La filial de internet de Sony en Japón dice que una brecha expuso 2,6 millones de registros

Sony Network Communications, la filial del Grupo Sony detrás del servicio de internet So-net, dijo el 27 de octubre de 2026 que un tercero no autorizado había accedido a su base de datos de miembros de So-net y expuesto 2.585.481 registros de clientes. El aviso de la empresa, publicado en japonés, divide esa cifra en 2.141.986 entradas de So-net y 443.495 registros de plala (S Course). El S Course de plala es el servicio que hay debajo de Docomo Hikari, de NTT Docomo, que contrata a Sony Network Communications para prestarlo, así que la cifra menor llega a personas que nunca tuvieron una cuenta de Sony.

Lectura relacionada: España registra su primera brecha de datos ejecutada por un agente de IA autónomo · Leakers$ secuestró pantallas LED públicas en Egipto, Malasia y Brasil.

El acceso pasó cuatro días sin ser detectado. Ocurrió el 19 de octubre y se detectó el 23 de octubre, cuando Sony apagó los servidores comprometidos y bloqueó la comunicación externa. La empresa publicó su aviso el 27 de octubre y reportó el incidente a la Comisión de Protección de la Información Personal de Japón. La causa y el alcance completo siguen bajo investigación.

Qué contienen los 2,58 millones de registros

Los campos expuestos son el contenido ordinario de una base de datos de miembros:

• Identidad: nombres completos, fechas de nacimiento y sexo.
• Contacto: números de teléfono y direcciones de correo electrónico.
• Cuenta: identificadores de usuario e identificadores de conexión a internet.

Sony dice que no había datos bancarios, números de tarjeta de pago ni otros datos de cuenta en los registros. Eso limita un tipo de pérdida. No hace que la lista sea inofensiva, porque los campos sustraídos son los que se usan para demostrar identidad en otros sitios.

El recuento es también un recuento de registros. Sony no ha publicado una cifra de personas únicas, y una persona puede aparecer en más de una entrada. Los 54.401 registros de correo y contraseña quedan completamente fuera de los 2.585.481, y Sony no ha dicho si los dos conjuntos se solapan. La notificación de Docomo a sus propios clientes cubre un grupo aparte. Sumar las cifras produce un número mayor de lo que sostiene la evidencia.

El vínculo con Docomo Hikari

Docomo Hikari lo vende NTT Docomo, pero el servicio que hay detrás es el S Course de plala, suministrado bajo contrato por Sony Network Communications. Ese arreglo es la razón por la que una brecha en una filial de Sony recae sobre los clientes de Docomo. Docomo les notificó el 27 de octubre y dijo que el incidente afecta a todos los clientes actuales de Hikari y también a cualquiera que cancelara en los seis meses anteriores.

Las dos declaraciones no encajan entre sí. Sony cuenta 443.495 registros de plala (S Course). Docomo describe una población afectada formada por todos los clientes actuales de Hikari más las cancelaciones recientes. Ninguna de las dos empresas ha publicado una conciliación, y el recuento de registros no es un recuento de clientes en ninguna de las dos direcciones.

El aviso de Docomo fue más allá del recuento. En una advertencia aparte dijo a los clientes que estuvieran atentos a correos de phishing y sitios falsos que suplantan su d POINT Club y una campaña de Universal Studios Japan. Los mensajes falsos dicen a los destinatarios que han ganado entradas y les piden datos personales para reclamar un premio que no existe. Los mensajes usan una brecha real en un proveedor real para hacer que una oferta falsa parezca creíble.

Esa es la forma práctica de este incidente para la mayoría de los afectados. La mayoría no leerá un PDF en japonés de una filial de Sony. Recibirán un correo o un mensaje que ya conoce su nombre, su proveedor o su dirección, y les pedirá un dato más.

Cincuenta y cuatro mil contraseñas en un segundo conjunto

Junto a la base de datos de clientes, Sony dice que 54.401 direcciones de correo de varios servicios de email quedaron expuestas junto con las contraseñas de las cuentas. Aconseja a los usuarios afectados que cambien esas contraseñas. La empresa no ha nombrado los servicios de correo, lo que significa que las personas de ese conjunto no pueden identificarse con el aviso público por sí solo.

Este conjunto es el más peligroso de inmediato, y el que más fácil es malinterpretar. Una dirección de correo y una contraseña válida son directamente utilizables contra cualquier otro servicio donde se reutilizara el mismo par. Los registros robados no necesitan incluir datos bancarios para que eso le cueste dinero a alguien, porque la contraseña puede abrir una cuenta que sí los tenga. Sony no ha descrito cómo se almacenaban las contraseñas, así que no se sabe si son utilizables tal como están.

Los registros de clientes son un problema distinto y con una cola más larga. Un nombre, una fecha de nacimiento, un teléfono y un correo bastan para un primer contacto convincente, y bastan para responder preguntas que algunos servicios todavía tratan como prueba de identidad.

