So-net (Sony): robados 2,6 millones de registros de clientes

Sony Network Communications, la empresa del grupo Sony que gestiona en Japón el proveedor de internet So-net, comunicó el 27 de octubre de 2026 que un tercero no autorizado entró en su base de datos de clientes y se llevó 2.585.481 registros de clientes actuales y antiguos, además de 54.401 direcciones de correo con su contraseña. Help Net Security, BleepingComputer y SecurityWeek publican la noticia de forma coincidente, a partir del aviso de la empresa.

Qué ha pasado

La secuencia de los hechos, tal como la reconstruyen las tres fuentes:

• 19 de octubre: se produce el acceso no autorizado a la base de datos de clientes de So-net;
• 23 de octubre: la empresa lo detecta, apaga el servidor afectado y bloquea las comunicaciones con el origen del acceso;
• 24 de octubre: la investigación confirma la fuga de datos personales y establece sus categorías y cifras;
• 27 de octubre: aviso público, restablecimiento de las contraseñas de correo afectadas y notificación a la Personal Information Protection Commission, la autoridad japonesa de protección de datos.

Entre la intrusión y su descubrimiento pasaron, por tanto, cuatro días. Como causa la empresa indica solo un «acceso no autorizado por parte de terceros»: el vector de entrada no se ha hecho público y la investigación sigue abierta. Por eso no se pueden asociar técnicas MITRE ATT&CK concretas a la intrusión, y ninguna fuente informa de reivindicaciones.

Qué datos se han expuesto

Registros de clientes (2.585.481). Según Help Net Security, son 2.141.986 registros de So-net (1.869.771 clientes actuales y 272.215 personas que dejaron el servicio a partir de marzo de 2026) y 443.495 de plala (S Course), de los que 21.130 son antiguos clientes. Contienen nombre, número de teléfono, dirección de correo, ID de usuario, fecha de nacimiento, sexo e ID de conexión a internet. En estos registros, precisa la empresa, no hay contraseñas. SecurityWeek explica que los datos de los antiguos clientes se conservan durante un tiempo para gestionar las últimas facturas y las solicitudes de soporte; quien se dio de baja antes de finales de febrero de 2026 no está afectado.

BleepingComputer añade que los registros de plala afectan a NTT Docomo, que encarga a Sony Network Communications la prestación de sus servicios Docomo Hikari. Según el mismo medio, Docomo ha avisado a sus clientes, considera afectados a todos los clientes actuales de Hikari y a quienes se dieron de baja en los seis meses anteriores, y ya alerta de correos de phishing y webs falsas que imitan su programa d POINT Club y una campaña de entradas de Universal Studios Japan.

Buzones de correo (54.401). En cuatro servicios de correo adicionales los atacantes obtuvieron dirección y contraseña: Mail Service (G), gratuito, con 24.655 direcciones, y los servicios de pago A-Box, So-net VAIO Mail y PostPet Mail Account Service. Para el buzón básico incluido en la suscripción, informa SecurityWeek, no consta robo de contraseñas. En las preguntas frecuentes citadas por SecurityWeek, la empresa escribe que quien tenía los datos podía leer, enviar y recibir correo con un cliente de correo o con el webmail: por eso restableció las contraseñas el 27 de octubre, y los usuarios deben elegir una nueva desde el portal So-net My Page. Las fuentes no dicen cómo se almacenaban las contraseñas.

Otros datos. Help Net Security y SecurityWeek informan también de 16 registros con datos bancarios (banco, sucursal, tipo y número de cuenta, titular, sin PIN, que la empresa dice no conservar), mientras que BleepingComputer escribe que no se expusieron datos bancarios: las fuentes discrepan en este punto. Solo Help Net Security menciona los datos de siete avisos de restablecimiento de contraseña enviados a clientes, cuyas contraseñas ya se han restablecido. Ningún dato de tarjetas de crédito, que So-net no almacena; el servicio de fibra NURO y los demás servicios no aparecen afectados.

A 27 de octubre la empresa no había detectado daños secundarios, pero advierte de que podrían llegar comunicaciones sospechosas que aprovechen los datos robados.

El contexto

BleepingComputer sitúa el incidente en una serie de ataques contra empresas y proveedores japoneses en 2026, entre ellos KDDI (12 millones de clientes), GMO Internet Group y el ransomware contra IDC Frontier, y escribe que el gobierno japonés celebró reuniones urgentes para organizar la respuesta. SecurityWeek recuerda, entre otros, los casos de Nikkei y de la Agencia Digital japonesa. Por último, Help Net Security recoge, como episodio distinto y no confirmado por Sony Interactive Entertainment, denuncias de cuentas de PlayStation Network secuestradas: ninguna fuente lo relaciona con la brecha de So-net.

Por qué importa también en Europa

Los clientes afectados están casi todos en Japón, pero el caso toca dos temas comunes a todos los proveedores y a quien gestiona grandes bases de clientes:

• datos de antiguos clientes: más de 290.000 registros pertenecen a personas que ya habían dejado el servicio. Con el RGPD y NIS2, la limitación del plazo de conservación reduce directamente el impacto de una brecha;
• servicios de correo vinculados a la suscripción: con una dirección y una contraseña válidas, un atacante puede leer la correspondencia, solicitar el restablecimiento de contraseñas de otros servicios y enviar phishing desde buzones legítimos.

En la UE los operadores de comunicaciones electrónicas entran en el ámbito de NIS2, con la alerta temprana de incidentes significativos en 24 horas; para los datos personales, el RGPD exige notificar a la autoridad de control en 72 horas.

Qué hacer ya

Si gestionas una base de datos de clientes expuesta a servicios en línea:

• separa los datos personales de las credenciales de los servicios, con cuentas de aplicación distintas y privilegios mínimos;
• configura alertas sobre consultas y exportaciones masivas y sobre tráfico saliente anómalo desde los servidores de bases de datos: aquí hicieron falta cuatro días para darse cuenta;
• guarda las contraseñas solo con funciones hash lentas y con sal, y borra o anonimiza los datos de los antiguos clientes en cuanto terminen las obligaciones de facturación;
• prepara un procedimiento de restablecimiento forzoso de credenciales que pueda ejecutarse en pocas horas.

Si empleados o filiales usan buzones o cuentas de un proveedor afectado por una brecha:

• cambia la contraseña del buzón y la de cualquier servicio que use la misma, y activa la autenticación multifactor donde esté disponible;
• revisa las reglas de reenvío y los filtros añadidos recientemente en los buzones: son una forma habitual de mantener el acceso tras un restablecimiento;
• avisa a los usuarios de que no respondan a correos, SMS o llamadas que citen datos personales para pedir pagos, códigos o credenciales.

Cómo puede ayudarte ARXDOME

ARX Expose muestra lo que un atacante ve de tu empresa desde fuera, incluidas las cuentas corporativas implicadas en brechas conocidas y los dominios parecidos al tuyo registrados por otros, que se usan a menudo en las campañas de phishing que siguen a una fuga de datos. ARX Sentry recoge registros y eventos de servidores y firewalls y señala la actividad anómala, lo que ayuda a detectar antes accesos y exportaciones fuera de lo normal.

Última actualización: 29 de octubre de 2026