Fugas de datos en Japón en 2026: lo que ocurrió en Skyticket y Muji

Octubre de 2026 resultó ser uno de los meses más turbulentos para la ciberseguridad empresarial en Japón. Con apenas unas semanas de diferencia, la agencia de viajes online Skyticket y la conocida cadena minorista Muji revelaron graves incidentes de seguridad que, en conjunto, dejaron al descubierto más de 40 millones de registros de usuarios. Estas revelaciones se produjeron durante la misma oleada de intrusiones que afectó a los principales proveedores de logística, restauración y entretenimiento de todo el país.

Aunque las intrusiones en bases de datos acaparan los titulares con cifras astronómicas, el robo inicial rara vez supone el final de los perjuicios para los consumidores. Para millones de usuarios registrados, el mayor riesgo financiero se produce durante la segunda oleada de ataques: el phishing mediante suplantación de marca. Cuando los ciberdelincuentes obtienen listas auténticas de correos electrónicos de clientes, disponen de la herramienta perfecta para lanzar estafas convincentes camufladas como comunicaciones corporativas oficiales.

La ola de filtraciones de 2026 en Japón: contexto

Los incidentes ocurridos en Skyticket y Muji no fueron casos aislados. En octubre de 2026 se produjo una oleada sin precedentes de revelaciones sobre ciberseguridad en los sectores minorista, del transporte, de los videojuegos y del software en Japón. Muchos de estos incidentes tuvieron su origen en software de terceros, sistemas administrativos de fondo o interfaces de aplicaciones expuestas, más que en brechas directas en el perímetro de seguridad.

Según ha informado Jiji Press a través de Nippon.com, el caso de Sagawa Express por sí solo puso de manifiesto hasta qué punto se difunden los datos de contacto personales a través de las redes públicas de reparto. Para comprender mejor las vulnerabilidades sistémicas más amplias que afectan a las empresas nacionales, consulta nuestra lista de buenas prácticas de ciberseguridad para obtener recomendaciones sobre defensa operativa.

La filtración de datos de Skyticket: qué ocurrió

Adventure, Inc., la empresa que gestiona Skyticket y que cotiza en la Bolsa de Tokio, reveló que los atacantes obtuvieron acceso no autorizado a los sistemas internos a través de tres vectores distintos.

Calendario y alcance

Adventure confirmó tres fallos distintos en materia de seguridad operativa:

1. Intrusión en servidores y almacenamiento en la nube: Los atacantes manipularon las funciones administrativas de Skyticket entre el 2 y el 4 de octubre de 2026, lo que les permitió acceder a los servidores internos de la empresa y a las bases de datos en la nube. La intrusión se descubrió el 5 de octubre.
2. Violación de la seguridad del sistema de gestión empresarial: El 20 de septiembre se produjo una intrusión que aprovechaba una vulnerabilidad de software sin parchear, la cual se detectó el 28 de septiembre, y que tenía como objetivo los registros contables administrativos.
3. Falla en la configuración de las reservas de autobús: Entre el 3 de agosto y el 1 de octubre, se podía acceder a las páginas de finalización de la reserva del portal de reservas de autobuses de la plataforma sin necesidad de autenticarse. Unos scripts automatizados consultaron aproximadamente 12 000 reservas antes de que los ingenieros corrigieran los permisos el 1 de octubre.

Adventure denunció los incidentes ante la Comisión de Protección de Datos Personales (PPC) de Japón y comenzó a enviar correos electrónicos a los usuarios afectados el 8 de octubre.

¿Qué datos se filtraron?

La principal intrusión en la nube afectó a unos 14,64 millones de registros de clientes. La información comprometida incluía los nombres de los clientes (incluidas las grafías romanizadas al estilo de los pasaportes), las fechas de nacimiento, las direcciones de correo electrónico, los números de teléfono, las direcciones postales y los nombres de los ordenantes de las transferencias bancarias. Aproximadamente 4,13 millones de estos registros contenían contraseñas de los usuarios almacenadas en formato hash.

