos ni de mensajes de texto; compruebe su reserva en la app de Rakuten Travel o en un sitio oficial guardado en marcadores.
Cómo borrar el historial de navegación, las cookies y las contraseñas guardadas (Chrome, Safari, Edge y Firefox en ordenador y móvil): qué eliminar tras una filtración y qué conservar antes
Una guía para eliminar el historial de navegación, las cookies (datos de sitios), la caché, las contraseñas guardadas y el autocompletado en Chrome (Windows, Mac, Android, iPhone), Safari (Mac, iPhone, iPad), Edge y Firefox, con los nombres que usa la ayuda oficial de cada fabricante. Borrar el historial de navegación no recupera nada de lo que ya se haya copiado y no sirve de defensa frente a una amenaza. Lo que reduce el daño futuro es ocuparse del estado de inicio de sesión (cookies) y de las contraseñas guardadas: cambia las contraseñas y cierra todas las sesiones desde un dispositivo seguro. Si vas a acudir a la policía, registra el correo de amenaza y las extensiones sospechosas antes de borrar. Si la sincronización está activada, el borrado también elimina los datos de tus otros dispositivos con la misma cuenta. En el caso de Onamae.com Desktop Cloud de octubre de 2026, el sexto aviso de GMO Internet pide a los clientes que no activen la sincronización del navegador hasta terminar la comprobación de sus dispositivos.
Datos de la campaña de Fujicco posiblemente filtrados (unas 15.500 inscripciones): nombres, direcciones, datos familiares y qué deben hacer quienes participaron
El 22 de octubre de 2026, Fujicco Co., Ltd., fabricante japonés de alimentos conocido por su yogur del Mar Caspio y sus productos de alga kombu, anunció que un servidor de la empresa con la que contrata la gestión de las inscripciones a sus campañas había sido accedido sin autorización por un tercero externo, y que los datos personales de los participantes podrían haberse filtrado. El acceso se detectó el 21 de octubre y el servidor se desactivó de inmediato. Los datos corresponden a la información personal introducida en los formularios de inscripción para no socios de dos campañas realizadas desde mayo de 2026: la serie de yogur del Mar Caspio «¡Motto! Campaña Toro-mocchi Parte 2» y la «Campaña Festival de Agradecimiento de Fujicco». En total hay unas 15.500 inscripciones, incluidas las repetidas por una misma persona. Los datos incluyen nombre, edad, sexo, ocupación, estado civil, composición familiar, número de teléfono, correo electrónico, dirección y respuestas a encuestas. No se incluyen licencias de conducir, tarjetas de crédito ni números de cuenta bancaria. Las inscripciones hechas como socio de Fujicoin, por postal o en X no se ven afectadas. No se ha confirmado la publicación ni el uso indebido de los datos, pero la empresa trata los datos como obtenidos por un tercero. La conclusión de este sitio: quienes se inscribieron a través de los formularios afectados no deben pagar gastos de envío o gestión, reenviar recibos ni volver a introducir datos personales cuando se lo pidan, y deben consultar en la oficina de la campaña, en el número que figura en el aviso oficial.
Posible filtración de datos de la app FX Navi de Green Monster (unos 6,19 millones de registros): direcciones de correo y respuestas de encuestas entre los datos, y qué deben hacer los usuarios
El 23 de octubre de 2026, Green Monster Inc. (Bolsa de Tokio, Growth, 157A) anunció que la información de los usuarios de su app de operaciones demo de FX FX Navi (FXなび) puede haber sido obtenida por un tercero (primer informe). El 17 de octubre detectó un acceso no autorizado a la app por parte de un tercero e inició una investigación. En esa investigación encontró que, desde aproximadamente las 20:26 del 27 de abril hasta aproximadamente las 14:26 del 30 de abril, un tercero que usaba una dirección IP diferente pudo haber obtenido de forma continua información de los usuarios de la app. Afirma que no se ha confirmado ninguna filtración derivada del acceso del 17 de octubre en sí. Pueden haberse obtenido unos 6,19 millones de registros, incluidos datos que no son información personal. Los datos son dirección de correo (66.003), apodo, sexo, grupo de edad, categoría de ocupación, ID de X (antes Twitter) (6.434), texto de presentación, URL de la imagen de icono, respuestas a la encuesta de primer inicio (4.809.631), ID del dispositivo, credenciales de inicio de sesión, código de transferencia de cuenta (5.120), identificador de notificaciones push, ID publicitario, dirección IP de origen y datos de uso como los resultados de operaciones. Nombre, dirección, teléfono, fecha de nacimiento, tarjeta de crédito, cuenta bancaria y Mi Número (número de identificación nacional de Japón) no son datos que los usuarios puedan registrar. La empresa dice que la causa fue una función de la API de la app; corrigió la función de la API y las credenciales de inicio de sesión, e invalidó todas las credenciales emitidas antes de la corrección. No se ha confirmado ningún daño secundario. Conclusión de este sitio: los usuarios de FX Navi no deben abrir enlaces ni archivos adjuntos en correos o mensajes de X que aleguen proceder de la empresa o de empresas relacionadas, y deben tratar cualquier oferta de inversión como falsa.
Filtración de datos de miembros de la tienda online y la app de Lindt Japón (3.147.469 registros): nombres, direcciones, teléfonos, fechas de nacimiento y contraseñas con hash expuestos, y qué deben hacer los miembros
El 23 de octubre de 2026, Lindt & Sprüngli Japón, la filial japonesa del fabricante suizo de chocolate, anunció que el sistema de la empresa externa que proporciona la plataforma de su tienda online y gestiona los datos de sus miembros había sido accedido sin autorización, y que 3.147.469 registros de miembros de su tienda online y de la app oficial de Lindt se habían filtrado. Según el informe del proveedor, una vulnerabilidad en un software utilizado en el servidor del proveedor fue explotada entre las 23:02 del 17 de octubre y las 0:16 del 18 de octubre (hora de Japón). Los datos filtrados son el ID de miembro, nombre, correo electrónico, dirección postal, teléfono, fecha de nacimiento, género, ajustes del boletín, tienda registrada, contraseña de acceso (almacenada con hash) y otros datos del miembro como la lectura del nombre, la fecha de registro y el último acceso. No se incluyeron datos de pago como tarjetas de crédito. A las 11:00 del 23 de octubre no se había confirmado ningún uso indebido. La tienda online está suspendida desde las 16:00 del 21 de octubre, y se pedirá a los miembros que cambien su contraseña cuando reabra. Los miembros afectados recibirán un correo a partir del 26 de octubre. Conclusión de este sitio: los miembros no deben seguir las instrucciones de correos, SMS, llamadas o cartas que digan proceder de Lindt, y deben cambiar ya la contraseña de cualquier otro servicio donde usaran la misma.
Filtración en la plataforma prepago Value Card (1,42 millones de registros, 1,13 millones de registros de MOS Card): números de tarjeta, PIN y saldos expuestos, y qué deben hacer los titulares
El 23 de octubre de 2026, PayCloud Holdings, empresa cotizada en el mercado de crecimiento de la Bolsa de Tokio, anunció que un tercero accedió sin autorización a los servidores de Value Card, un servicio interno de dinero electrónico (tarjeta prepago de tienda) que su filial Value Design Inc. proporciona a emisores de tarjetas, y que se expusieron 1.424.748 registros de números de identificación, PIN e información de saldo (569.224 IDs emitidos y 855.524 IDs no emitidos, es decir, IDs que aún no han sido adquiridos por un usuario). El acceso se confirmó el 19 de octubre y la causa fue que un tercero explotó una vulnerabilidad de un servidor web en parte del entorno de sistemas de la filial. No se vio involucrada información personal; se atendió el riesgo de uso indebido de los IDs emitidos y no hay daños reales por uso indebido. El mismo día, MOS Food Services, Inc., que gestiona la cadena MOS Burger y su tarjeta prepago MOS Card, anunció que el acceso no autorizado al sistema de Value Design, con el que tiene contratado el funcionamiento y mantenimiento de los servidores de MOS Card, expuso 1.133.070 registros de MOS Card (número de tarjeta de 16 dígitos, PIN de 6 dígitos y saldo; unas 570.000 tarjetas en circulación y unas 560.000 no puestas en circulación), y que restableció forzosamente los PIN vinculados a los números de tarjeta expuestos. No se incluyeron nombres, direcciones, números de teléfono ni datos de tarjetas de crédito. No se ha revelado qué tarjetas de otros emisores se vieron afectadas. Conclusión de este sitio: los titulares de MOS Card deben revisar su historial de uso por cargos que no reconozcan, contactar con la línea de ayuda específica si dejan de funcionar las consultas de saldo en línea y otras funciones similares, y no dar nunca su PIN ni el número de tarjeta a nadie que se lo pida.
Acceso no autorizado en los servicios en la nube de Digital Arts (i-FILTER@Cloud y otros cinco): algunos datos de clientes pudieron haber sido visualizados, y qué deben hacer los administradores
El 21 de octubre de 2026, Digital Arts Inc., fabricante japonés de productos de filtrado web y de correo electrónico y de seguridad de archivos, anunció mediante una divulgación oportuna y en su sitio web que había encontrado rastros de acceso no autorizado al entorno operativo de sus servicios en la nube y a su entorno interno. Según la empresa, un tercero obtuvo credenciales utilizadas para operar sus servicios en la nube y las usó para entrar en el entorno operativo del servicio. Como resultado, la información de algunos clientes de seis servicios en la nube (i-FILTER@Cloud, m-FILTER@Cloud (Modern Edition), m-FILTER MailAdviser for Microsoft 365, FINAL CODE@Cloud, z-FILTER y Desk) pudo haber sido visualizada por el tercero. Los rastros se encontraron el 9 de octubre en una revisión de toda la empresa que utilizó IA, y algunos se remontan a alrededor de julio de 2025. Hasta el mediodía del 21 de octubre no se había confirmado la salida de datos de clientes fuera de la empresa, y no se habían reportado usos indebidos ni daños secundarios. Los tipos de datos y el número de clientes que pudieron haber sido visualizados no se han publicado. La empresa pide a todos los clientes de los seis servicios que cambien las contraseñas de administrador y de usuario, y contactará individualmente a algunos clientes cuando se requiera más acción. Las versiones de software locales no están afectadas. En una sesión de preguntas y respuestas para inversores el 23 de octubre, la empresa dijo que la base de datos de su lista blanca no fue visible para el intruso ni alterada, y que ha notificado el incidente a la Comisión de Protección de Datos Personales de Japón. Conclusión de este sitio: los administradores de organizaciones que usan cualquiera de los seis servicios deberían cambiar esta semana las contraseñas de administrador y de usuario y comprobar si la empresa se ha puesto en contacto con ellos individualmente.
