Las posibles filtraciones de datos en Japón superan los 165 millones de registros y las empresas revelan brechas más amplias

Millones de registros expuestos en servicios de uso cotidiano

La información personal que podría haberse filtrado por accesos no autorizados en Japón durante 2026 supera los 165 millones de registros, según un recuento de la empresa de seguridad Macnica. Las filtraciones abarcan viajes en tren, compras, karaoke, software, entrega de paquetes y uso compartido de automóviles, e incluyen información de personas que ya habían cerrado sus cuentas.

Sourcenext anunció el 15 de octubre que podrían haberse filtrado 22.519.960 registros de clientes. Adventure, que opera el sitio web de reservas de viajes Skyticket, informó de una posible brecha que afectaría a unos 14,64 millones de registros. Más tarde, Yamato Transport identificó 5,31 millones de registros afectados vinculados a su servicio de pago diferido.

La cifra de 165 millones acumula datos personales de varios incidentes. Por tanto, una persona cuya información figure en varios servicios afectados puede contabilizarse más de una vez. El total también incluye posibles filtraciones, además de casos en los que las empresas han identificado información comprometida.

Una investigación más detallada de Macnica sobre un patrón específico de brechas en sitios web registró 119 divulgaciones públicas hasta el 6 de octubre, cifra que ya superaba las 84 de todo 2025. De esas 119 divulgaciones, 81 se produjeron a partir de julio.

La Agencia de Promoción de las Tecnologías de la Información de Japón, conocida como IPA, emitió una alerta urgente el 9 de octubre y pidió a los directivos de las empresas que revisaran los servicios conectados a internet, las cuentas y los datos almacenados. Sus recomendaciones relacionan dos tareas inmediatas: detectar a los intrusos y reducir la cantidad de información personal que podrían robar.

Las consecuencias para los clientes dependen de la información que almacenaba cada servicio. Algunas bases de datos afectadas contenían datos de contacto. Otras podrían haber incluido contraseñas, información de tarjetas de crédito o imágenes de documentos de identidad. Las divulgaciones también muestran cómo un ataque contra un proveedor puede afectar a los clientes de varias empresas a la vez.

Qué contabilizó Macnica y por qué importa el aumento

El análisis de brechas en sitios web de Macnica examinó 265 incidentes divulgados públicamente que afectaron a organizaciones nacionales entre enero de 2024 y el 6 de octubre de 2026. El recuento anual pasó de 62 en 2024 a 84 en 2025 y a 119 durante el periodo incompleto de 2026.

La cifra de 2026 ya superaba en 35 incidentes, o cerca del 42 %, el total del año anterior. Las 81 divulgaciones a partir de julio representaban aproximadamente el 68 % del total anual y cerca del 31 % de los 265 incidentes examinados.

Yutaka Sejiyama, del Centro de Investigación de Seguridad de Macnica, preparó el análisis de las divulgaciones públicas. Motohiko Sato, de Itochu Cyber & Intelligence, y Yosuke Hasegawa, director de tecnología de Secure Sky Technology, contribuyeron al análisis de los ataques.

Los investigadores seleccionaron incidentes que, a su juicio, compartían características similares. Su conjunto de datos excluye los ataques de ransomware y algunos otros patrones, entre ellos los intentos de acceder a cuentas de clientes con contraseñas robadas de servicios no relacionados. Cuando varios clientes informaron de daños causados por un solo incidente en un proveedor compartido, los investigadores contabilizaron una sola vez el incidente del proveedor.

Las divulgaciones más amplias de empresas que se describen a continuación también incluyen incidentes de ransomware. Por ello, los lectores deben distinguir dos medidas: la cantidad de información de clientes que podría haberse expuesto y el número de incidentes específicos en sitios web que Macnica siguió en su investigación técnica.

Qué empresas informaron de las mayores exposiciones

Sourcenext dijo que la información posiblemente afectada incluía nombres, direcciones, números de teléfono, lugares de trabajo, direcciones de correo electrónico y contraseñas. La empresa de software detectó el 13 de octubre un acceso no autorizado a su sistema de información de miembros y anunció dos días después la posible exposición.

Adventure informó de ataques a sus servidores y al sistema de gestión empresarial de Skyticket, que podrían haber afectado a unos 14,64 millones de registros de información personal. La empresa dijo que no se habían filtrado números de tarjetas de crédito ni de pasaportes.

