Brechas en Yamato y Nikkei exponen 5,31 y 1,83 millones de registros

Otras dos grandes empresas japonesas pusieron cifras a sus filtraciones de datos el 16 de octubre de 2026. La empresa de reparto Yamato Transport dijo que se sustrajeron unos 5,31 millones de registros de su servicio de pago aplazado. La editora de prensa Nikkei dijo que se filtraron unos 1,83 millones de registros de un servicio en la nube que usa para desarrollar software. Ambos casos se suman a un mes de ataques contra empresas japonesas, y ambos muestran el coste de conservar datos antiguos.

Yamato Transport: 5,31 millones de registros

Yamato gestiona un servicio de pago aplazado «Kuroneko» que permite a los compradores en línea pagar sus compras más tarde. La empresa detectó un acceso no autorizado el 28 de septiembre, detuvo el servicio esa misma noche y reveló el problema el 29 de septiembre. El servicio se reanudó el 9 de octubre. Su cuarto informe, del 16 de octubre, dio las cifras totales, informa ITmedia NEWS.

Grupo	Registros, aprox.	Datos sustraídos
Compradores, del 1 de octubre de 2018 al 28 de septiembre de 2026	5,26 millones	Nombre, dirección, teléfono, detalles del artículo, número de solicitud, datos de gestión interna; correo electrónico de unos 490.000
Destinatarios de entregas, desde el 5 de febrero de 2021	50.000	Nombre, dirección, teléfono, número de seguimiento
Comercios que usan el servicio	4.100	Nombre y código del comercio

No se incluyeron datos de tarjetas de crédito ni contraseñas, informa ITmedia. La empresa había advertido antes de que podrían haberse filtrado nombres de empleados, pero su investigación no lo confirmó. No ha dicho cómo entró el atacante.

Yamato conservaba los datos de los compradores durante un periodo para atender consultas de clientes, informa Jiji Press. Los registros de compradores se remontan a unos ocho años atrás, hasta octubre de 2018. Los clientes han informado de correos, mensajes de texto y llamadas sospechosos, aunque no se ha confirmado ningún uso indebido de los datos robados.

Nikkei: 1,83 millones de registros de una nube de desarrollo

Nikkei dijo que un atacante entró en un servicio en la nube que usa para el desarrollo de sistemas, en la madrugada del 7 de octubre. Los datos de acceso a esa nube fueron robados «por algún medio», según el propio aviso de Nikkei. La empresa ha desactivado las credenciales robadas.

De los 1,83 millones de registros, unos 150.000 contienen al menos uno de estos datos: nombre, dirección de correo electrónico, domicilio, número de teléfono o fecha de nacimiento. Unos 120.000 de ellos incluyen una dirección de correo electrónico. Los otros 1,68 millones solo contienen identificadores que, por sí solos, no permiten identificar a una persona, informa INTERNET Watch.

No se incluyeron datos de tarjetas de crédito, dice Nikkei. La empresa comunicó la filtración a la Personal Information Protection Commission, el regulador de privacidad de Japón, el 11 de octubre. A fecha de 16 de octubre, no había detectado ningún uso indebido de los datos, ninguna caída del sistema ni ninguna manipulación.

No es el primer incidente de Nikkei este mes. El 4 de octubre reveló que una cuenta de empleado secuestrada había enviado unos 9.000 correos falsos, informa ITmedia.

Una ola más amplia de revelaciones

El Gobierno de Japón reforzó sus alertas cibernéticas el 9 de octubre después de que más de 20 empresas informaran de ataques. El operador japonés de Burger King reveló una filtración de 11,18 millones de registros de su app un día antes que estas dos.

Jiji Press enumera otros casos recientes en el mismo artículo:

• Times Car: unos 6,6 millones de registros, de los que unos 1,6 millones incluían imágenes de licencias de conducir u otros documentos de identidad. Su empresa matriz, Park24, dice que eliminará las imágenes de documentos de identidad almacenadas antes de que acabe octubre, y que a partir de ahora las eliminará justo después de verificar la identidad de cada socio.
• FANCL y su filial Atenia: unos 830.000 registros de socios.
• Japan Post: nombres y direcciones de unos 600 usuarios de un servicio de rastreo de correo internacional.

Qué significa esto para los desarrolladores

• Mantén los datos personales reales fuera de las nubes de desarrollo. La filtración de Nikkei procedía de un sistema que se usa para desarrollar software. Usa datos ficticios o enmascarados en los entornos de pruebas y desarrollo.
• Trata las credenciales de la nube como la puerta principal. El atacante de Nikkei inició sesión con credenciales robadas. Usa claves de corta duración, inicio de sesión multifactor y alertas ante inicios de sesión desde lugares nuevos.
• Fija límites de conservación y hazlos cumplir. La filtración de Yamato abarca ocho años de compradores, y Times Car conservó imágenes de documentos de identidad años después de que los socios se dieran de baja. Elimina de forma programada los datos que ya no necesites.
• Elimina las imágenes de documentos tras la verificación. La nueva norma de Park24 es una buena opción por defecto. Una vez comprobada la identidad, la imagen de la licencia ya no sirve para nada y tiene un gran valor para los delincuentes.
• Prepara a los clientes para las estafas posteriores. Nombres, direcciones, teléfonos y detalles de pedidos permiten crear mensajes falsos convincentes. Di a los usuarios qué no les pedirás nunca antes de que los atacantes empiecen a llamar.