Aunque Adventure afirmó que en sus bases de datos principales de vuelos no se almacenaban números de tarjetas de crédito activos ni imágenes de pasaportes, las revelaciones posteriores pusieron de manifiesto riesgos adicionales. El 28 de octubre, Adventure confirmó que también se había accedido a una copia de seguridad sin cifrar almacenada en la nube. Esta copia de seguridad contenía 32 341 números de cuentas bancarias registrados para reembolsos a clientes entre marzo de 2022 y mayo de 2024, junto con 118 000 registros de solicitudes de seguros de viaje.

Además, se vieron afectados aproximadamente 936 000 registros de transacciones con números de tarjeta de crédito parcialmente ocultos. En 12 casos, los números de tarjeta introducidos incorrectamente en el campo del nombre del titular se guardaron en texto sin cifrar. Una revisión independiente confirmó que unos registros de pago más antiguos, de 2018, revelaban los datos completos de las tarjetas de crédito de unos 6 140 suscriptores de skyticket Premium. Como respuesta, Adventure suspendió las transacciones con tarjetas guardadas y recomendó restablecer las contraseñas en todas las cuentas de los miembros.

La filtración de datos de la aplicación de Muji: qué ocurrió

El 30 de octubre de 2026, Ryohin Keikaku Co., Ltd., la empresa matriz de la cadena de tiendas de estilo de vida Muji, reveló que se había producido un acceso externo no autorizado dirigido a su plataforma móvil oficial, la aplicación MUJI.

La empresa determinó que un tercero no autorizado había accedido indebidamente al back-end de la aplicación, lo que podría haber supuesto la exposición de hasta 27,26 millones de registros de clientes. Esta cifra incluía no solo a los compradores activos, sino también a antiguos miembros que habían cerrado sus cuentas anteriormente.

Ryohin Keikaku confirmó que los datos filtrados se limitaban a tres datos concretos:

• Direcciones de correo electrónico registradas
• Fechas de nacimiento
• Género declarado

A diferencia del incidente de Skyticket, la intrusión en Muji no afectó a los nombres de los clientes, sus direcciones postales, números de teléfono ni datos de tarjetas de pago. Ryohin Keikaku también aclaró que las cuentas de los clientes de Muji China se gestionan en una infraestructura de servidores independiente y localizada, y que no se vieron afectadas.

En su comunicado inicial, la empresa minorista confirmó que no había encontrado pruebas de que los datos robados estuvieran circulando en los mercados de la dark web. Sin embargo, la dirección de la empresa lanzó una advertencia directa a los usuarios: los atacantes que disponen de direcciones de correo electrónico auténticas de los clientes suelen enviar correos electrónicos engañosos que imitan la imagen de marca de Muji.

Cabe destacar que el grupo de restaurantes japonés Matsuya Foods Holdings reveló ese mismo día otra intrusión en una aplicación que afectó a 2,38 millones de registros. El incidente también se hizo eco de los problemas en la cadena de suministro de octubre de 2025, cuando un ataque de ransomware contra su socio logístico, Askul Corporation, paralizó temporalmente los canales de venta online y los centros de distribución de Muji. 

Para las organizaciones que estén evaluando sus estrategias de defensa ante estos escenarios, consulten nuestra guía sobre cómo prevenir una filtración de datos para identificar las brechas de seguridad más habituales.

Por qué las direcciones de correo electrónico filtradas fomentan el phishing

Una filtración de datos de una empresa suele servir como reconocimiento previo para la ingeniería social. Una vez que un ciberdelincuente sabe que una dirección de correo electrónico concreta pertenece a un cliente de Skyticket o Muji, sus campañas de phishing se vuelven exponencialmente más eficaces.