Filtración en las tiendas online de FANCL y Attenir (368.184 y 417.312 socios): nombres, direcciones, teléfonos y fechas de nacimiento expuestos, y qué deben hacer los socios
El 16 de octubre de 2026, FANCL Corporation y Attenir Corporation, dos empresas japonesas de cosméticos y productos de salud, anunciaron que un tercero había accedido sin autorización a sus tiendas online entre el 3 y el 10 de octubre, y que parte de los datos de sus socios se había filtrado. El acceso se detectó en una investigación interna el 15 de octubre, y las empresas identificaron y detuvieron la función que lo causó. Los datos filtrados abarcan 393.785 registros de 368.184 socios de FANCL y 441.162 registros de 417.312 socios de Attenir. Los elementos son la dirección de correo electrónico, el nombre, la dirección postal, el número de teléfono, la fecha de nacimiento, el sexo, el número de cliente, una dirección de correo electrónico secundaria y su contraseña (una contraseña secundaria con hash que algunos socios establecieron; no se incluye la contraseña principal), los elementos de preguntas de seguridad (sin respuestas) y otros datos de registro como puntos y nivel de socio. No se incluyen datos de pago como tarjetas de crédito. No se ha confirmado ningún uso indebido ni daño secundario. La FAQ de FANCL indica que a los clientes afectados se les contactó en su correo electrónico registrado durante el 17 de octubre. La conclusión de este sitio: los socios de cualquiera de las dos empresas deben asumir que su nombre, dirección, teléfono y fecha de nacimiento son conocidos, no deben seguir instrucciones de correos, mensajes, llamadas o cartas que digan proceder de las empresas, y deben comprobarlo a través del sitio oficial o de la línea de ayuda compartida.
La filtración de Trustbank en Furusato Choice (4.454.097 registros de socios): nombres, direcciones y contraseñas con hash expuestos — qué deben hacer los donantes
El 20 de octubre de 2026, Trustbank, Inc., que gestiona Furusato Choice, un sitio importante para el sistema japonés de donaciones de impuesto a la residencia local (furusato nozei), anunció que un tercero había obtenido acceso no autorizado a datos de socios y que los datos personales de los donantes se habían filtrado. Tras notar patrones de acceso inusuales el 19 de octubre, la empresa comprobó que el acceso no autorizado se había producido el 17 de octubre y cerró los servicios relacionados a las 15:50 del 19 de octubre. La filtración confirmada abarca 4.454.097 registros de socios: nombre, dirección de correo electrónico, dirección postal, número de teléfono, contraseña con hash e importe estimado de la deducción fiscal por donación. En un segundo informe del 23 de octubre, la empresa dijo que, en el caso de cinco de estos donantes, se habían filtrado otros datos, entre ellos el historial de puntos, el historial de donaciones, la fecha de nacimiento y la dirección de entrega. En el caso de dos de ellos, un tercero accedió a la pantalla Mi Página, que muestra los datos de tarjeta guardados (últimos cuatro dígitos, nombre del titular, fecha de vencimiento). La empresa afirma que los datos de la tarjeta se obtienen del procesador de pagos cada vez que se muestra esa pantalla, que no se almacenan en sus sistemas y que no pueden usarse por sí solos para realizar un pago con tarjeta. Desde el 21 de octubre se envía a los socios un correo electrónico individual para informarles de si sus datos se filtraron y qué datos fueron. En un tercer informe del 26 de octubre, la empresa dijo que ese día había empezado a reanudar de forma gradual el sistema de gestión de donaciones que usan los ayuntamientos y los proveedores de regalos de agradecimiento (sus preguntas frecuentes del mismo día dicen que desde el 25 de octubre). No se aceptan nuevas donaciones, y no se ha fijado una fecha de reanudación del sitio para donantes. Se han invalidado las contraseñas de todos los socios, y habrá que establecer una nueva contraseña tras la reanudación. La conclusión de este sitio: los socios deben cambiar la contraseña de cualquier otro servicio en el que usen la misma combinación de correo electrónico y contraseña, y no deben abrir enlaces en mensajes que digan proceder de Furusato Choice o de un ayuntamiento.
Filtración de datos de and ST HD (unos 2,5 millones de registros de clientes): qué pudo filtrarse y qué deben hacer los miembros
El 23 de octubre de 2026, and ST HD Co., Ltd. anunció que un acceso no autorizado de un tercero a sus servidores de negocio pudo filtrar parte de los datos de clientes, socios comerciales y empleados. Según la empresa, desde aproximadamente las 7:30 del 22 de octubre (hora de Japón) se realizaron, uno tras otro, intentos de inicio de sesión, intrusión y extracción de datos contra varios de sus servidores; la empresa detectó la actividad no autorizada hacia las 10:00, aisló los servidores y cortó la vía de acceso antes de las 17:00. Los datos que pudieron filtrarse abarcan unos 2,5 millones de registros de clientes (nombre, fecha de nacimiento, sexo, dirección, número de teléfono, correo electrónico e ID de socio) y unos 10.000 registros de socios comerciales (nombre de la empresa, direcciones de pedidos y devoluciones, nombre de la persona de contacto, teléfono y correo electrónico); el alcance para los empleados aún se está confirmando. Según la empresa, no se incluyen datos de pago como los de tarjetas de crédito ni las contraseñas fijadas por los propios clientes. Su tienda web and ST no se vio afectada por el acceso no autorizado, pero actualmente los puntos de socio no pueden usarse en tiendas ni en la tienda web. La empresa dice que está empezando a contactar de forma sucesiva a los clientes y socios comerciales afectados y que habilitará un servicio de consultas. Valoración de este sitio: como se indica que no se incluyen contraseñas, la prioridad hoy no es cambiar la contraseña, sino desconfiar de los mensajes que usen el nombre de la empresa o de sus marcas junto con su dirección o fecha de nacimiento reales. Compruebe la información en la app oficial o en un sitio web que usted mismo abra.
Posible exposición de variables de entorno en Railway (octubre de 2026, hasta el 1,85 % de los workspaces): qué secretos rotar y qué deben hacer los usuarios
El 21 de octubre de 2026 (UTC), Railway anunció que había detectado actividad anómala en los sistemas que almacenan las variables de entorno de los clientes, y que un tercero no autorizado pudo haber accedido a variables de entorno cifradas y, en el caso de algunas, haber obtenido su contenido descifrado. Según el informe preliminar fechado el 22 de octubre (disponible a las 16:38 UTC del 23 de octubre, según la página de estado), el ataque se extendió desde las 13:58 UTC del 20 de octubre hasta las 03:32 UTC del 22 de octubre. Comenzó con intentos de escalada de privilegios en la infraestructura de compilación; el 21 de octubre se usaron credenciales del entorno de CI y se descifró un subconjunto de variables de entorno cifradas. Como máximo el 1,85 % de todos los workspaces (unos 100 000 workspaces, según la empresa) tuvo algunas variables de entorno potencialmente comprometidas. La empresa afirma que no se accedió a ninguna cuenta de usuario de Railway y no ha descartado el acceso al código fuente hasta su informe final. Al parecer, el atacante buscaba claves de API de proveedores de IA. Railway recomienda que todos los usuarios roten los secretos almacenados antes del 21 de octubre, eliminen el acceso de red público a las bases de datos y revisen los registros de auditoría de GitHub y de registros de contenedores (como Docker Hub). Conclusión de este sitio: aunque no le hayan contactado, trate como expuestos los secretos almacenados en Railway, vuelva a emitirlos en su origen y vuelva a desplegar antes de revocar los valores antiguos.
Filtración de datos de Treasure Factory (Trefac) (746.277 registros de correo): qué deben hacer los clientes de compra a domicilio y de Trefac Moving
El 23 de octubre de 2026, Treasure Factory Co., Ltd., una minorista japonesa de artículos de segunda mano, anunció que un tercero había accedido sin autorización al sistema de gestión de casos que usa para recibir y tramitar las solicitudes de su servicio de compra a domicilio (shutchō kaitori) y de su servicio Trefac Moving, y que se había llevado parte de los datos de clientes y otros datos almacenados allí. Según la divulgación oportuna de la empresa, los datos confirmados son 746.277 registros de clientes (direcciones de correo electrónico; 11 de ellos incluyen también nombre y dirección), 750 registros de nombres y correos electrónicos de socios comerciales, empleados y otras personas, y 1.000 registros de nombres e identificadores de dispositivos usados por socios comerciales, empleados y otras personas. No se incluyeron números de tarjeta de crédito ni otra información de pago, y los datos de clientes que se conservan en las tiendas y en la app de la empresa se gestionan en sistemas distintos y no se vieron afectados. La empresa confirmó el acceso mediante una revisión de los registros de acceso el 20 de octubre y ese mismo día cortó el acceso externo y los formularios de solicitud. Cree que se aprovechó una vulnerabilidad relacionada con el acceso a la base de datos, y afirma que el incidente no tiene relación con una vulnerabilidad de PHP divulgada recientemente. No se ha confirmado ningún daño secundario. Está previsto reiniciar el sistema y los formularios de solicitud alrededor del 28 de octubre. Conclusión de este sitio: si alguna vez solicitó la compra a domicilio o Trefac Moving, suponga que su dirección de correo electrónico es conocida, no abra enlaces de correos que digan ser de Trefac y compruebe la información en el sitio oficial.
