El robo de datos en So-net dejó al descubierto 2.585.481 registros de clientes en Japón. So-net, el proveedor de internet de Sony Network Communications, anunció el 27 de octubre que un tercero entró sin autorización en su base de datos de miembros el 19 de octubre, y el paquete sustraído incluye 54.401 contraseñas de correo que la empresa reinició el mismo día del anuncio.
Actualizado este 29 de octubre, el aviso oficial detalla el contenido con una frialdad que impresiona: nombres, teléfonos, direcciones de correo, fechas de nacimiento e identificadores de conexión. La contraseña de la cuenta de miembro quedó fuera del botín y las tarjetas de crédito también, porque la empresa no las almacena. Lo delicado es la combinación, porque con nombre, teléfono y fecha de nacimiento cualquier estafador arma un mensaje creíble en minutos.
El botín: dos servicios, cuatro buzones y 16 cuentas bancarias
De So-net salieron 2.141.986 registros: 1.869.771 de clientes activos y 272.215 de personas que cancelaron el servicio desde marzo de 2026, cuyos datos se conservan un tiempo para cerrar facturas y atender reclamaciones. Plala, en su modalidad S Course, aporta otros 443.495 registros, con 422.365 clientes activos y 21.130 antiguos. Los campos coinciden en ambos servicios: nombre, teléfono, correo, identificador de usuario, fecha de nacimiento, sexo y el identificador usado para conectarse a internet.
La parte delicada está en el correo. Cuatro servicios suman las 54.401 direcciones con su contraseña: Mail Service (G) aporta 24.655, A-Box suma 17.672, VAIO Mail agrega 7.005 y PostPet cierra con 5.069. El buzón básico gratuito incluido con la suscripción quedó fuera de esa lista, porque la empresa no identificó filtración de su contraseña. Quien se fue antes de finales de febrero de 2026 tampoco aparece en los registros afectados.
Las respuestas oficiales a clientes admiten el riesgo sin rodeos: quien obtuvo esas credenciales quedaba en posición de leer, enviar y recibir mensajes con un programa de correo o con el correo web de So-net. A ese botín se agregan 16 registros con datos bancarios —banco, sucursal, tipo y número de cuenta y nombre del titular— sin la clave secreta de la cuenta, que la empresa no guarda, y 7 notificaciones emitidas para restablecer contraseñas, ya inicializadas por la propia compañía.
Fechas clave y respuesta: del 19 al 27 de octubre
La entrada ocurrió el lunes 19 de octubre y la detección llegó el viernes 23. Ese día So-net detuvo el servidor señalado y cortó la comunicación desde el origen del ataque; al día siguiente, la investigación confirmó la salida de datos personales y fijó el alcance completo de la filtración. Cuatro días de ventaja para un intruso con acceso a una base de miembros explican buena parte del tamaño del botín.
El 27 de octubre llegaron juntas la disculpa pública y la medida de emergencia: la empresa inicializó las contraseñas de los 54.401 buzones afectados, y cada cliente debe crear una nueva para volver a usar su dirección. El caso quedó reportado ante la Comisión de Protección de la Información Personal de Japón, el organismo regulador de datos del país, y la empresa habilitó una línea telefónica especial de consultas para los afectados.
La causa raíz sigue bajo investigación y el aviso habla solo de acceso no autorizado de un tercero, sin describir la vía de entrada. Hasta el 27 de octubre la compañía no había identificado daños secundarios derivados del robo, y su aviso pide a los clientes no responder correos, mensajes de texto ni llamadas sospechosas, no abrir los enlaces del cuerpo del mensaje y no abrir archivos adjuntos.
Japón acumula brechas de correo y el patrón se repite
Este robo de datos de So-net no es un caso aislado en el archipiélago. En junio, KDDI reveló una brecha en la plataforma de correo compartida que opera para seis proveedores de internet: 12,23 millones de usuarios con direcciones expuestas, 7,6 millones de ellos con contraseñas guardadas en texto plano, cifras que confirmó el regulador japonés. Este mismo mes, Yumirink reveló el robo de unos nueve millones de registros y el servicio Blastmail, de Rakus, confirmó una exposición adicional ligada a 345 contratos.
La secuencia recuerda a la filtración de datos de Burger King en Japón, que expuso 11,18 millones de registros días atrás: primero salen nombres y contactos, después llegan los intentos de engaño con esos datos como guion. Un proveedor de internet concentra justo las piezas que un estafador necesita para hacerse pasar por la empresa: sabe cuánto pagas, desde cuándo eres cliente y a qué correo escribirte.
Para el lector fuera de Japón, la lección viaja sin traducción. Si una de esas 54.401 contraseñas se repetía en otro servicio, el reinicio hecho por So-net no cierra esa otra puerta, y la empresa japonesa no puede hacerlo por el cliente. La vía de entrada del ataque sigue sin nombre en el expediente público: ese dato, todavía en manos de los investigadores, decidirá si el caso se cierra como negligencia puntual o como una falla de diseño repetida en todo el sector.
Fuente: Sony Network Communications — So-net
Foto: SecurityWeek
