DataTrends LATAM

Etiqueta: Data Breach

Incidentes con compromiso de datos: brechas, hackeos con exfiltración, filtraciones.

  • 119 millones de registros de viajeros expuestos en brechas de datos del sector turístico

    119 millones de registros de viajeros expuestos en brechas de datos del sector turístico

    Al menos 119 millones de registros de viajeros quedaron expuestos en brechas de datos documentadas en el sector turístico, según un relevamiento publicado por NordVPN. Los datos comprometidos incluyen información de pasaportes, itinerarios, métodos de pago y datos de contacto de personas que utilizaron aerolíneas, hoteles y plataformas de reserva en línea.

    El informe de NordVPN, divulgado el 13 de octubre de 2025, sistematiza incidentes registrados en distintas etapas de la cadena turística: desde operadores de viajes y agencias en línea hasta sistemas de fidelización de aerolíneas y aplicaciones de gestión hotelera. La cifra de 119 millones de registros surge de la agregación de múltiples eventos, según se informó, sin que NordVPN atribuya todos los casos a un único actor o campaña coordinada.

    Datos confirmados del relevamiento

    • 119 millones de registros de viajeros expuestos en total, según NordVPN
    • Tipos de datos comprometidos: números de pasaporte, datos de tarjetas de crédito, itinerarios de viaje e información de programas de puntos/millas
    • Los sectores afectados incluyen aerolíneas, cadenas hoteleras y plataformas de reserva en línea
    • Los incidentes abarcan múltiples jurisdicciones y no se circunscriben a una sola región geográfica

    Qué se sabe y qué falta confirmar

    Lo confirmado es la magnitud agregada: 119 millones de registros representan una de las acumulaciones más altas reportadas para un único sector productivo. Lo que no está verificado de forma independiente es la atribución precisa de cada incidente, los vectores de ataque en cada caso y si todos los registros corresponden a personas únicas o incluyen duplicados. NordVPN no publicó —al menos en la versión divulgada— el detalle desagregado por empresa o evento, lo que limita la posibilidad de contraste con notificaciones oficiales ante autoridades de control.

    Para América Latina, la ausencia de ese detalle es relevante: plataformas de reserva con fuerte presencia regional —como Despegar, con operaciones en Argentina, Brasil, México y Colombia— procesan volúmenes significativos de datos de viajeros latinoamericanos. Si alguna de estas empresas figura entre los incidentes relevados, las obligaciones de notificación difieren por jurisdicción: Brasil exige comunicación a la ANPD y a los titulares en caso de riesgo relevante bajo la Lei Geral de Proteção de Dados (LGPD, Art. 48); Argentina requiere notificación a la AAIP conforme a la Ley 25.326 y su Disposición 9/2015; México activa el protocolo del INAI bajo la LFPDPPP. Ninguna de esas notificaciones es pública hasta el momento de esta publicación, según se informó.

    El próximo hito es la eventual publicación del detalle desagregado por parte de NordVPN o la apertura de investigaciones de oficio por parte de autoridades como la ANPD brasileña, que en 2024 formalizó su competencia para actuar ante incidentes transfronterizos.

  • Corea del Sur: empleado del seguro de salud vendió datos y víctimas esperaron tres meses

    Corea del Sur: empleado del seguro de salud vendió datos y víctimas esperaron tres meses

    Un empleado del Servicio Nacional de Seguro de Salud de Corea del Sur (NHIS) fue despedido por vender ilegalmente datos personales de afiliados a terceros, pero las víctimas no recibieron ninguna notificación durante al menos tres meses tras el descubrimiento del incidente.

    El caso salió a la luz durante una auditoría parlamentaria, cuando el legislador Kim Ki-woong, del Partido del Poder del Pueblo, reveló que el empleado había comercializado información de asegurados con partes externas no identificadas. El NHIS, organismo estatal que gestiona la cobertura de salud de prácticamente toda la población surcoreana, confirmó la desvinculación del funcionario, pero según se informó, los afectados aún no habían sido contactados al momento de hacerse público el caso. La denuncia fue reportada por la periodista Kim Ji-won.