Filtración de datos de miembros de Comic Cmoa (hasta unos 4,2 millones de registros en archivos de registro): direcciones de correo y fechas de nacimiento expuestas — qué deben hacer los usuarios
NTT Solmare Corporation, que opera la tienda japonesa de libros electrónicos Comic Cmoa (コミックシーモア), publicó cuatro comunicados sobre un acceso no autorizado al servicio, desde un primer aviso el 15 de octubre de 2026 hasta un cuarto informe el 21 de octubre. Según la empresa, el 15 de octubre consideró que muy probablemente se había producido un acceso no autorizado desde el exterior a sus servidores y suspendió el servicio a las 11:35. En su segundo informe, del 16 de octubre, dijo haber confirmado que los datos de miembros del sistema que gestiona la información de los miembros se habían filtrado a un tercero (el número todavía se estaba examinando). En su tercer informe, del 18 de octubre, dijo haber identificado la vía de intrusión y el método de ataque y que los estaba atendiendo, y que algunos archivos de registro del sistema también habían sido vistos y sustraídos. En su cuarto informe, del 21 de octubre, describió los datos confirmados como filtrados como 319 registros de datos de registro en la base de datos de miembros (correo electrónico, contraseña cifrada, apodo, fecha de nacimiento, sexo) y hasta unos 4,2 millones de registros en archivos de registro del sistema (correo electrónico, apodo, fecha de nacimiento, sexo; sin contraseñas; posiblemente con duplicados de una misma persona). Afirma que los datos de tarjetas de crédito no se conservan en los sistemas afectados y no se filtraron, y que no se ha confirmado ninguna filtración del historial de compras ni ninguna filtración, pérdida o daño de MY Bookshelf (las bibliotecas de los usuarios). Dice que la identificación y el bloqueo de la vía de intrusión y del método de ataque están completados, pero no ha revelado cuáles fueron. Las personas afectadas serán contactadas por correo electrónico. El servicio sigue suspendido y se reanudará por fases, empezando por la lectura web de títulos comprados; se pedirá a todos los usuarios que restablezcan su contraseña al reanudarse. Nota de este sitio: quien use la misma dirección de correo y contraseña que en Comic Cmoa en otro servicio debería cambiar esa contraseña hoy, no debería abrir enlaces de correos que se hagan pasar por la empresa y debería consultar la página de comunicados de prensa de NTT Solmare abriéndola por sí mismo.
Acceso no autorizado a Onamae.com Desktop Cloud (GMO Internet) (26.739 servidores posiblemente afectados): datos de clientes extraídos, compensación y qué deben hacer hoy los operadores de divisas y valores
El 21 de octubre de 2026, GMO Internet, Inc. anunció un acceso no autorizado de terceros a Onamae.com Desktop Cloud, un servicio de servidor privado virtual (VPS) para operaciones automáticas de divisas, y afirmó que se había colocado un programa malicioso en los entornos de servidor de algunos clientes. Podrían verse afectados 26.739 servidores; la empresa indica que este es el número de servidores que podrían verse afectados, no el número en el que se haya confirmado un acceso no autorizado o una obtención de datos. Desde las 04:00 del 21 de octubre detuvo, uno tras otro, los servidores de todos los planes. En su cuarto aviso del 24 de octubre, la empresa afirmó que existía un problema de seguridad en el sistema del servicio, que había confirmado un acceso no autorizado al entorno del servicio y que la información de clientes había sido extraída. También indicó que algunos clientes habían reportado operaciones en sus cuentas de trading que no realizaron. No se ha revelado qué información fue extraída ni para cuántos clientes, la ruta de intrusión, ni el número de cuentas afectadas y los importes. La empresa pagará un importe fijo de 5.000 yenes a cada usuario actual del servicio y compensará las pérdidas realizadas derivadas de operaciones que considere causadas por este acceso no autorizado (descontando cualquier reembolso de la bolsa o del bróker). No reiniciará la plataforma actual tal como está y ofrecerá un cambio a un servicio alternativo en una plataforma cloud distinta, gratuito durante seis meses tras el cambio. Según la empresa, alguien que considera que es el atacante ha exigido dinero y amenazado con publicar información y tomar otras medidas si se niega; la empresa afirma que no pagará y que ha entregado pruebas a la policía. Su quinto aviso del 24 de octubre vuelve a pedir a los clientes que analicen completamente y hagan copias de seguridad de sus propios dispositivos, que cambien las contraseñas desde un dispositivo que no use para operar en divisas, que cierren todas las sesiones iniciadas aunque ya hayan cambiado la contraseña y que configuren la autenticación de dos factores. En su séptimo aviso del 26 de octubre, la empresa indicó que alguien que se cree que es el atacante había anunciado que publicaría información de los clientes y lanzaría un ataque de ransomware a las 12:00 del 27 de octubre. En su octavo aviso del 27 de octubre, pidió a los clientes que hicieran una copia de seguridad de sus datos y que después, antes de las 12:00, se desconectaran de la red, apagaran el PC y desenchufaran todos los cables conectados a él. En su noveno aviso (a las 11:59), afirmó que no se había encontrado malware (incluido ransomware) en los dispositivos de clientes cuyo análisis había terminado, pero que esto no confirmaba que todos los dispositivos fueran seguros, y que a los clientes afectados por ransomware que contacten con su servicio de soporte se les entregará un PC nuevo de rendimiento equivalente después de comprobar los daños. En su décimo aviso del 27 de octubre (a las 13:55), la empresa indicó que a las 12:30 había confirmado que alguien que se cree que es el atacante había publicado lo que presenta como información sobre la empresa y sus clientes (la empresa aún está comprobando el contenido y afirma que podría incluir información falsa). Indicó que, a las 13:55, no se había confirmado ningún ataque de ransomware. Pide que no se visite ni se comparta el sitio donde se habría publicado la información, ya que, según afirma, el atacante obtiene la información de cualquiera que lo visite. En su duodécimo aviso (a las 19:10), la empresa indicó que pagará un pago especial de 10.000 a 25.000 yenes por categoría de información (con un máximo de 3 millones de yenes por publicación) a los clientes cuya información confirme que estaba incluida en lo publicado por el atacante, y creó una recompensa con un máximo total de 1 millón de dólares estadounidenses por información que ayude a identificar a los autores (se aceptan desde las 12:00 del 28 de octubre). En su decimotercer aviso del 28 de octubre (a las 11:00), la empresa indicó que había confirmado que el dominio del sitio de alguien que se cree que es el atacante (incluidos los sitios espejo) quedó suspendido hacia las 04:00 de ese día, y que actuará para retirar cualquier sitio similar que aparezca. En su decimocuarto aviso del mismo día (a las 18:20), la empresa indicó que el sitio de la recompensa, abierto a las 12:00 de ese día, había recibido 113 informaciones en sus primeras seis horas aproximadamente (a las 18:00), que había enviado 20 advertencias en total sobre publicaciones en X que difundían la URL o el contenido del sitio de alguien que se cree que es el atacante (a las 18:00), y que su análisis de dispositivos no ha encontrado hasta ahora rastros de infección por malware ni de ataque de ransomware. Agradeció a los clientes que apagaron los dispositivos y les pidió que, si reutilizan un PC, realicen antes un análisis de seguridad y una copia de seguridad. En su decimoquinto aviso (a las 12:40 del 29 de octubre), la empresa dijo que su equipo de hackers de sombrero blanco del grupo había realizado una investigación propia y obtenido información que cree que puede llevar a identificar a los autores, que planeaba entregar ese día a la policía y a otras partes pertinentes, e informó de 270 informaciones al sitio de la recompensa a las 11:30. En su decimosexto aviso (a las 20:50 del 29 de octubre), informó de que las informaciones habían subido de 113 (a las 18:00 del 28 de octubre) a 321 (a las 18:00 del 29 de octubre), facilitó un formulario de denuncia (indicado en los avisos decimoquinto y decimosexto) para nuevos sitios del bando atacante y sitios donde se publica información personal sin autorización, y pidió de nuevo que nadie identifique ni contacte a los autores, publique información sin verificar o comparta URL sospechosas. También afirma que emprenderá acciones legales, incluidas denuncias penales, contra el ataque y la extorsión. La divulgación del 28 de octubre indica que, según su matriz GMO Internet Group, el grupo sigue comprobando los servicios de sus empresas y que, por ahora, no se ha confirmado ningún impacto de este incidente en servicios distintos de este. Se informa de que algunos clientes han recibido correos de alguien que se cree que es el atacante, con parte de su historial de navegación adjunto como prueba de que tienen los datos. El CEO del grupo de la empresa escribió en una entrada de blog que el atacante ha amenazado con publicar información de los PC de los clientes y con atacarlos con ransomware, pero la empresa no ha dicho que el PC de ningún cliente se haya visto realmente comprometido. Su sexto aviso del 26 de octubre pide a los clientes, entre otras medidas, que analicen completamente los dispositivos que usaron para conectarse y que mantengan desactivada la sincronización del navegador hasta terminar su comprobación. Opinión de este sitio: desde un dispositivo que no use para operar en divisas, cambie las contraseñas de su bróker, cierre todas las sesiones y revise su historial de operaciones y su saldo. Use solo el sitio oficial de la empresa y los avisos enviados a su correo electrónico registrado para la compensación, y nunca dé a nadie una contraseña que permita operar.