Daiichikosho, operadora de la cadena de karaoke Big Echo, dijo que podrían haberse expuesto unos 8,72 millones de registros personales a través de un sistema gestionado por un proveedor externo. El incidente estuvo relacionado con un programa malicioso en la empresa subcontratada.

JR East dijo que podrían haberse comprometido unos 6,09 millones de cuentas de clientes, mientras que JR Kyushu situó su posible exposición en unos 1,3 millones de cuentas. Ambas empresas relacionaron las brechas con un ataque de ransomware contra IDC Frontier, una filial de servicios en la nube de SoftBank. En conjunto, las cifras divulgadas suman unos 7,39 millones de cuentas.

Bookoff Group Holdings informó inicialmente de una posible exposición que afectaría a un máximo de 6,43 millones de clientes, tras un acceso no autorizado en su filial encargada de gestionar los datos de sus miembros. Una descripción posterior situó la información filtrada en unos 6,38 millones de personas, incluidas aproximadamente 210.000 que habían sido miembros.

Lawson informó de un acceso no autorizado a más de 2,15 millones de registros de clientes, que podrían incluir nombres, direcciones de correo electrónico e información de tarjetas de crédito. Uzabase, operadora de NewsPicks, dijo que parte de la información de los usuarios podría haberse expuesto tras un acceso no autorizado a una herramienta de gestión.

Lawson, Daiichikosho y Uzabase dijeron que, en el momento de sus anuncios, no habían confirmado ningún uso ilícito de los datos. Las empresas ferroviarias, Bookoff y Adventure también dijeron que no habían encontrado indicios de uso indebido por parte de terceros y pidieron a los clientes que estuvieran atentos a correos electrónicos y llamadas telefónicas sospechosos.

Se vieron afectados registros de entrega, herramientas de desarrollo y escuelas

Yamato Transport dijo el 16 de octubre que se habían comprometido 5,31 millones de registros de información personal de algunos usuarios de su servicio de pago diferido. La empresa había anunciado la brecha el 29 de septiembre.

La información afectada incluía nombres, direcciones y números de teléfono recopilados desde el 1 de octubre de 2018, durante un periodo de unos ocho años. El largo periodo de recopilación muestra cómo una sola intrusión puede exponer información acumulada durante muchos años de actividad de los clientes.

Nikkei Inc. informó de unos 1,83 millones de registros comprometidos, incluidos nombres, direcciones y direcciones de correo electrónico, tras un acceso no autorizado a un servicio en la nube utilizado para el desarrollo de sistemas. Los servicios de desarrollo se utilizan para crear o mantener software, lo que sitúa otra parte del entorno tecnológico de una empresa al alcance de los atacantes.

El Ministerio de Educación de Japón también dijo que ocho centros educativos, en su mayoría universidades, habían informado de brechas desde finales de septiembre hasta el jueves anterior a las últimas divulgaciones. La investigación de Macnica identificó servicios afectados tan diversos como búsquedas en catálogos de bibliotecas, reservas de trenes turísticos, reservas de alojamiento universitario y gestión de reembolsos de entradas.

Cómo se produjeron las divulgaciones

Varios incidentes se hicieron públicos con pocas semanas de diferencia, mientras continuaban las investigaciones para establecer el alcance de la información afectada. El caso de Sourcenext ofrece detalles especialmente precisos sobre la intrusión y la respuesta de la empresa.

• 29 de septiembre: Yamato Transport anunció por primera vez su brecha. Park24 informó a finales de septiembre de una brecha en sus datos de uso compartido de automóviles.
• 6 de octubre: el cierre de datos de la investigación de Macnica registró 119 divulgaciones seleccionadas de brechas en sitios web durante 2026.
• 8 de octubre: Macnica añadió una referencia a una alerta relacionada de JPCERT/CC, la organización japonesa de respuesta a incidentes de seguridad informática.
• 9 de octubre: IPA publicó sus recomendaciones de inspección urgente. JR East, Bookoff, Daiichikosho y Adventure estuvieron entre las empresas cuyas divulgaciones se hicieron públicas ese día. Sourcenext determinó posteriormente que la intrusión había comenzado alrededor de las 10:00 del 9 de octubre.
• 13 de octubre: Sourcenext detectó el acceso no autorizado alrededor de las 9:00 y tomó medidas de emergencia para bloquearlo esa misma tarde.
• 15 de octubre: Sourcenext anunció la posible exposición de 22.519.960 registros.
• 16 de octubre: Yamato detalló los 5,31 millones de registros afectados, Nikkei informó de su brecha y Park24 anunció que planeaba terminar de eliminar las imágenes de documentos de identidad antes de fin de mes.

