Qué pasó
El 9 de octubre de 2026, Resorttrust, operadora japonesa de hoteles y resorts por membresía (con marcas como Baycourt Club y XIV) que también ofrece servicios de salud a sus socios, informó de que un acceso no autorizado a su sitio web provocó una filtración de datos personales:
- unos 26.000 registros de socios del grupo;
- unos 36.000 registros de reservas de The Kahala Hotel & Resort Yokohama.
Qué no se filtró
Según el comunicado, los datos no incluyen historial de uso, información médica, datos de tarjetas de crédito, cuentas bancarias, direcciones de correo ni documentos de identidad. Es relevante porque el grupo también trabaja en chequeos médicos, donde una filtración sería mucho más grave.
En su comunicado a inversores, la empresa no detalló qué campos exactos se expusieron ni cómo entraron los atacantes. La investigación continúa.
Respuesta de la empresa
- Trabajo con especialistas externos en seguridad para identificar la causa.
- Corrección de la vulnerabilidad en los sistemas afectados, monitorización reforzada y revisión de privilegios de acceso.
- Contacto individual con los afectados, con disculpas y explicaciones.
- Reconstrucción del marco de seguridad de la información en todo el grupo.
- El impacto financiero aún se desconoce y se comunicará si aparece.
Contexto: una semana difícil en Japón
El caso se suma a una serie de filtraciones anunciadas en Japón a principios de octubre, como Lawson, Bookoff, skyticket y el ransomware en la nube de IDC Frontier. Un patrón común: sitios y apps de cara al cliente, expuestos a internet, con fallos que permiten extraer datos en volumen.
Qué deben hacer los clientes
- Desconfíe de correos, SMS y llamadas que mencionen su reserva o membresía, aunque tengan datos correctos. Los datos filtrados se usan para estafas convincentes.
- Confirme cualquier contacto por los canales oficiales de la empresa.
- Nunca dé contraseñas ni datos de tarjeta por teléfono o mediante un enlace recibido.
Lecciones para empresas
- Inventaríe todo lo expuesto a internet: webs de reservas, áreas de socios, sistemas antiguos.
- Haga pruebas de penetración periódicas en aplicaciones web, no solo en la red.
- Aplique el mínimo privilegio: el sitio web no debería poder leer bases completas de clientes.
- Guarde registros de acceso suficientes para responder rápido "qué salió y de quién".
Fuentes
- Japan IR, comunicado de Resorttrust (9/10/2026): https://japanir.jp/en/company/company-4681/ir/4681-20261009-01_wp_disclosure_update/
¿Necesita revisar la seguridad de sus sitios web y sistemas de clientes? KGA IT ofrece una consulta gratuita: kga-it.com.