Recruit: fuga o acceso no autorizado en Carsensor.net y C-MATCH (hasta 3.709.551 registros): nombres y direcciones de personas que contactaron a concesionarios podrían estar expuestos — qué deben hacer usuarios y concesionarios
El 21 de octubre de 2026, Recruit Co., Ltd. anunció que la información de usuarios y socios comerciales de Carsensor.net, su sitio de anuncios de coches usados (incluida la aplicación), y de C-MATCH, su servicio de apoyo empresarial para concesionarios de coches usados, podría haberse filtrado hacia el exterior como resultado de un acceso no autorizado. Según la empresa, detectó un acceso sospechoso desde el exterior a sistemas relacionados con Carsensor.net el 17 de octubre y suspendió todos los servicios relacionados desde aproximadamente las 17:00 de ese día. El 20 de octubre identificó los datos y el número (máximo) de registros personales que podrían haberse filtrado. La cifra es de hasta 3.709.551 registros: 3.210.421 de personas que contactaron a concesionarios a través del sitio (sobre todo nombre y dirección; las direcciones se limitan en principio a la ciudad o municipio), 5.289 de personas que publicaron reseñas, 483.168 de concesionarios registrados en C-MATCH (nombres y teléfonos del personal, números de licencia de comerciante de segunda mano, IDs de acceso, etc.; en el caso de autónomos, también información de cuentas bancarias para domiciliaciones) y 10.673 de empleados de la empresa y personal de contratistas y agentes de ventas. Ninguno incluye datos de pago como tarjetas de crédito, ni contraseñas de acceso. La causa es un acceso no autorizado por un tercero, cuyos detalles están bajo investigación. La empresa ha presentado un informe preliminar ante la Comisión de Protección de Información Personal de Japón y contactará individualmente a las personas afectadas de forma progresiva. Hasta el 21 de octubre no se había confirmado ningún daño secundario. Los servicios se están restableciendo por fases desde aproximadamente las 13:00 del 22 de octubre, empezando por los que se han confirmado seguros. La opinión de este sitio: quien haya contactado a un concesionario a través de Carsensor debe asumir que cartas, correos electrónicos y llamadas pueden proceder de alguien que conoce su nombre y dirección, no debe abrir enlaces ni archivos adjuntos en contactos inesperados, y debe consultar la página de avisos de Recruit.
LiteLLM 1.107.0 distribuyó un ladrón de credenciales (octubre de 2026): versión afectada en PyPI e imágenes de Docker, y qué deben hacer los usuarios
El 21 de octubre de 2026 (UTC), BerriAI, la empresa detrás de LiteLLM, anunció que su canal de publicación de versiones había sido comprometido y que se había publicado una v1.107.0 con malware que roba credenciales y carga herramientas de ejecución remota de código. Los afectados fueron litellm==1.107.0 en PyPI (de 11:39 a 13:23 UTC) y las etiquetas v1.107.0, latest, main-latest y main-stable en Docker Hub (de 11:46 a 14:20 UTC) y en GHCR (desde las 11:46 UTC hasta que se retiraron, a más tardar a las 13:51 UTC, unas dos horas). La etiqueta oficial v1.107.0 del código fuente en GitHub no contiene los archivos maliciosos; los artefactos se compilaron desde un repositorio imitación controlado por el atacante. Todas las versiones anteriores quedan fuera de esta vulneración, y la empresa pide a los usuarios fijar 1.106.2 u otra versión anterior explícita. El 24 de octubre (UTC) la empresa publicó 1.103.8, 1.104.6, 1.105.4 y 1.106.3, y desde estas versiones las imágenes de Docker y los charts de Helm se firman con una nueva clave de cosign (la clave anterior ya no las verifica). El 23 de octubre la empresa publicó un análisis de causa raíz y corrigió su primera hipótesis de que los tokens se habían obtenido de los registros de un despliegue interno de LiteLLM. Según el análisis, un archivo de configuración subido por error a un repositorio público el 27 de mayo contenía la clave maestra de una plataforma interna de agentes; la confirmación se sobrescribió, pero la clave nunca se revocó. El 10 de octubre el atacante usó esa clave para llamar a la API de la plataforma y obtuvo el token de GitHub CLI de un propietario de la organización de GitHub configurado allí. Con él, el atacante extrajo secretos de CI para obtener los tokens de otros dos mantenedores, y el 21 de octubre desactivó la protección de ramas, modificó el flujo de trabajo de publicación y aprobó la versión. Conclusión de este sitio: reconstruya todo entorno que haya instalado o iniciado 1.107.0 durante el periodo y rote todas las claves a las que pudo acceder, incluidas las claves de proveedores de LLM, la clave maestra del proxy, la contraseña de la base de datos y los roles en la nube.
Filtración de datos de H2O ID (unos 1,26 millones de registros) a través del sitio de reservas de los grandes almacenes Hankyu y Hanshin: direcciones, números de teléfono y fechas de nacimiento filtrados — qué deben hacer los miembros
El 19 de octubre de 2026, H2O Retailing Corporation y Hankyu Hanshin Department Stores, Inc. anunciaron conjuntamente que un tercero había accedido sin autorización al sitio de reservas de los grandes almacenes Hankyu y Hanshin, HANKYU HANSHIN E-STORES y Remo Order, todos gestionados por Hankyu Hanshin Department Stores, y que parte de los datos personales de los clientes se había filtrado. El 16 de octubre las empresas confirmaron un acceso no autorizado al sistema de gestión de clientes a través del sitio de reservas y detuvieron todo el sistema de ese sitio; el 17 de octubre confirmaron también accesos no autorizados en E-STORES y Remo Order y detuvieron ambos. El 19 de octubre se estableció que parte de los datos personales de unos 1,26 millones de H2O ID gestionados en el sistema de gestión de clientes se había filtrado. El comunicado indica que se filtró parte de los datos personales de casi todos los miembros de H2O ID. Los datos afectados son el H2O ID, nombre (en kanji y katakana), sexo, dirección de correo electrónico, código postal, dirección, número de teléfono móvil, número de teléfono, edad, fecha de nacimiento y los servicios utilizados con el H2O ID. En el caso de E-STORES y Remo Order, sigue en investigación si hubo filtración de datos; las empresas indican que esos servicios conservan el historial de pedidos, parte de la información de tarjetas de crédito (tipo de tarjeta, últimos cuatro dígitos, nombre del titular, fecha de caducidad), parte de la información de tarjetas de puntos y la información de la libreta de direcciones. No se conservan los números completos de tarjeta ni los códigos de seguridad. No se ha confirmado filtración de contraseñas de acceso ni uso indebido o daño secundario. La causa está en investigación. E-STORES reabrió a las 14:00 del 19 de octubre. La nota de este sitio: espere mensajes convincentes que conozcan su nombre, dirección, número de teléfono, fecha de nacimiento y los servicios que usa; no abra sus enlaces y compruebe en el sitio oficial que abra usted mismo o a través de los contactos del comunicado.
Incidente de acceso no autorizado al sistema de solicitudes de línea de NIFTY (hasta 542.513 registros): IDs de socio, nombres, direcciones y números de teléfono podrían estar expuestos — Qué deben hacer los clientes de fibra
El 19 de octubre de 2026, NIFTY Corporation, un proveedor de servicios de internet japonés, anunció (primer informe) que había confirmado un acceso no autorizado desde el exterior a su sistema de gestión de solicitudes y aceptación de líneas. Según la empresa, confirmó el acceso no autorizado alrededor de las 10:20 del 19 de octubre y bloqueó de inmediato el acceso desde el origen. El sistema es una herramienta interna de gestión que la empresa utiliza para registrar información; está separado del sitio web (formularios de solicitud, etc.) que los clientes usan para solicitar directamente. Podrían verse afectados hasta 542.513 registros. Abarcan a los clientes que solicitaron una línea desde 2019 (excluido el sitio web de la empresa), para los servicios @nifty Hikari, @nifty MAX Hikari y @nifty au Hikari Plus. Los datos son el ID de socio, nombre, sexo, fecha de nacimiento, dirección, número de teléfono y dirección de correo electrónico; esta es la lista completa de datos que podrían haberse filtrado, y lo que realmente se filtró está bajo investigación. El sistema no contiene datos de cuentas bancarias ni de tarjetas de crédito, que no están incluidos. El aviso no menciona contraseñas. La causa no se ha revelado; la empresa está investigando con especialistas externos y está en proceso de informar a la Comisión de Protección de Información Personal de Japón. Según la opinión de este sitio: quien haya solicitado uno de estos servicios desde 2019 debe asumir que los contactos podrían provenir de alguien que conoce su nombre, dirección, número de teléfono y fecha de nacimiento, y no debe seguir enlaces ni instrucciones de correos, mensajes de texto o llamadas que digan ser de NIFTY. Verifique a través de un contacto oficial que busque usted mismo.
Rank Math PRO 3.0.123 con malware (octubre de 2026): quién está afectado y qué deben hacer los propietarios de sitios WordPress
El 16 de octubre de 2026 (UTC), Rank Math anunció que Rank Math PRO v3.0.123, la versión de pago de su plugin para WordPress, contenía malware para un número limitado de usuarios que lo descargaron entre las 20:02 UTC del 15 de octubre y las 07:12 UTC del 16 de octubre. El malware podía comprometer un sitio si el plugin se activaba, y podía recrear su puerta trasera oculta cada vez que se visitara el sitio. La empresa eliminó los archivos afectados y publicó una v3.0.124 limpia. La versión gratuita distribuida en WordPress.org no está afectada. No se ha revelado ni el número de usuarios afectados ni cómo llegó el malware a los archivos. Al 20 de octubre, la última modificación del aviso fue el 19 de octubre, cuando se añadió una nota indicando que la versión gratuita no está afectada. Conclusión de este sitio: considere comprometido cualquier sitio que haya activado una copia de la 3.0.123 obtenida durante el periodo afectado, y restaure desde una copia de seguridad anterior a ese periodo o elimine la carpeta completa del plugin y limpie siguiendo el orden que indica la empresa. En cualquier caso, cambie todas las credenciales que el sitio pudiera leer.