En lugar de enviar spam genérico a destinatarios aleatorios, los atacantes crean señuelos contextuales:

• La cancelación urgente de un vuelo: Un atacante envía un correo electrónico en el que afirma que una reserva reciente en Skyticket ha sido cancelada debido a un fallo del sistema, lo que incita al destinatario a hacer clic en un enlace y volver a introducir los datos de pago.
• Alerta sobre la tramitación de reembolsos: Aprovechándose de la información revelada por Skyticket sobre problemas con los reembolsos bancarios, los estafadores envían notificaciones falsas en las que indican a los destinatarios que verifiquen sus números de ruta bancaria o las contraseñas de sus cuentas en una página web falsa.
• El vale de compensación por fidelidad: Haciéndose pasar por Muji, los estafadores envían mensajes en los que ofrecen una tarjeta regalo o puntos para la aplicación como disculpa por la filtración de datos de octubre, y dirigen a los usuarios a páginas de inicio de sesión diseñadas para robar sus credenciales.

La Agencia Nacional de Policía de Japón ha advertido en repetidas ocasiones que la confianza del destinatario no puede basarse únicamente en los nombres de los remitentes. Los atacantes suelen ocultar su identidad para hacerse pasar por marcas corporativas legítimas. Al analizar casos prácticos históricos de ataques de phishing y filtraciones de datos famosos muestra que el phishing posterior suele causar un perjuicio económico mayor que el robo inicial de la base de datos.

Si sospechas que tus datos se han visto afectados por una filtración reciente de una empresa, puedes comprobar si tu dirección de correo electrónico ha quedado expuesta a través de directorios especializados en la supervisión de filtraciones.

Cómo la autenticación del correo electrónico limita la suplantación de identidad de las marcas

Cuando los ciberdelincuentes se hacen pasar por una empresa que ha sufrido una filtración, recurren a dos tácticas principales: la suplantación directa de dominios y el registro de dominios similares. El establecimiento de normas de autenticación del correo electrónico impide que los atacantes se aprovechen de la reputación de la marca.

SPF, DKIM y DMARC

• Marco de políticas de remitentes (SPF): Publica una lista de direcciones IP autorizadas que pueden enviar correo electrónico en nombre del dominio de una empresa.
• DomainKeys Identified Mail (DKIM): Añade una firma criptográfica a los mensajes salientes, lo que permite verificar que el cuerpo del mensaje y los archivos adjuntos no se han alterado durante la transmisión.
• DMARC (Autenticación, notificación y conformidad de mensajes basados en el dominio): Unifica SPF y DKIM bajo una única política de dominio. Cuando una empresa configura DMARC con una política de aplicación p=reject, los servidores de correo receptores descartan automáticamente los correos electrónicos falsificados que intentan utilizar el dominio exacto de la marca en el encabezado visible «De».
• Indicadores de marca para la identificación de mensajes (BIMI): Muestra el logotipo autenticado de la empresa junto a los mensajes entrantes en las bandejas de entrada de los usuarios compatibles, lo que ofrece a los destinatarios una prueba visual inmediata de la legitimidad del remitente.

Los límites de la autenticación del correo electrónico

DMARC resuelve la suplantación de dominio exacto, pero los atacantes se adaptan. Cuando los estafadores se dan cuenta de que una empresa protege su dominio exacto con p=reject, registran dominios con errores tipográficos (como skytlcket-support.jp o muji-rewards-app.com). Dado que el atacante es propietario del dominio similar, sus registros SPF y DKIM superarán técnicamente las comprobaciones de autenticación.

Para abordar esta cuestión es necesario llevar a cabo un seguimiento por niveles:

1. Aplicación del dominio exacto mediante DMARC para proteger los canales de envío principales.
2. Información sobre amenazas relacionadas con los dominios para detectar dominios falsos que se parecen a los auténticos antes de que pongan en marcha sus campañas.