La cronología de Sourcenext sitúa el inicio del acceso no autorizado casi cuatro días antes de que se detectara. Las instrucciones de IPA de revisar la actividad reciente y luego ampliar la búsqueda a un periodo anterior responden precisamente a la necesidad de reconstruir lo sucedido antes de que se activara una alerta.

Los atacantes buscaron vulnerabilidades en servicios completos

El análisis técnico de Macnica describe cómo los atacantes examinaban sitios web individuales y sus interfaces de programación de aplicaciones, o API. Una API es un canal por el que una aplicación o un sitio web solicita información a otro sistema o le indica que realice una tarea.

Los investigadores observaron vulnerabilidades como API que devolvían más información de la necesaria, funciones con permisos excesivos y funciones destinadas a miembros que podían utilizar visitantes anónimos. Otros problemas estaban relacionados con las sesiones de inicio de sesión, las reglas de procesamiento y la configuración de acceso.

Algunos atacantes examinaron aplicaciones móviles para extraer claves de API, credenciales que se utilizan al comunicarse con un servicio. Después usaron esas claves para realizar solicitudes que parecían tráfico normal. Los investigadores también observaron contraseñas débiles de administrador y la explotación de vulnerabilidades de software conocidas.

El desafío práctico va más allá de instalar una sola actualización de software. Cada servicio puede necesitar controles propios para garantizar que el servidor verifique quién realiza una solicitud y qué registros puede recibir esa persona. También es necesario prestar mucha atención a las herramientas administrativas que permiten exportar grandes cantidades de información.

La mayoría de las divulgaciones ofreció pocos detalles sobre la causa

De los 81 incidentes seleccionados y divulgados a partir de julio, Macnica clasificó nueve como casos relacionados con vulnerabilidades en productos de software o herramientas asociadas, cuatro como casos de uso indebido de credenciales o ataques a contraseñas y tres como casos de fallas en la configuración de sitios o en los controles de acceso.

Las 65 divulgaciones restantes, cerca del 80,2 %, contenían muy pocas explicaciones para determinar la causa. Esto deja a otras organizaciones con información limitada sobre las vulnerabilidades que deberían buscar en sus propios sistemas.

Algunos anuncios describieron lo que hicieron los intrusos después de obtener acceso. Once incidentes implicaron la instalación o ejecución de programas no autorizados, nueve incluyeron la obtención o consulta de información mediante API o bases de datos y seis supusieron la creación de cuentas o claves de autenticación no autorizadas. Estas categorías se superponen, ya que un incidente puede incluir varias acciones.

Macnica también encontró al menos 25 divulgaciones a partir de julio que implicaban modificaciones de sitios web o usos indebidos, sin una preocupación específica por la filtración de información personal. Entre los ejemplos figuraban redirigir a los visitantes a sitios externos, mostrar alertas falsas, cambiar información de registro y hacer un uso indebido de servicios en la nube.

Los investigadores analizaron el posible uso de inteligencia artificial para repetir búsquedas en numerosos sitios web. No se han confirmado ni la intervención de la inteligencia artificial ni el propósito final de los atacantes. La actividad observada se centró en permisos de acceso, configuraciones, autenticación y vulnerabilidades conocidas. Una de las hipótesis que plantearon es que los nombres, los detalles de los servicios y las reservas recopilados podrían ayudar a los delincuentes a hacer más convincentes futuros mensajes de suplantación de identidad o llamadas fraudulentas.

Las brechas también afectaron a antiguos clientes

La brecha de Park24 afectó a unos 6,6 millones de registros de miembros, incluidos antiguos miembros, y a cerca de 1,6 millones de documentos de verificación de identidad, como imágenes de licencias de conducir. Times Car había conservado los documentos de identidad durante siete años después de que los clientes cancelaran sus membresías.

Park24 dijo el 16 de octubre que planeaba terminar de eliminar las imágenes de documentos de identidad antes de fin de mes. Su respuesta fija un plazo concreto para un asunto que también planteó IPA: las empresas deben evaluar si todavía necesitan los datos que conservan.

Los aproximadamente 210.000 antiguos miembros de Bookoff representaban cerca del 3,3 % de las 6,38 millones de personas identificadas en la descripción posterior de la filtración. Charm, una tienda de productos para mascotas, también dijo que se habían filtrado la mayoría de los cerca de 25.000 registros de antiguos clientes.