Filtración en la app de Burger King Japón (unos 11,18 millones de registros): nombres, fechas de nacimiento y números de teléfono expuestos — Qué deben hacer los miembros
El 15 de octubre de 2026, BK Japan Co., Ltd., que opera Burger King en Japón, anunció que un tercero había accedido sin autorización a la app oficial de Burger King que gestiona y que había confirmado la filtración de información de los miembros de la app. El acceso se produjo del 2 al 7 de octubre de 2026, y la filtración se estableció el 13 de octubre. Se ven afectados unos 11,18 millones de registros de miembros de la app. Los datos son el ID de miembro, la dirección de correo electrónico, el tipo de registro, la prefectura, el género, la fecha de nacimiento, el nombre (en kanji y katakana), el número de teléfono, si el miembro tiene historial de pedidos móviles y si la dirección de correo electrónico está verificada. La empresa afirma que no conserva números de tarjetas de crédito, por lo que no se filtraron, y que hasta ahora no se ha confirmado ninguna filtración de información de contraseñas de inicio de sesión. La causa detallada está bajo investigación con una organización especialista externa, y en el momento del aviso no se había confirmado ningún daño secundario, como un uso fraudulento. No hubo seguimiento hasta el 17 de octubre. La opinión de este sitio: es probable que reciba mensajes convincentes que conozcan su nombre, fecha de nacimiento y número de teléfono; no abra sus enlaces y compruebe en la app oficial que usted abra. Si usa su fecha de nacimiento como PIN o contraseña, cámbiela.
Acceso no autorizado a algunos servidores web de ConoHa WING (GMO Internet) (426 cuentas): datos en las áreas de servidor web de los clientes afectados y qué deben hacer hoy los propietarios de sitios
El 20 de septiembre de 2026, GMO Internet, Inc. anunció que, en algunos servidores de alojamiento (servidores web) de su servicio de alojamiento de pago ConoHa WING, un tercero obtuvo acceso no autorizado a las áreas de servidor web de algunos clientes e instaló un programa malicioso. Están afectadas 426 cuentas, y los datos concernidos son «datos almacenados en las áreas de servidor web de los clientes». El acceso y la instalación comenzaron el 3 de septiembre; la empresa lo detectó el 16 de septiembre y, el 18 de septiembre, identificó la causa y el alcance y eliminó los programas. Afirma haber identificado la causa, pero no la ha revelado. Según la empresa, los datos de miembros, contratos y pagos se gestionan en un entorno separado y no se filtraron. El aviso no indica si se extrajeron datos de las áreas de servidor web. Los clientes afectados fueron contactados individualmente en la dirección de correo electrónico registrada; los clientes que no fueron contactados no están afectados. No había un aviso de seguimiento a 15 de octubre. La opinión de este sitio: primero compruebe si recibió un correo individual y, en ese caso, siga sus instrucciones. Después, considere que las credenciales guardadas en su área de servidor web (la contraseña de la base de datos en wp-config.php, las claves de API en .env, etc.) pueden haber sido leídas y cámbielas, y busque archivos, administradores y tareas programadas añadidos desde el 3 de septiembre.
Filtración de SpeeCAN RAIDEN (2026): usuarios de alertas de desastre por correo y riesgo de estafas
El 13 de octubre de 2026, Arcadia Inc. anunció que un tercero accedió sin autorización a SpeeCAN RAIDEN, su servicio de notificación masiva por correo y otros mensajes, y que pudieron filtrarse los nombres de contacto, las direcciones de correo, los números de teléfono y fax, la información de personal y de contratos, y el texto de los mensajes enviados guardado como historial. Las cifras máximas son unas 3.136.000 direcciones de correo, unos 105.000 números de teléfono y unos 15.000 números de fax (todas son estimaciones y siguen bajo investigación). Arcadia detectó actividad sospechosa a las 16:30 del 11 de octubre, aplicó un bloqueo provisional hacia las 3:00 del 12 de octubre y, a las 11:00 del 13 de octubre, cerró los servicios que habían sido la vía de intrusión (raiden3 y s2, de Raiden School). El 14 de octubre añadió NET119 y 119RAIDEN a la posible filtración y, en su undécima actualización del 16 de octubre, dio cifras por servicio: para NET119, datos personales como nombres, fechas de nacimiento y direcciones vinculados a 9.020 direcciones de correo (confirmó que no se filtraron datos personales sensibles); para 119RAIDEN, unas 97.000 direcciones de correo y otros datos. Los servicios suspendidos se restablecieron hacia las 15:00 del 15 de octubre. No maneja datos de pago. Los municipios han publicado sus propios avisos; la ciudad de Shizuoka afirma haber establecido que se filtraron las direcciones de correo de 34.336 residentes registrados y otros datos, y ha visto correos falsos que se hacían pasar por una empresa de tarjetas y se enviaron desde el mismo dominio que las alertas reales, @raiden.ktaiwork.jp. En su 17.ª actualización del 21 de octubre, Arcadia indicó que un programa malicioso envió 1.423.428 correos de phishing desde su sistema entre la 1:17 y las 7:16 del 13 de octubre, que al menos 869.575 de ellos fueron a direcciones que la empresa no tiene, y que un organismo externo realizará una investigación en la dark web. También ha escrito a clientes y distribuidores sobre la presentación, en su nombre, de los informes a la Comisión de Protección de la Información Personal y al Ministerio de Asuntos Internos y Comunicaciones. En su 20.ª actualización del 22 de octubre comunicó a los clientes que deben usar la autenticación en dos pasos al iniciar sesión, para evitar que se repita, y en su 22.ª actualización del 23 de octubre pidió lo mismo a los clientes de Raiden School. En el informe publicado con su 21.ª actualización del 23 de octubre dice que se obtuvo un archivo de configuración mediante una vulnerabilidad del servidor de medios que publica los archivos adjuntos, lo que filtró una clave secreta usada para los inicios de sesión entre servicios, entre otras causas; que todos los servicios están dentro del alcance de la posible filtración; y que el recuento sigue bajo investigación (9.020 de ellos corresponden a NET119). Ha pedido una investigación detallada a un organismo de seguridad externo. En su 25.ª actualización (17:00 del 2 de noviembre) dijo que, aparte del envío del 13 de octubre, también se enviaron externamente desde su sistema presuntos correos de phishing los días 22 y 23 de octubre. Da dos causas: la cuenta de la API de envío de correo filtrada durante la intrusión del 11 al 13 de octubre cuya contraseña se rompió por fuerza bruta y se usó desde fuera, y, tras detenerse la integración con la API, el uso de una vulnerabilidad de confusión en el análisis de URL para abusar de nuevo de la API. Dice que detuvo la integración con la API hacia las 6:30 del 22 de octubre y corrigió la vulnerabilidad hacia las 10:30 del 23 de octubre, y que los correos no autorizados cesaron. En la 26.ª actualización, a las 16:15 del 6 de noviembre, dijo que está reanudando la función de integración por API con sistemas externos que se detuvo en la 19.ª actualización; los clientes deben cambiar ajustes para volver a usarla y se está contactando individualmente a los afectados. Conclusión: el remitente no permite distinguir lo real de lo falso, así que no bloquee al remitente de las alertas de desastre y no abra enlaces en correos que le pidan confirmar datos de tarjeta o personales.
Cómo saber si han hackeado tu sitio web o tu servidor: comprobaciones paso a paso para hosting compartido, WordPress y un VPS, y qué hacer primero si encuentras algo
Revisar un sitio en busca de intrusiones significa mirar tanto las señales visibles desde fuera como los rastros que quedan dentro. Señales: el informe de problemas de seguridad de Search Console, una etiqueta 'This site may be hacked' en los resultados de búsqueda, un aviso de tu hosting, administradores desconocidos, redirecciones que solo ocurren en el móvil o al llegar desde el buscador. Rastros: usuarios administradores, archivos del núcleo modificados (wp core verify-checksums), historial de inicios de sesión, authorized_keys, cron, puertos a la escucha, archivos cambiados recientemente. La opinión de este sitio: no encontrar nada no demuestra que estés limpio. Si encuentras algo, conserva las pruebas antes de limpiar, cambia todas las credenciales desde un dispositivo limpio, restaura una copia anterior a la intrusión o reconstruye, cierra la vía de entrada y solo entonces solicita una revisión.
Filtración en un proveedor de Daiwa Securities (unos 110.000 clientes, 220.000 registros): qué pudo filtrarse y qué deben hacer los clientes
El 5 de octubre de 2026, Daiwa Securities Co. Ltd., una de las mayores casas de bolsa de Japón, anunció que se había accedido sin autorización al servidor de un proveedor cuyo servicio utiliza para gestionar las consultas en línea de los clientes. Nombres, direcciones de correo electrónico, números de cuenta y otra información de 110.000 clientes, contenida en registros de consultas, pudo haberse filtrado; incluyendo consultas que no identifican a nadie, están implicados unos 220.000 registros. El acceso se produjo entre aproximadamente las 20:33 del 2 de octubre y las 8:01 del 3 de octubre, y no se encontró acceso no autorizado a los sistemas propios de Daiwa. La empresa afirma que estos datos no pueden usarse para acceder a cuentas u operar, incluida la negociación en línea, y que hasta el 5 de octubre no se habían detectado operaciones fraudulentas ni la publicación o difusión de los datos. El 6 de octubre, el proveedor publicó su propio aviso: los datos de consultas almacenados en los entornos de hasta cinco empresas clientes en el mismo servidor, de hasta 713.126 registros contados por consulta, pudieron haber sido sustraídos. Citando al mismo proveedor, Citizen Watch (unas 100.000 personas), Sompo Japan (unos 60.000 registros contados por consulta) y ORIX Life Insurance (unos 26.500 registros) también han anunciado que sus datos de clientes pudieron haberse filtrado. La nota de este sitio: espere mensajes falsos que conozcan su número de cuenta y sus consultas anteriores. Nunca inicie sesión desde enlaces en correos o SMS; entre desde un marcador o la aplicación oficial y revise allí su buzón de mensajes y su historial de operaciones.