Comprender estas carencias es fundamental para las empresas de la región. Según los datos sobre la adopción de DMARC en Japón, muchas organizaciones líderes publican registros DMARC, pero dejan las políticas configuradas en p=none. Una política p=none solo supervisa el tráfico, sin impedir que los correos electrónicos falsificados lleguen a las bandejas de entrada de los usuarios. Para conocer con más detalle los estándares de implementación a nivel nacional, consulta nuestro análisis sobre DMARC en Japón.

PowerDMARC ayuda a las organizaciones a automatizar la implementación de SPF, DKIM y DMARC, al tiempo que les permite pasar de forma segura a una aplicación estricta de la política «p=reject». Más allá de la gestión de protocolos, PowerDMARC ofrece un enrutamiento automatizado de alertas y la detección de dominios similares para impedir la suplantación de identidad a través de variantes de typosquatting.

Qué deben hacer los clientes afectados

Si tienes una cuenta activa o anterior en Skyticket, la aplicación de MUJI u otros servicios afectados por la oleada de octubre, toma las siguientes precauciones:

• Evita los enlaces incrustados: No hagas clic en las URL que aparezcan en los correos electrónicos relacionados con alertas de cuenta, reembolsos o actualizaciones del sistema. Abre un navegador y accede directamente al sitio web oficial, o utiliza la aplicación móvil oficial.
• Familiarízate con las señales de alerta: Revisa las señales de alerta más comunes señales de alerta de los mensajes de phishing , como la urgencia artificial, las direcciones de remitente que no coinciden y los archivos adjuntos inesperados.
• Revisa los mensajes sospechosos: Si un correo electrónico te parece sospechoso, analiza los encabezados con un herramienta de detección de correos de phishing antes de interactuar con su contenido.
• Cambia las contraseñas compartidas: Skyticket ha confirmado que 4,13 millones de registros de usuarios contenían contraseñas cifradas mediante hash. Si has utilizado tu contraseña de Skyticket en cualquier otra plataforma, actualiza esas cuentas inmediatamente con contraseñas únicas y activa la autenticación multifactorial (MFA).
• Comprueba las direcciones similares: Antes de introducir tus datos de acceso en cualquier página, comprueba que el dominio coincida con la dirección web real de la empresa. Utiliza un herramienta de comprobación de dominios similares para confirmar si una URL desconocida pertenece realmente a la empresa.
• Supervisa tus cuentas financieras: Revisa minuciosamente los extractos bancarios y de las tarjetas de crédito para detectar microcargos no autorizados o actividades de reembolso sospechosas.

Lecciones para las empresas

Las revelaciones de octubre ofrecen conclusiones fundamentales para los responsables de seguridad que gestionan aplicaciones orientadas al cliente y comunicaciones digitales:

• Aplicar una política rigurosa de eliminación de datos: Conservar datos antiguos genera una responsabilidad innecesaria. La filtración de datos de tarjetas de pago de Skyticket se debió a registros archivados en 2018, mientras que el número de registros de Muji ascendió a 27,26 millones porque los registros de antiguos miembros se conservaron mucho tiempo después de la cancelación de sus cuentas. Elimina periódicamente las cuentas inactivas y borra las copias de seguridad obsoletas de la base de datos.
• Auditoría de los puntos finales administrativos: Ambos incidentes se debieron a vulneraciones en herramientas administrativas o en los back-ends de las aplicaciones, más que a ataques sofisticados al perímetro. Restrinja el acceso a los paneles de control administrativos mediante un acceso de red de confianza cero y una autenticación multifactorial (MFA) obligatoria respaldada por hardware.
• Subsanar las vulnerabilidades de las aplicaciones públicas: La plataforma de reserva de autobuses de Skyticket dejó al descubierto 12 000 itinerarios porque las páginas de finalización de pedidos no aplicaban comprobaciones de sesión de usuario. Integrar pruebas continuas de la API y revisiones del control de acceso en los procesos de implementación de CI/CD.
• Aplica DMARC antes de que se produzca un incidente: Establecer un política «p=reject» antes de que se produzca una brecha de seguridad garantiza que los atacantes no puedan suplantar tu dominio concreto para engañar a los clientes durante las comunicaciones de crisis.
• Establecer canales de notificación transparentes: Publica las direcciones de envío verificadas y unas políticas claras en las que se especifique lo que tus equipos de atención al cliente nunca te pedirán (como números de tarjeta de crédito o códigos PIN bancarios por correo electrónico).

