Si compraste una Nendoroid o una figma directamente en la tienda en línea de Good Smile Company entre el 21 y el 23 de octubre, revisa tu correo electrónico y el estado de tu tarjeta este fin de semana.
Good Smile ha confirmado que un programa malicioso estuvo en la página de pago con tarjeta de crédito de la Tienda en Línea de Good Smile Company desde las 13:55 JST del 21 de octubre hasta las 07:00 JST del 23 de octubre (aproximadamente de la 1:00 a.m. ET del 21 de octubre a las 6:00 p.m. ET del 22 de octubre). Según el aviso más reciente de la empresa, es posible que se hayan expuesto los datos completos de la tarjeta de hasta 2,800 clientes: el nombre del titular de la tarjeta, los 16 dígitos completos del número de la tarjeta, la fecha de vencimiento y el código de seguridad.
¡Es un CAMBIO GRANDE respecto a dónde comenzó todo esto!
Cuando Good Smile divulgó por primera vez el acceso no autorizado el 23 de octubre, y de nuevo cuando amplió ese aviso el 26 de octubre, la empresa dijo que los únicos datos de la tarjeta que podrían haber sido vistos eran la marca de la tarjeta, los últimos cuatro dígitos y la fecha de vencimiento. Dijo explícitamente que no se incluían números completos de tarjetas, nombres de titulares y códigos de seguridad. La tercera actualización del jueves invirtió eso, como informó Anime News Network. Las preguntas frecuentes de Good Smile indican que la tienda en sí todavía solo almacenaba los últimos cuatro dígitos y las fechas de vencimiento. Los datos completos fueron capturados por un programa malicioso que interceptó lo que los clientes escribían en la página de pago.
Good Smile conoció la intrusión el 23 de octubre, pero el programa de la página de pago no se dio a conocer hasta el 28 de octubre. La empresa afirma que el desarrollador que mantiene su tienda le alertó sobre la intrusión poco después de las 6:00 a.m. JST del 23 de octubre, y que retiró la tienda en línea a las 7:00 a.m. El programa de la página de pago se encontró poco después de las 6:30 p.m. JST del 28.
Los 2,800 incluyen 384 clientes que completaron un pedido con tarjeta durante la ventana, personas que introdujeron una tarjeta pero nunca terminaron de pagar, y 185 clientes que actualizaron la tarjeta en un pedido existente, según Good Smile. También envió correos electrónicos a los clientes que solo iniciaron sesión y añadieron artículos a sus carritos. La empresa cree que el grupo de esas tarjetas no estuvo expuesto, pero su sistema no puede distinguirlas de los pagos incompletos, así que todos recibieron la advertencia. Hay un grupo que no puede identificar en absoluto: cualquiera que haya comenzado a cambiar la tarjeta en un pedido durante esa ventana y no haya completado el cambio.
Más allá de los 2,800, el aviso indica que los últimos cuatro dígitos y las fechas de vencimiento de 402,466 tarjetas guardadas anteriormente podrían haber estado expuestos. Good Smile dice que no ha confirmado ninguna exposición de nombres ni de códigos de seguridad para esas tarjetas. La cuarta actualización del viernes también corrigió las cifras de pedidos. Good Smile dice que se consultó la información de 202 pedidos, de un total de 7,774 pedidos que no habían sido enviados, pertenecientes a 5,356 clientes a última hora de las 11:00 p.m. JST del 22 de octubre. Good Smile no puede determinar cuáles son esos 202, así que envió un correo a los 5,356. Esos datos cubren nombres de envíos y facturación, direcciones, números de teléfono, direcciones de correo electrónico, detalles de los pedidos, montos de los pedidos y si pagaste con tarjeta o PayPal. La actualización del jueves situó a ese grupo en 7,673 clientes que realizaron pedidos durante una ventana de aproximadamente 40 minutos el 22 de octubre.