Uso indebido del registro CPR de Dinamarca (unos 8,8 millones de personas): qué se obtuvo y qué deben hacer los residentes y las organizaciones que conceden acceso de consulta
El 5 de octubre de 2026, el Ministerio de Investigación, Educación y Digitalización de Dinamarca anunció que personas no autorizadas habían utilizado indebidamente el acceso legítimo de una empresa privada danesa para consultar datos del registro civil (CPR) y obtener nombres, direcciones, números CPR y otros datos de unos 8,8 millones de personas registradas, incluidas personas vivas, emigradas y fallecidas. El CPR incluye a unos 11 millones de personas. La administración del CPR detectó en la noche del 2 de octubre actividad irregular durante septiembre y suspendió el acceso de la empresa. No se incluyeron los nombres ni las direcciones de las personas con protección de nombre y dirección. Según medios daneses, el 9 de octubre la administración del CPR recordó a las 1.039 empresas con acceso de consulta sus normas de seguridad, y la ministra reconoció que la seguridad no había sido suficiente. Los medios también informan de que la contraseña 123456 se usó en cuentas de consulta; esto no ha sido confirmado oficialmente. Opinión de este sitio: quien conoce su nombre, su dirección y su número CPR puede seguir siendo un estafador. Los residentes nunca deben compartir datos de MitID ni códigos de un solo uso, y las empresas deben dejar de tratar estos tres datos como prueba de identidad.
Filtración en el sitio de encuestas infoQ (894.082 registros): qué se filtró y qué deben hacer los miembros
El 5 de octubre de 2026, GMO Research & AI, Inc. anunció que un tercero había accedido sin autorización a su sitio de encuestas infoQ y que se habían sustraído datos personales de los miembros. En su segundo informe, del 14 de octubre, confirmó que el número de registros sustraídos era 894.082 (el primer informe hablaba de hasta 948.498). Los datos son nombre, lectura del nombre (furigana), sexo, fecha de nacimiento, correo electrónico, domicilio, número de teléfono, contraseña cifrada, ID de miembro y otros datos de registro como el apodo y el saldo de puntos. La empresa afirma que no conserva datos de tarjetas de crédito ni My Number (el número de identificación nacional de Japón). Además, 611 intercambios de puntos por un valor de 2.869.500 yenes se convirtieron en códigos de regalo de Amazon sin el consentimiento de los miembros, y la empresa dice que los compensará en su totalidad (se abonará en las cuentas cuando se reanude el servicio). La empresa invalidó las contraseñas de todos los miembros el 7 de octubre. Según la empresa, el intruso aprovechó una vulnerabilidad del software utilizado en su sitio. Nuestra valoración: con fechas de nacimiento y domicilios incluidos, es fácil fabricar mensajes falsos convincentes. Cambie la contraseña de cualquier servicio que comparta con infoQ, active la verificación en dos pasos en su cuenta de correo y no abra enlaces en mensajes que digan ser de infoQ.
Aplicación y tienda online de MrMax: filtración de hasta unos 1,74 millones de personas, con nombres, correos y teléfonos expuestos: qué deben hacer los miembros
El 6 de octubre de 2026, MrMax Co., Ltd., una cadena japonesa de tiendas de descuento, anunció que un tercero había accedido sin autorización a los servidores de la aplicación y la tienda online de MrMax que opera, y que parte de los datos personales de sus miembros se había filtrado. Están afectadas hasta 1.735.154 personas registradas como miembros al 3 de octubre de 2026. Los datos son el ID de miembro, el nombre, la dirección de correo electrónico y el número de teléfono (que varían según lo que cada miembro registró). La empresa afirma haber confirmado que no se filtraron las direcciones, las fechas de nacimiento, los datos de tarjetas de crédito, las contraseñas ni el historial de compras. Detectó accesos sospechosos la noche del 3 de octubre, suspendió el servicio de inmediato y bloqueó los accesos externos ese mismo día. La empresa dice que un tercero utilizó indebidamente una función del software que compone el servicio para entrar en el servidor. En el momento del aviso no se había confirmado ningún daño derivado del uso indebido de los datos. Opinión de este sitio: es probable que reciba correos, mensajes y llamadas convincentes que usen su nombre. No abra sus enlaces, consulte en la aplicación o sitio oficial que abra usted mismo y nunca dé contraseñas ni números de tarjeta.
Ataque de ransomware a la Universidad Metropolitana de Osaka (fuga de datos personales confirmada desde el almacenamiento en la nube de un contratista): qué deben hacer estudiantes, egresados, padres y personal
La Universidad Metropolitana de Osaka, en Japón, afirma que una falla a gran escala afectó a su plataforma de virtualización en la madrugada del 2 de octubre de 2026, lo que dejó fuera de servicio la red del campus, OMU Mail, sus sitios web y sus sistemas académicos, financieros, de nóminas y de biblioteca. En una rueda de prensa el 5 de octubre, la universidad dijo haber concluido que la causa fue un ataque de ransomware. Las clases se suspendieron del 2 al 8 de octubre y, en su cuarto aviso del 8 de octubre, la universidad anunció que las clases presenciales se reanudarían en todos los campus el 9 de octubre. En su quinto aviso del 21 de octubre, la universidad indicó que el contratista que mantiene y opera sus sistemas principales le informó de que una empresa a la que subcontrata había sufrido un ciberataque a finales de septiembre de 2026, y que los sistemas de la universidad fueron accedidos sin autorización mediante la cuenta legítima del subcontratista. El contratista también informó de que datos personales relacionados con la universidad y información de sistemas almacenados en el almacenamiento en la nube que utilizaba se han confirmado como filtrados; el contenido y las cifras aún se están verificando con el contratista. Los datos que la universidad señaló en su rueda de prensa como posiblemente filtrados (unos 130.000 registros relacionados, entre otros, con el sistema de asuntos académicos) están en la plataforma de virtualización propia de la universidad y son independientes; si se filtraron sigue bajo investigación. El 23 de octubre la universidad abrió un servicio de atención para egresados y padres. Según informes de prensa, unos 500 servidores dejaron de funcionar y gran parte de los datos de respaldo también quedó cifrada. La opinión de este sitio: compruebe cualquier mensaje que diga provenir de la universidad en la página OMU Entrance, no a través de enlaces en correos o SMS, y denuncie los contactos sospechosos al servicio de atención de la universidad. Las organizaciones deben enumerar las cuentas que usan sus contratistas y subcontratistas y mantener al menos una copia de respaldo que las cuentas de administración de producción no puedan eliminar.
Filtración en Rakuten Drive (datos almacenados de 15.382 cuentas): qué se accedió y qué deben hacer los usuarios
El 6 de octubre de 2026, el servicio de almacenamiento en la nube Rakuten Drive anunció que un tercero había obtenido de forma ilegítima las credenciales de una cuenta de administración de una parte de los sistemas que usa el servicio, accedió a los sistemas y obtuvo y vio información. Resultaron afectados los datos almacenados (incluidas fotos y documentos) de 15.382 cuentas entre el 29 de enero y el 17 de septiembre de 2026; el nombre de cuenta, el nombre visible y la URL de la imagen de perfil de 687 cuentas el 27 de agosto; y, el mismo día, el nombre de cuenta, el nombre visible, la contraseña cifrada, la cadena añadida durante el cifrado de la contraseña y la URL de la imagen de perfil de 313 cuentas. El servicio afirma que no se ha confirmado ningún daño secundario y que notificará a los usuarios afectados de forma individual por correo electrónico u otro medio. En una actualización del 13 de agosto sobre notificaciones push sospechosas vistas el 30 de julio, el servicio había dicho que en ese momento no se había confirmado un acceso de terceros no autorizado a los datos almacenados. Opinión de este sitio: a diferencia de una contraseña, lo que alguien ya ha visto de los archivos almacenados no tiene vuelta atrás. Compruebe si hay un aviso, considere vistos los documentos de identidad o contratos que haya guardado, cambie su contraseña y no responda a mensajes, exigencias de pago ni amenazas que digan ser de Rakuten Drive.
Filtración de datos de Abahouse: podrían haberse filtrado los detalles de los pedidos y cómo tratar los correos falsos de reembolso
El 2 de octubre de 2026, Abahouse International Co., Ltd. anunció que un acceso no autorizado a sus sistemas internos, que se cree realizado por un tercero en el extranjero, podría haber filtrado los ID de miembro, nombres, direcciones, números de teléfono, correos electrónicos, fechas de nacimiento, sexo y detalles de pedidos (fecha y hora del pedido, nombres de productos, importes y direcciones de entrega). Como no puede determinar por completo el alcance de los datos sustraídos, la empresa envió el 2 de octubre un correo a los clientes que consideró posiblemente afectados, según el historial de compras y otros registros. Elimina los datos de un miembro un mes después de que se da de baja, pero conserva los registros de pedidos anteriores durante un periodo por motivos legales y contables, y afirma que no puede descartar que esos pedidos hayan sido accedidos; los antiguos miembros recibieron el mismo correo. No se ha anunciado ninguna cifra. Los números de tarjeta y los códigos de seguridad los gestiona un procesador de pagos, y no se ha confirmado su filtración. La brecha salió a la luz cuando varios clientes denunciaron correos sospechosos de reembolso que coincidían con sus pedidos reales. En una actualización del 9 de octubre, la empresa afirmó que la vía de intrusión había sido cortada, que no se había confirmado más propagación, que había presentado un informe de daños ante la policía y que no había recibido denuncias de pérdidas económicas. El alcance de los datos sustraídos y los detalles de la causa siguen en investigación con especialistas externos. El punto de vista de este sitio: que un mensaje acierte con los datos de tu pedido no demuestra que sea auténtico. No sigas enlaces ni te pases a LINE a partir de correos sobre 'reembolso' o 'agotado'; revisa tu historial de pedidos en Mi cuenta.
