Qué pasó
El 6 de octubre de 2026, Mr Max Holdings (Bolsa de Tokio Prime: 8203), cadena de tiendas de descuento de Fukuoka, informó de un acceso no autorizado a los servidores de la app MrMax y su tienda online, con fuga de datos personales.
Cronología
- Sábado 3 de octubre, por la noche: se detecta acceso sospechoso; ese día se suspenden los servicios.
- El atacante entró abusando de una función del software de los servicios.
- 6 de octubre: aviso público; reportado a la PPC japonesa y a la policía.
Qué se filtró
- Hasta 1.735.154 miembros de la app y la tienda online.
- ID de miembro, nombre, correo y teléfono.
- No se filtraron direcciones, fechas de nacimiento, tarjetas, contraseñas ni historial de compras.
No se ha confirmado uso indebido. Los avisos llegarán desde noreply@mrmax.jp.
Lo que no se sabe
No se ha identificado el software abusado ni si hubo ransomware; nadie ha reivindicado el ataque.
Por qué importa
Nombre + correo + teléfono de 1,7 millones de clientes alimentan phishing y smishing. "Abuso de una función" suele indicar paneles, APIs de exportación o funciones expuestas.
Qué hacer
- Clientes: desconfíen de mensajes en nombre de MrMax y nunca den contraseñas ni tarjetas.
- Empresas: inventarien funciones administrativas expuestas, exijan VPN y MFA.
- Monitoreen lecturas anómalas de datos.
- Minimicen datos.
Fuentes
- Mr Max Holdings, TDnet notice (2026-10-06): https://fs2.magicalir.net/tdnet/2026/8203/20261006546325.pdf
¿Quiere revisar la seguridad de su app o tienda online? KGA IT ofrece una consulta gratuita: kga-it.com.