Por tanto, cerrar una cuenta puede dejar expuesto a un cliente durante años si la empresa conserva los registros correspondientes. Los datos de contacto pueden ayudar a los delincuentes a hacerse pasar por un servicio conocido, mientras que las contraseñas y las imágenes de documentos de identidad generan riesgos adicionales. Macnica recomienda revisar los registros innecesarios, incluidos datos personales imprevistos acumulados en campos de notas, y retirar las claves de API cuando se cierra un servicio.

Qué pide IPA que revisen ahora las organizaciones

La alerta del 9 de octubre de IPA pide inspecciones urgentes de las aplicaciones expuestas a internet, los servicios externos y las cuentas, así como de la información almacenada. La agencia atribuye esta responsabilidad a los directivos de las empresas, especialmente cuando estas gestionan grandes cantidades de datos personales o sensibles.

En el caso de las aplicaciones, IPA recomienda revisar los registros recientes, que son los historiales de actividad que conservan los sistemas, y comprobar que no falten parches de seguridad. Las investigaciones deberían comenzar con el último mes y luego ampliarse a tres meses, en busca de volúmenes inusuales de errores y cambios con respecto a la actividad normal.

En cuanto a los servicios externos, incluidos los servicios en la nube y de VPN, las empresas deberían hacer una lista de los que utilizan la organización y cada departamento. También deberían determinar durante cuánto tiempo se conservan los registros, quién puede consultarlos y si el proveedor almacena registros que el cliente no puede ver directamente.

Las revisiones de cuentas deberían buscar usuarios desconocidos y cuentas que hayan vuelto a estar activas pese a haber sido deshabilitadas o eliminadas. También deben vigilarse los horarios y lugares de inicio de sesión inusuales y los repetidos intentos fallidos. IPA recomienda tratar los registros o las cuentas anómalos como un incidente de seguridad y solicitar una investigación especializada.

Entre las recomendaciones relacionadas de Macnica figuran comprobar que las API apliquen los permisos en el servidor, retirar los secretos integrados en las aplicaciones, proteger las cuentas de administrador con varios pasos de autenticación y restringir el acceso a las funciones de gestión. La supervisión también requiere una respuesta humana clara: alguien debe revisar las alertas, contactar a las personas adecuadas e iniciar una investigación.

IPA está preparando un sistema de evaluación de seguridad para las cadenas de suministro, conocido como esquema de evaluación SCS, cuyo lanzamiento está previsto para marzo de 2027. Sus criterios comunes de evaluación buscan ayudar a clientes y proveedores a comprender las condiciones de seguridad en las empresas que comparten información.

También se registraron incidentes similares fuera de Japón

Macnica identificó 99 incidentes similares en 13 países y territorios, principalmente entre julio y septiembre de 2026. Corea del Sur registró 30, Francia 11 y Polonia ocho.

Los casos de Corea del Sur afectaron a sitios web y API de compras, reservas, educación y ayudas financieras. Esa variedad se parece a la gama de servicios mencionados en las divulgaciones de Japón.

Las leyes y prácticas de divulgación influyen en cuántos incidentes se hacen públicos en cada país. Macnica describió a Japón como un país destacado en su investigación, pero dejó abierta la posibilidad de que los atacantes se estuvieran centrando específicamente en ese país.

En los casos de Japón, las prioridades inmediatas son concretas: detectar actividades no autorizadas, proteger el acceso a la información de los clientes y eliminar los registros que ya no sea necesario conservar. Los incidentes relacionados con proveedores y la exposición de antiguos miembros muestran por qué ese trabajo debe abarcar más que el sitio web principal de una empresa y su lista de clientes actuales.

Puntos clave

• El recuento de Macnica sitúa en más de 165 millones los registros de información personal que podrían haberse filtrado por accesos no autorizados en 2026. Una misma persona puede contabilizarse varias veces si utiliza distintos servicios.
• La investigación más específica de sitios web registró 119 divulgaciones hasta el 6 de octubre, incluidas 81 a partir de julio.
• Sourcenext informó de 22.519.960 registros posiblemente afectados; Adventure informó de unos 14,64 millones.
• Las brechas en proveedores afectaron a clientes de grandes empresas, mientras que los registros conservados expusieron a antiguos miembros de Park24, Bookoff y Charm.
• IPA pidió revisar urgentemente los registros, los parches, las cuentas, los servicios externos y los datos almacenados.
• Park24 planeaba terminar de eliminar las imágenes de documentos de identidad antes de fin de octubre. Está previsto que el sistema de evaluación de seguridad de la cadena de suministro de IPA comience en marzo de 2027.