Fuga de datos de Lashinbang: números de documentos de identidad y datos bancarios de pago podrían haberse filtrado (sin imágenes de documentos) — qué deben hacer los vendedores
El 1 de octubre de 2026, Lashinbang Co., Ltd. anunció que un acceso no autorizado a un servicio que opera, entre el 14 y el 16 de septiembre de 2026, podría haber filtrado nombres, direcciones, números de teléfono, direcciones de correo electrónico, fechas de nacimiento y ocupaciones, junto con el tipo y número de documentos de identidad, el nombre del banco, la sucursal, el número de cuenta y el titular introducidos al solicitar una compra a la tienda (cuando los clientes venden artículos a la tienda), imágenes de los formularios de consentimiento de la compra, y datos de la compra y de los pedidos. La empresa afirma que no se filtraron datos de tarjetas de crédito ni contraseñas, y que no recoge el My Number (el número individual de Japón). En una adenda del 9 de octubre, añadió que no se filtraron imágenes de documentos de identidad, incluidos los permisos de conducir. El aviso también incorporó una sección que indica que las personas afectadas son quienes recibieron un correo electrónico individual de la empresa. A fecha de 10 de octubre de 2026, no se han anunciado el número de afectados ni la causa. La opinión de este sitio: un número de cuenta y el nombre del titular por sí solos no permiten retirar dinero, pero no respondan a contactos que usen sus datos de cuenta, su número de identidad o los datos reales de su compra para parecer legítimos. Nunca den a nadie un PIN, una contraseña o un código de autenticación, y si se filtró su número de documento de identidad, consideren una autodeclaración ante las agencias de crédito de Japón.
Filtración en la app de Seicomart (unos 575.000 socios): nombres, direcciones y fechas de nacimiento vistos: qué deben hacer los socios
El 29 de septiembre de 2026, Seicomart Co., Ltd., que gestiona la cadena de tiendas de conveniencia Seicomart en Japón, anunció que un tercero había obtenido acceso no autorizado al servidor que almacena los datos de los socios a través del servidor de su app para smartphone Seicomart. Su cuarto aviso, el 5 de octubre, indicó que las cuentas afectadas son 574.647 de los socios del Club que se han registrado en la app, y que las personas que dieron de baja la Tarjeta Club antes del 24 de septiembre no están incluidas. Los datos vistos son apellido y nombre, sexo, fecha de nacimiento, dirección, número de teléfono, correo electrónico, y las fechas de alta y baja en el programa de la Tarjeta Club. No se filtraron los datos de contraseña ni el historial de compras, y la empresa no guarda datos de tarjetas de crédito. Desde el 5 de octubre, la empresa informa a todos los socios de la app, mediante los avisos de la app, si están afectados. Ha dado por terminadas las funciones de la app y la web para nuevos registros, consulta y cambio de datos de socio, y cambio de tarjetas registradas; las solicitudes ahora se tramitan en tiendas o mediante un formulario. No se ha revelado la causa. La opinión de este sitio: lo expuesto es un conjunto de datos personales que no se pueden cambiar, y el siguiente paso más probable son correos, SMS y llamadas convincentes que se hacen pasar por la empresa. Consulte los avisos de la app para saber si está afectado, no siga los enlaces ni las instrucciones de esos mensajes, y deje de usar su fecha de nacimiento como PIN o como respuesta en verificaciones de identidad.
Filtración de datos de ShopServe de E-store (informe final: unos 23,36 millones de personas): qué deben hacer compradores, dueños de tiendas y afiliados
En su informe final del 16 de octubre de 2026, E-store Co., Ltd. indicó que un tercero explotó una vulnerabilidad en una aplicación de los servidores de ShopServe, su servicio para crear tiendas online, y envió al exterior contenido de la base de datos entre el 21 de mayo y el 1 de agosto de 2026. Se ven afectadas unas 23.356.000 personas (compradores y miembros, operadores de tiendas y afiliados en conjunto; cifra aproximada tras eliminar duplicados), de las cuales unas 2.096.900 tenían incluidos datos parciales de su tarjeta. Se ven afectadas 7.858 tiendas (incluidas las actuales y las antiguas de ShopServe). La filtración incluye nombres, direcciones, teléfonos, correos electrónicos y lugares de trabajo de los compradores; IDs de miembro y contraseñas cifradas; nombres de titulares, los primeros 6 y los últimos 4 dígitos de la tarjeta y fechas de caducidad; y las credenciales de tiendas y afiliados. No se conservaban números completos de tarjeta ni códigos de seguridad y no se vieron afectados. El informe final corrige el segundo informe: se confirmó que no se filtraron los IDs y contraseñas del sistema de correo y del FTP de las tiendas ni los datos de las cuentas bancarias a las que E-store transfiere dinero (cuentas de pago). No se habían comunicado daños secundarios. Conclusión de este sitio: la mayoría de los compradores compró en la web propia de cada tienda sin haber oído nunca el nombre ShopServe. Aunque no sepa de qué tienda se trata, desconfíe de los mensajes que citen los datos reales de su pedido o los cuatro últimos dígitos de su tarjeta, revise los extractos de su tarjeta y cambie las contraseñas reutilizadas. Los dueños de tiendas y los afiliados deben cambiar su contraseña de administración o de afiliado y activar la verificación en dos pasos.
Acceso no autorizado a TEMAIRAZU (2026): guía para huéspedes y hoteles
El 28 de septiembre de 2026, Temairazu, Inc. anunció un acceso no autorizado a su TEMAIRAZU Series, un sistema que hoteles y ryokan usan para gestionar en un solo lugar reservas procedentes de muchas fuentes. Desde la noche del 21 de septiembre, los huéspedes de los alojamientos que usan el sistema empezaron a recibir mensajes sospechosos por aplicaciones de mensajería como WhatsApp, por correo electrónico y por SMS. Los mensajes parecían conocer los datos de la reserva y, con pretextos como el registro de entrada anticipado o mantener la reserva válida, llevaban a los destinatarios a sitios web externos para introducir datos de tarjeta o pagar. En su segundo informe del 7 de octubre (versión en inglés del 8 de octubre), la empresa enumeró la información que podría haber sido vista u obtenida por un tercero: nombres de huéspedes, números de teléfono, direcciones de correo electrónico, nombres de los establecimientos, fechas de entrada, fechas de salida y cargos de alojamiento. No conserva información de tarjetas de crédito ni credenciales de acceso a los sitios de reserva. En una comunicación de información relevante a los inversores del 9 de octubre, situó el número de personas cuya información de reserva está implicada en hasta unos 4,45 millones y dijo que había encargado a una empresa externa de seguridad que investigara. Según los avisos de hoteles que usan el sistema, la causa fue un problema de seguridad en parte de un producto instalado que la empresa proporcionó en el pasado, corregido el 26 de septiembre. La opinión de este sitio: las personas que reservaron a través de webs de viajes también podrían verse afectadas. Si un mensaje que dice ser de su hotel le pide volver a introducir datos de tarjeta o pagar, no responda aunque los datos sean correctos, y compruebe a través de la aplicación oficial del sitio de reservas o del teléfono que figura en la web oficial del hotel.
Filtraciones de datos de Yamato y Sagawa (2026): usuarios afectados y respuesta
Yamato Transport detectó un acceso no autorizado a su servicio de pago diferido Kuroneko el 28 de septiembre de 2026, y Sagawa Express detectó un acceso no autorizado a su servicio de seguimiento de paquetes el 30 de septiembre. Entre el 1 y el 2 de octubre, ambas empresas afirmaron que los datos personales podrían haberse filtrado. Son incidentes separados, y ninguna de las dos empresas menciona una conexión entre ellos. En su cuarto aviso, del 16 de octubre, Yamato dijo que se habían obtenido datos: unos 5,26 millones de registros de usuarios del pago diferido (nombre, dirección, teléfono, correo electrónico, detalles de artículos y otros, desde el 1 de octubre de 2018 hasta el 28 de septiembre de 2026), unos 50.000 registros de información de dirección de entrega de algunos usuarios, y unos 4.100 registros de tiendas participantes. No se halló que se hubieran obtenido importes de facturación, saldos pendientes ni nombres de empleados. En su quinto aviso, del 23 de octubre, Sagawa dijo que los nombres, direcciones y teléfonos de remitentes y destinatarios de paquetes que gestionó entre el 21 de junio y el 30 de septiembre de 2026 (unos 100 días), entre otros datos, podrían haberse filtrado, y dio como cifra máxima unos 53,23 millones de registros (con duplicados incluidos; no es el número de personas). No se incluyen los paquetes enviados con guías escritas a mano. Ninguna de las dos filtraciones incluye datos de tarjetas de crédito ni contraseñas. Yamato reanudó el servicio de pago diferido el 9 de octubre y amplió los plazos de pago 17 días; Sagawa reanudó su servicio de seguimiento de paquetes el 23 de octubre, mientras que otros ocho servicios web, incluida la reserva en línea, siguen detenidos. Opinión de este sitio: en el caso de Sagawa, puede verse afectado solo por haber recibido un paquete, aunque nunca haya usado la empresa. Dé por hecho que los falsos avisos de entrega fallida y las reclamaciones de pago pueden incluir ahora su nombre y dirección reales, el hecho de que recibió un paquete o lo que compró. No abra los enlaces de esos mensajes; consulte en la aplicación oficial o en el historial de pedidos de la tienda donde compró.
Brecha de datos de Basic-Fit (IBAN y visitas): estafas de «pago fallido» y qué deben hacer los socios
Basic-Fit informó el 13 de abril de 2026 de un acceso no autorizado al sistema que registra las visitas de los socios a sus clubes. Según la empresa, el acceso se detuvo a los pocos minutos, pero se descargaron datos de socios activos de varios países: información de la suscripción, nombre y dirección, correo, teléfono, fecha de nacimiento y datos de la cuenta bancaria; no se accedió a contraseñas. Basic-Fit indicó a Reuters que afecta a unos 1 millón de socios en seis países, entre ellos España. La conclusión de este sitio: la cuota del gimnasio supone pagos periódicos según el contrato y, si usas domiciliación SEPA, un aviso de «tu pago ha fallado» imita un proceso real de Basic-Fit. Comprueba siempre el estado de tu cuota en la app, nunca desde un enlace; revisa los adeudos de acreedores que no reconozcas (13 meses para devolverlos) y no devuelvas por pánico la cuota legítima del gimnasio.
