Qué pasó
El 8 de octubre de 2026, Lawson, una de las tres mayores cadenas de tiendas de conveniencia de Japón, anunció que se filtraron datos personales de 2.155.345 registros de Lawson ID (la cuenta única usada en su app y servicios) tras un acceso no autorizado. Otros 26 registros del servicio Lawson App Reservas (encargos de temporada, como pasteles de Navidad) también quedaron expuestos.
Según la empresa, los accesos ocurrieron entre el 12 y el 14 de septiembre (Lawson ID) y el 17 de septiembre (Reservas), pero solo se descubrieron en una investigación el 7 de octubre, más de tres semanas después.
Qué se filtró
- Lawson ID (2.155.345): nombre y correo. Para quienes rellenaron datos en promociones y sorteos, también sexo, teléfono, dirección y preferencias de boletín.
- App Reservas (26): nombre, teléfono y parte del número de tarjeta de crédito.
- Según la prensa japonesa, no se filtraron contraseñas, y hasta el anuncio no se había confirmado uso indebido.
Cómo ocurrió
Lawson explica que la causa fue el uso indebido de un sistema vinculado a la app: el mecanismo de seguridad que debía mostrar información solo al propio usuario fue accedido por terceros, que obtuvieron datos de otras personas. La empresa no detalló la técnica ni la vulnerabilidad.
En la práctica, recuerda una clase de fallo muy común en apps: la autorización a nivel de objeto rota (BOLA/IDOR), cuando la API devuelve datos de cualquier ID sin comprobar que pertenece a quien lo pide. Atención: es una interpretación nuestra, no una confirmación de Lawson.
La empresa afirma que no hubo otros accesos ni infección por malware. Por separado, a finales de septiembre, el servidor de correo interno de Lawson fue abusado para enviar mensajes sospechosos; según la prensa, no hay relación confirmada entre ambos.
Respuesta
- Bloqueo de los orígenes de acceso sospechosos y suspensión de la función de reservas de la app.
- Notificación a la Comisión de Protección de Información Personal (PPC) de Japón.
- Aviso individual por correo desde lawson_id@mailservice.lawson.jp.
Qué deben hacer los clientes
- Desconfíe de correos, SMS y llamadas que mencionen a Lawson o la filtración, sobre todo con enlaces o peticiones de datos.
- Compruebe que el mensaje viene del remitente oficial y acceda preferiblemente por la app o la web.
- Si hizo reservas, revise el extracto de su tarjeta.
Lecciones para empresas con apps
- Toda API que devuelve datos personales debe comprobar a quién pertenecen, en cada petición.
- Vigile volumen y patrones: millones de registros extraídos en tres días son una anomalía visible.
- Reduzca el tiempo de detección: tres semanas entre ataque y descubrimiento es demasiado.
- Recoja menos datos en promociones; lo que no existe no se filtra.
Japón vive una racha de filtraciones en octubre (skyticket, Yakiniku King, Daiichikosho, Bookoff), lo que hace más urgente revisar las API de apps de consumo.
Fuentes
- Lawson, aviso oficial (8/10/2026): https://www.lawson.co.jp/contents/cont07/1533174_3310.html
- ITmedia NEWS: https://www.itmedia.co.jp/news/article/2610/09/2000002148/
- Business+IT: https://www.sbbit.jp/article/cont1/187372
¿Quiere revisar la seguridad de las API de su app? KGA IT ofrece una consulta gratuita: kga-it.com.