7NOW de Seven-Eleven: filtrados más de 160.000 datos de clientes

Qué datos se vieron afectados

Pickgo permite a las empresas elegir entre conductores registrados a quienes cumplan ciertas condiciones y encargarles envíos. Lo usan numerosas compañías, entre ellas grandes como Seven-Eleven y Demae-can.

En 7NOW se obtuvieron 164.180 nombres de destinatarios (en katakana). En 4.762 casos el nombre iba junto a la dirección y en 209, además, con teléfono y código postal. Algunos registros incluían también la fecha del pedido, el nombre y la dirección de la tienda y los productos pedidos.

Según la empresa, no se filtraron datos de tarjetas de crédito, ni identificadores ni contraseñas. 7NOW funciona con normalidad.

En Demae-can se obtuvieron 799 nombres, 794 direcciones (hasta el número de la calle) y 33 teléfonos con código postal, además de nombres, direcciones y teléfonos de tiendas, notas de pedido, nombres de productos y desgloses de precios.

Cronología y medidas

CBcloud detectó el acceso el 1 de noviembre. El día 3 se confirmó que también había datos de 7NOW y se avisó a Seven-Eleven. Ninguna de las dos compañías ha constatado filtración ni modificación de credenciales o ajustes de integración.

CBcloud bloqueó las comunicaciones del atacante, suspendió las cuentas utilizadas de forma indebida y corrigió el fallo explotado. Además, limitó algunas funciones y los accesos desde fuera de Japón. Demae-can suspendió la conexión con CBcloud el 2 de noviembre hacia las 14:00 y la reanudó sobre las 21:00 tras la corrección y la revisión de las comunicaciones.

El caso muestra cómo la plataforma de un solo proveedor puede exponer a varias grandes marcas a la vez.