Brecha de datos de reservas de Booking.com: cómo reconocer mensajes fraudulentos que se hacen pasar por tu alojamiento
En abril de 2026 Booking.com notificó a sus clientes que terceros no autorizados pudieron acceder a cierta información de reservas, actualizó los PIN de las reservas afectadas y dijo que había contenido el problema. Según la comunicación y lo que dijo un portavoz de la empresa a los medios, la información incluía datos de la reserva, nombres, direcciones de correo electrónico, números de teléfono y mensajes compartidos con los alojamientos; no se accedió a la información financiera. No se han publicado ni el número de afectados ni la causa. La conclusión de este sitio: que el mensaje acierte el nombre del hotel, la fecha y el precio ya no demuestra nada. La prueba es si lo que te piden coincide con la política de pago de la reserva que abres tú mismo en la app oficial. Rechaza cualquier petición de volver a introducir la tarjeta, pagar por un enlace o hacer una transferencia que no esté en la política.
Brecha de datos de Endesa (DNI e IBAN): cómo actuar ante llamadas fraudulentas que conocen tu contrato
Endesa Energía comunicó a sus clientes (hacia el 12 de enero de 2026) que un actor malicioso accedió sin autorización a su plataforma comercial y podría haber exfiltrado datos identificativos básicos, de contacto, DNI, datos del contrato y, eventualmente, IBAN; las contraseñas no se vieron afectadas. Endesa notificó el incidente a la AEPD y no ha publicado el número de afectados. Estos son justo los datos que hacen creíble la estafa energética de siempre («cambio de tarifa», «corte de suministro»): una llamada que ya sabe tu DNI y tu contrato no suena a estafa. Saber tus datos no prueba nada: cuelga y llama tú al número oficial. Y como el IBAN puede usarse para domiciliar recibos, revisa los adeudos: un cargo que no autorizaste se puede devolver hasta 13 meses después.
Brecha de datos de Canvas (Instructure): se filtraron inscripciones en cursos y mensajes — qué deben hacer estudiantes, docentes y centros educativos
Según Instructure, la empresa detrás del sistema de gestión del aprendizaje (LMS) Canvas, el 29 de abril de 2026 se detectó actividad no autorizada y se exfiltraron nombres de usuario, direcciones de correo electrónico, nombres de cursos, información de inscripción y mensajes. La empresa dice que los campos afectados no están diseñados para almacenar contraseñas, fechas de nacimiento, información de salud, números de la Seguridad Social, información financiera, calificaciones ni expedientes disciplinarios. El 7 de mayo, el mismo actor usó otra vulnerabilidad para alterar las páginas que se mostraban tras iniciar sesión. La lista de campos parece poco relevante, pero un correo electrónico más las clases que cursa alguien es justo lo que necesita una estafa convincente con temática escolar, y los mensajes son texto libre, así que puede estar incluida cualquier cosa que se haya escrito en ellos. Verifica cualquier contacto solo por los canales oficiales de tu centro; el equipo de TI debe registrar contactos de seguridad, revisar los registros, exigir MFA a los administradores y guardar copia de los datos de los cursos fuera del LMS.
Filtración de datos de Times Car (6.628.007 registros con nombres y direcciones, indicios de envío de unas 1,46 millones de imágenes de documentos de identidad): cómo revisar Mi Página y qué deben hacer los socios y los exsocios
En su quinta notificación del 23 de octubre de 2026, Times Mobility Co., Ltd. indicó que la investigación forense externa había concluido y publicó las cifras finales. En el sistema web de Times Car se encontraron indicios de acceso del atacante y de transmisión al exterior de 6.628.007 registros de nombre, dirección, fecha de nacimiento, número de teléfono, correo electrónico e información de la licencia de conducir. De las imágenes de documentos de identidad, almacenadas cifradas, 1.464.800 mostraron indicios de envío (la empresa había dicho antes que podrían haberse filtrado unos 1,6 millones) y 891.602 fueron accedidas sin indicios de envío. Las contraseñas con hash se enviaron en 4 casos. En el sistema web relacionado de Times Club, donde también se encontró acceso no autorizado, 19.510 números de tarjeta Times Club, 135.436 identificadores de servicios vinculados y 28 registros de los últimos cuatro dígitos de tarjetas de crédito, entre otros, mostraron indicios de envío (la empresa no conserva los números completos de tarjeta ni los códigos de seguridad). La causa fue la explotación de una vulnerabilidad en el sistema web. La empresa dará un pago de 3.000 yenes a las personas cuyas imágenes fueron enviadas (detalles y método aún en decisión) y, desde las 17:00 del 23 de octubre, muestra en Mi Página los datos filtrados de cada persona. La opinión de este sitio: primero revise sus datos en Mi Página. Si se enviaron sus imágenes de documentos, registre alertas de fraude en las agencias de crédito y revise su historial crediticio; todos deben ignorar los contactos que se hagan pasar por la empresa. Los exsocios pueden consultar mediante un formulario específico.
Los equipos VPN son la principal vía de entrada del ransomware: cómo defender el acceso remoto tras la brecha de la Agencia Digital de Japón
Un equipo VPN conecta internet con la red interna de una organización, y en Japón es por donde entraron los atacantes en aproximadamente dos tercios de los casos de ransomware en los que se conoce la vía. El incidente del GSS de la Agencia Digital siguió el mismo patrón: entrada por una vulnerabilidad VPN y, después, uso de la cuenta de un operador de mantenimiento para acceder a un gran volumen de archivos. La opinión de este sitio: mantén un equipo VPN solo si puedes seguir parcheándolo, y defiéndelo con tres cosas: rapidez al parchear, privilegios reducidos tras una intrusión y detección de accesos masivos.
Cuando tu proveedor de hosting web sufre una brecha: qué deben hacer los clientes
Un compromiso en el lado del proveedor no se puede bloquear con la configuración del cliente, así que la defensa pasa de la prevención a limitar cuánto puedes perder. Los resultados de la investigación del 10 de septiembre establecieron lo más importante: el acceso no autorizado al sistema de gestión comercial se produjo entre abril de 2023 y marzo de 2026; las cuentas de hosting afectadas pasaron de 583 a 951, y algunas contraseñas iniciales no tenían hash. La visión de este sitio: trata todo lo que hay en un hosting compartido como legible, saca los secretos, las credenciales y las copias de seguridad fuera del proveedor, y cambia hoy cualquier contraseña inicial que sigas usando.
Qué es C2 (mando y control): el canal que usan los atacantes para controlar un dispositivo tras una brecha
C2 es el canal que un dispositivo comprometido usa para llamar al servidor del atacante (una baliza) para recibir órdenes y exfiltrar datos: la fase posterior a la brecha. Las principales pistas son el tráfico saliente periódico sospechoso y los destinos maliciosos conocidos. Defensas: filtrado de salida, monitorización de DNS, cotejo de IOC/IOA, mínimo privilegio. Confirmar que 'no hay C2 residente' es una parte clave de la investigación de una brecha.
Qué es EDR: registrar la actividad de los endpoints para detectar y responder a los ataques que el antivirus no detiene
EDR registra de forma continua el comportamiento del endpoint, detecta actividad sospechosa (estilo IOA) y apoya la respuesta (aislar, investigar). Atrapa ataques sin archivos y de abuso de herramientas legítimas que el antivirus basado en firmas/IOC se pierde, mediante el comportamiento y una línea de tiempo. Los equipos pequeños a menudo no necesitan un EDR completo: la protección integrada del sistema operativo más registros más la mentalidad IOA aportan gran parte del valor.
Qué es un IOA (Indicador de Ataque): detectar una brecha por el comportamiento, no por los rastros
Un IOA (Indicador de Ataque) detecta una brecha por el comportamiento de un ataque en curso (escalada de privilegios → movimiento lateral → exfiltración). Es la contraparte del IOC a posteriori. Los atacantes cambian hashes e IPs al instante, pero la técnica (el comportamiento) es difícil de cambiar, así que los IOA perduran. Incluso los equipos pequeños pueden acercarse a ello vigilando el comportamiento que difiere de lo normal.
Qué es un IOC (Indicador de Compromiso): rastros que revelan una brecha
Un IOC (Indicador de Compromiso) es un rastro que deja una brecha: hashes de archivos maliciosos conocidos, IPs/dominios de atacantes, URLs, procesos inusuales. Su valor es detectar/bloquear mecánicamente lo malo conocido. Pero es una pista reactiva que los atacantes pueden cambiar barato, así que el cotejo de IOC es una comprobación final, no una defensa completa. La defensa principal es un diseño que resista la intrusión (mínimo privilegio, parcheo, MFA).
El mínimo de seguridad de una organización: seis prioridades deducidas de los incidentes reales de Japón en 2026
El «mínimo» de una organización debe fijarse por dónde los incidentes reales rompieron la defensa, no por una lista de productos. Si se ponen en fila los incidentes de Japón en 2026, las entradas difieren —un dispositivo VPN, software de terceros, una función de consulta, no divulgada—, pero las causas que ampliaron el daño se reducen a seis: (1) cerrar los dispositivos expuestos a internet con plazo, (2) acotar las cuentas de mantenimiento, contratistas y exempleados, (3) vigilar volumen y horario, (4) conservar registros lo bastante como para mirar atrás, (5) no guardar datos que ya no hacen falta, (6) repriorizar según KEV. La visión de este sitio: el mínimo es decidir quién se da cuenta, con qué número y cuándo.