La brecha afectó la tienda en línea principal de Good Smile Company, en goodsmile.com, que funciona en japonés, inglés y chino tradicional (la versión en inglés es la tienda que muchos coleccionistas estadounidenses utilizan) y ha estado fuera de servicio por mantenimiento desde el 23 de octubre. Good Smile afirma que Good Smile Company US, la Good Smile Company Europe Online Shop, Good Smile Company UK, su tienda Rakuten Ichiba y Nendoroid Face Maker operan en sistemas separados y no fueron afectadas. También dice que los datos de tarjetas para pedidos pagados a través de Amazon Pay o PayPal nunca se almacenaron en sus servidores.
En cuanto a cómo ocurrió, Good Smile dice que un atacante aprovechó una vulnerabilidad en una parte del sistema de la tienda para obtener privilegios de administrador. La empresa dice que no fue la vulnerabilidad de PHP de la que se habló recientemente. Ha corregido la vulnerabilidad, restablecido las credenciales de conexión entre sus sistemas internos y ha informado del incidente a la Comisión de Protección de Datos Personales de Japón, y tiene previsto informar a los emisores de tarjetas y a los procesadores de pagos a continuación. Aún no hay fecha de reapertura. Los pedidos existentes y los pre-pedidos que deben enviarse en octubre siguen en curso, y Good Smile dice que los pre-pedidos con error de pago no serán cancelados automáticamente.
¿Entonces qué debes hacer? Las preguntas frecuentes de Good Smile para los clientes afectados comienzan por tu bandeja de entrada. Busca un correo con el asunto «[Important] Possible Exposure of Credit Card Information Due to Unauthorized Access to Our Online Store and Request for Action» (importante)’. Si formas parte del grupo de datos de pedido, el asunto es «[Important] Notice and Apology Regarding Possible Exposure of Order Information Due to Unauthorized Access to Our Online Store» (nota y disculpa respecto a una posible exposición de información de pedidos debido al acceso no autorizado a nuestra tienda en línea)’. Good Smile también envió un aviso general a todos los miembros, incluidos exmiembros, así que recibir un correo por sí solo no significa que tu tarjeta haya sido afectada. El asunto te indica a qué grupo perteneces. Si recibiste el correo sobre la tarjeta, la empresa te pide que revises tus estados en busca de cargos que no reconozcas, llames al emisor de tu tarjeta usando el número que aparece en la parte posterior si encuentras alguno, y consideres solicitar la reemisión de la tarjeta.
Good Smile dice que no puede gestionar una tarjeta de reemplazo por ti, por lo que esa llamada debe venir del titular de la tarjeta. Afirma que está pidiendo a los emisores que no cobren tarifas por la reposición y que los cargos fraudulentos suelen tratarse conforme a las políticas de fraude de cada emisor. El resto de la gente también debe estar atenta a intentos de phishing. La empresa advierte que los datos filtrados podrían usarse en correos electrónicos, llamadas o mensajes de texto que pretendan ser Good Smile, un banco o una oficina gubernamental, y pide a los clientes que no respondan a remitentes desconocidos ni hagan clic en sus enlaces. Las preguntas deben hacerse a través del formulario de consulta de soporte de Good Smile, que funciona en un sistema separado de la tienda.
Los coleccionistas manejan MUCHO dinero de pre-ventas, a menudo con meses de antelación respecto al lanzamiento, y Good Smile ha publicado ahora cuatro avisos en ocho días, dos de ellos retractando cifras anteriores.
¡Los coleccionistas que leyeron esa primera frase de “sin números completos de tarjeta” y se relajaron son los que deben volver a revisar!
¿Qué opinas? ¿Recibiste alguno de los correos de Good Smile, y seguirás haciendo prepedidos a través de su tienda cuando vuelva a abrir?
También te podría interesar
- La tienda de Crunchyroll se vuelve de acceso exclusivo para miembros en agosto: estas son las fechas que los suscriptores de la categoría Fan deben conocer
- El mejor NetRunner de Night City recibe una estatua limitada de Prime 1 Studio basada en Cyberpunk: Edgerunners
- Tapas cierra el 31 de marzo de 2027, y los capítulos comprados se quedan con la plataforma
