Solo efectivo: un ciberataque deja a 400 tiendas de todo el país «en la Edad de Piedra»

La cadena de tiendas abiertas las 24 horas Circle K informó sobre una interrupción en sus sistemas en Hong Kong que durante varios días paralizó de facto las operaciones de casi 400 establecimientos. A causa del incidente se desactivaron los pagos electrónicos, el correo corporativo y el programa de fidelización, lo que obligó al minorista a recurrir temporalmente a métodos de pago limitados. Las tiendas permanecen abiertas, pero los clientes solo pueden pagar en efectivo o con la tarjeta sin contacto Octopus, muy utilizada en la región.

La compañía indicó que no descarta la hipótesis de un ciberataque. En un comunicado publicado el lunes en la página oficial de Circle K en Facebook, se señaló que los especialistas tomaron medidas rápidamente para proteger los datos de clientes, empleados y proveedores, y que además se contactó a la policía y a expertos externos en informática forense para esclarecer las causas, el alcance y las consecuencias de la falla. Circle K afirmó que en este momento la prioridad es el reinicio seguro de los servicios clave.

Los problemas se manifestaron por primera vez el pasado fin de semana. En los escaparates de algunas tiendas, incluido el popular distrito comercial Causeway Bay, aparecieron carteles anunciando la suspensión de las operaciones sin efectivo debido a una «falla de red». A fecha del 23 de septiembre, los clientes en redes sociales seguían quejándose masivamente de la imposibilidad de usar los puntos acumulados y los cupones cuyo periodo de validez había expirado, y exigían a la empresa que ampliara su uso. Sin embargo, desde el minorista no se habían publicado actualizaciones oficiales tras el comunicado del 22 de septiembre.

Circle K Hong Kong pertenece a la corporación canadiense Alimentation Couche-Tard, que opera tiendas homónimas en Norteamérica y otros países. El antiguo propietario de la marca en la región — Convenience Retail Asia (CRA), que la licenció ya en la década de 1980 y transfirió el control a Couche-Tard en 2020 — también informó de problemas de red el lunes. CRA indicó que el incidente afectó a sus sistemas internos y notificó a la policía; sin embargo, se desconoce si ambos sucesos están relacionados.

Circle K ha sido objetivo de ciberdelincuentes en varias ocasiones en distintos países. En enero de 2025, el mayor franquiciado de la cadena en EE. UU., Gas Express, informó del robo de datos personales, incluidos nombres, números de seguro social y licencias de conducir. En el verano de 2024, un grupo de extorsionistas afirmó haber atacado la filial de Circle K en Atlanta. Un año antes, investigadores encontraron en la red un conjunto de datos expuesto que contenía datos parciales de tarjetas de pago, números de programas de fidelización y contactos de empleados. En esa ocasión la empresa se limitó a informar que la vulnerabilidad había sido corregida, sin más comentarios.