Good Smile Company: datos de tarjeta de 2.800 clientes en riesgo

Good Smile Company ha confirmado que los datos de tarjeta de crédito introducidos por hasta 2.800 clientes en su tienda oficial en línea pueden haber sido robados. En su tercer comunicado sobre el incidente, la empresa explica que se instaló un programa malicioso en la página de pago con tarjeta.

Cómo ocurrió

Un tercero accedió sin autorización entre el 19 y el 22 de octubre y consultó información de usuarios en varias ocasiones. Desde las 13:55 del 21 de octubre hasta el cierre del sitio a las 7:00 del 23 de octubre (hora local), el programa permaneció en la página de pago. No se descubrió hasta el 28 de octubre. La tienda está cerrada desde el 23.

La vulnerabilidad aprovechada, que según la compañía no estaba en PHP, ya está corregida y se ha reforzado la seguridad. El caso se notificó a la Comisión de Protección de Información Personal de Japón y se informará a las empresas de tarjetas y a los procesadores de pago. No hay fecha de reapertura.

A quién afecta

Para esos hasta 2.800 usuarios, los datos en riesgo son el nombre del titular, el número completo de 16 dígitos, la fecha de caducidad y el código de seguridad. Solo 384 completaron un pedido con tarjeta. El resto intentó pagar sin terminar, añadió productos al carrito tras iniciar sesión o cambió su tarjeta después de una reserva (185 usuarios). La empresa considera poco probable la filtración en quienes no llegaron a pagar, pero su sistema no registra esas acciones, así que contactó a todos de forma individual. También podrían verse afectados quienes intentaron sin éxito cambiar la tarjeta tras un pedido.

Además, pueden haberse filtrado los últimos cuatro dígitos y la caducidad de hasta 402.466 tarjetas registradas. La empresa asegura que no se expusieron nombres, códigos de seguridad ni datos de miembros asociados.

También podrían haberse visto los pedidos de hasta 7.673 clientes que compraron el 22 de octubre entre las 22:20 y las 23:00 aproximadamente; se confirmaron 202 pedidos consultados. Los datos incluyen nombre, dirección, teléfono, correo, contenido, importe y método de pago.