Por qué vale la pena robar la lista de un proveedor de internet

Un proveedor de internet tiene la relación de facturación, el inicio de sesión y la línea física. Incluso con los datos de pago excluidos, los campos restantes describen a una persona y el servicio del que depende. Esa combinación permite phishing que parece un aviso de cuenta, llamadas que citan un número de cliente real e intentos de restablecer contraseñas en otros sitios con datos que la víctima reconocerá. El teléfono importa tanto como el correo, porque quien llama y ya sabe el nombre y el proveedor tiene un guion.

Los identificadores de conexión son el campo menos evidente de la lista. Sony los llama identificadores de conexión a internet; no ha explicado si pueden usarse para llegar a la línea de un cliente o solo para identificar la cuenta internamente. En cualquier caso, vinculan un registro a un servicio concreto, que es más de lo que ofrece una lista de marketing. El aviso no explica qué exponen los identificadores.

Nada de lo publicado hasta ahora muestra que los datos se hayan usado. Sony y Docomo dijeron ambos que, a 27 de octubre, no habían confirmado un uso indebido. Es una afirmación sobre la evidencia, no sobre el riesgo. La ausencia de confirmación en el momento de la divulgación no dice si la lista ya circula.

Una racha de brechas en Japón

La divulgación de Sony llegó en medio de una racha inusualmente mala para los operadores de red japoneses. Onamae Desktop Cloud, de GMO Internet sufrió un ataque de malware, con hasta 27.000 servidores de clientes afectados. El reportaje de BleepingComputer sobre el aviso de Sony también menciona a KDDI, donde una brecha afectó a 12 millones de clientes, a IDC Frontier, golpeada por ransomware, y a NTT, donde los datos de 18.000 clientes corporativos fueron robados a principios de 2025.

La secuencia fue comprimida. GMO instó a sus clientes a apagar sus PC mientras lidiaba con una amenaza de ransomware el 27 de octubre, el mismo día en que Sony publicó su aviso. Japan Times informó de que el gobierno celebró reuniones urgentes el lunes 26 de octubre para planificar una respuesta. El calendario está apretado. Ninguno de los reportajes vincula los incidentes, y brechas separadas en empresas separadas pueden llenar el calendario de una semana sin compartir atacante.

«El ritmo reciente de brechas de datos es tan sin precedentes y tan amenazante que el gobierno japonés celebró reuniones urgentes el lunes para planificar su respuesta.» — BleepingComputer, Bill Toulas, 28 de octubre de 2026

Qué pueden hacer los clientes afectados

La única instrucción que da Sony es cambiar la contraseña de cualquier cuenta vinculada a las 54.401 direcciones expuestas. Quien usara la misma contraseña en otro sitio debería cambiarla allí también, y un gestor de contraseñas hace que eso sea práctico y no teórico. La autenticación de dos factores en el correo y en las cuentas bancarias cubre el caso de que la contraseña ya se conozca. Cambiar una contraseña no cierra una sesión ya abierta, así que cerrar sesión en otros dispositivos y revisar las opciones de recuperación forma parte del mismo trabajo.

Para los clientes de Docomo Hikari, la advertencia relevante es la de phishing. Los mensajes sobre d POINT Club o entradas de Universal Studios Japan deben tratarse como falsos, sobre todo si llegan poco después de la brecha y piden información para liberar un premio. Conviene consultar el aviso de Docomo directamente y no a través de un enlace del mensaje.

Advertencias

Sony no ha publicado el vector de intrusión, así que no hay forma de saber si intervino un parche, una credencial o un proveedor. No ha nombrado a un atacante y no ha dado una cronología forense más allá de las dos fechas, el 19 y el 23 de octubre.

• Los registros no son personas. La cifra de 2.585.481 cuenta entradas en la base de datos de Sony. Sony no ha publicado un recuento de personas únicas, y una persona puede aparecer más de una vez.
• El conjunto de 54.401 es aparte. No forma parte de los 2,58 millones, y el solapamiento entre ambos no se ha establecido. Sony no ha nombrado los servicios de correo implicados.
• Que no haya uso confirmado no significa que no haya exposición. Sony y Docomo dijeron el 27 de octubre que no habían encontrado uso indebido. Los datos siguen en manos de otra persona.
• El alcance todavía puede cambiar. Sony dice que la causa y la extensión completa están bajo investigación. El recuento publicado el 27 de octubre puede no ser el definitivo.
• La ola de brechas japonesas es contexto. KDDI, GMO, IDC Frontier, NTT y Sony no han sido vinculadas a un atacante común, y las reuniones del gobierno no son prueba de que lo haya.

El aviso publicado el 27 de octubre da el recuento y las fechas. No dice cómo ocurrió el acceso ni hasta dónde llegó, y Sony no ha dicho cuándo publicará más información.

Imagen de portada: «Sony headquaters 1.jpg» de Akonnchiroll, CC BY-SA 4.0, vía Wikimedia Commons. La foto muestra la sede de Sony en Tokio, no la oficina de Sony Network Communications.