Preguntas frecuentes

¿Qué datos se filtraron en la brecha de seguridad de Skyticket?

El incidente principal afectó a unos 14,64 millones de registros, que contenían nombres, fechas de nacimiento, direcciones de correo electrónico, números de teléfono, direcciones y 4,13 millones de contraseñas con hash. Además, una copia de seguridad en la nube sin cifrar dejó al descubierto 32 341 datos de reembolsos bancarios, 118 000 registros de seguros de viaje y registros de pago antiguos que contenían datos de tarjetas de crédito de 6 140 usuarios Premium.

¿Se filtró información de tarjetas de crédito en la filtración de datos de Muji?

No. Ryohin Keikaku ha confirmado que no se vieron afectados los números de tarjetas de crédito, los nombres de los clientes, las direcciones postales ni los números de teléfono. La filtración de la aplicación de MUJI se limitó estrictamente a las direcciones de correo electrónico, las fechas de nacimiento y los datos sobre el sexo de hasta 27,26 millones de cuentas activas y cerradas.

¿Cómo puedo saber si un correo electrónico de Skyticket o Muji es auténtico?

Comprueba con atención el dominio del remitente y fíjate en si los mensajes recibidos incluyen firmas digitales oficiales. Las notificaciones legítimas de las empresas nunca te pedirán por correo electrónico tu PIN bancario, tu contraseña ni los datos de tu tarjeta de crédito. En caso de duda, accede directamente a la página web oficial de la marca en lugar de hacer clic en los enlaces que aparecen en los mensajes.

¿Por qué las filtraciones de datos provocan un aumento de los casos de phishing?

Las bases de datos de correo electrónico expuestas proporcionan a los estafadores listas específicas de destinatarios que son clientes confirmados de la marca. Los atacantes se aprovechan de esta situación para crear mensajes falsos muy convincentes sobre verificaciones de cuentas, indemnizaciones por filtraciones o cancelaciones de reservas, lo que aumenta considerablemente la probabilidad de que los destinatarios caigan en la trampa.

¿Puede DMARC impedir el phishing relacionado con filtraciones de datos?

Configurar DMARC con el valor p=reject impide por completo que los atacantes envíen correos electrónicos utilizando el dominio exacto de la empresa en el encabezado visible «De». Sin embargo, DMARC no puede bloquear los correos electrónicos enviados desde dominios similares o que aprovechan errores tipográficos, lo que requiere una supervisión de dominios e inteligencia sobre amenazas a la marca.

Reflexiones finales

Las filtraciones de seguridad ocurridas en octubre de 2026 en Skyticket y Muji ponen de manifiesto cómo las brechas digitales provocan una crisis inmediata que se desarrolla en dos fases. Si bien la protección de los servidores, la eliminación de copias de seguridad obsoletas y la corrección de las vulnerabilidades del back-end de las aplicaciones resuelven la primera fase, la protección de los canales de comunicación con los clientes se encarga de la segunda.

Cuando los ciberdelincuentes utilizan como arma las listas de correo electrónico robadas, las organizaciones deben asegurarse de que sus dominios no puedan utilizarse en contra de sus propios clientes. La implementación de DMARC con un nivel de aplicación máximo impide la suplantación directa de dominios y restablece la confianza en las comunicaciones corporativas.

Evalúa hoy mismo el estado de seguridad de tu dominio: utiliza nuestro Analizador de dominios para revisar tus registros SPF, DKIM y DMARC y asegurarte de que tu marca sigue protegida.