    Datos confirmados sobre el incidente en el NHIS

    • Actor del incidente: empleado interno del NHIS, ya despedido.
    • Tipo de dato comprometido: información personal de suscriptores del seguro de salud estatal.
    • Destino de los datos: terceros externos; identidad no divulgada públicamente.
    • Tiempo sin notificación a víctimas: al menos tres meses desde el descubrimiento.
    • Canal de revelación: auditoría parlamentaria, no comunicación oficial del organismo.

    Qué se sabe y qué falta confirmar

    Está confirmado el despido del empleado y la existencia de la venta de datos, así como la omisión de notificación a los afectados durante el período señalado. Lo que permanece sin confirmar incluye el volumen exacto de registros comprometidos, la identidad de los compradores, el tipo específico de información de salud involucrada y si existe una investigación penal en curso. Tampoco se informó si el NHIS emitió algún plan de notificación posterior a la auditoría parlamentaria.

    El patrón es relevante para la región: en América Latina, marcos como la Ley General de Protección de Datos de Brasil (LGPD) y la Ley 25.326 de Argentina establecen plazos de notificación a la autoridad de control —la ANPD en Brasil y la AAIP en Argentina— ante incidentes que puedan acarrear riesgo a los titulares. La LGPD fija un plazo de dos días hábiles para reportar a la ANPD desde el conocimiento del incidente, y en Argentina la Disposición AAIP 4/2019 exige comunicación “en el menor tiempo posible”. Un silencio de tres meses como el documentado en Corea habilitaría sanciones administrativas en ambos países. México, bajo la LFPDPPP, también impone al responsable el deber de informar a los titulares afectados de forma inmediata.

    El próximo hito a seguir es si el NHIS emite una notificación formal a los afectados o si la auditoría parlamentaria deriva en una investigación regulatoria con plazo definido por la Comisión de Protección de Información Personal de Corea del Sur (PIPC).

  • Base de datos de Vibetech expuso 13,7 millones de registros sin protección

    Base de datos de Vibetech expuso 13,7 millones de registros sin protección

    Una base de datos sin contraseña ni autenticación vinculada a Vibetech, empresa india de desarrollo de software con IA y servicios IT, quedó expuesta en línea con 13,7 millones de registros que incluyen credenciales y datos sensibles provenientes de brechas previas, según informó el investigador de ciberseguridad Jeremiah Fowler.

    El hallazgo fue publicado por ExpressVPN a partir del trabajo de Fowler, quien identificó el repositorio accesible públicamente sin ninguna medida de control de acceso. Los registros contenían, según se informó, credenciales filtradas en incidentes anteriores —un patrón conocido como “breach compilation”— además de otra información sensible cuya naturaleza exacta no fue completamente detallada en la divulgación inicial. La fecha de exposición y el tiempo que el repositorio estuvo accesible no fueron confirmados de manera precisa al momento del reporte.

    Datos confirmados al 15 de octubre de 2026

    • 13,7 millones de registros expuestos en total
    • Empresa responsable: Vibetech, con sede en India, dedicada al desarrollo de software con IA y servicios IT
    • Tipo de exposición: base de datos accesible sin autenticación ni contraseña
    • Contenido confirmado: credenciales y datos sensibles de brechas anteriores (breach compilation)
    • Descubridor: Jeremiah Fowler, investigador independiente de ciberseguridad
    • Divulgación publicada por: ExpressVPN

    Qué se sabe y qué falta confirmar

    Hasta el momento de la publicación, no se confirmó si Vibetech fue notificada antes de la divulgación pública, ni si la base de datos fue cerrada de forma inmediata tras el hallazgo. Tampoco se precisó si los 13,7 millones de registros corresponden a usuarios únicos o incluyen duplicados, un dato crítico para evaluar el alcance real del impacto. Se desconoce si los datos expuestos corresponden a clientes de Vibetech, a usuarios de terceros cuyos datos la empresa procesaba, o si se trata de un repositorio de inteligencia sobre brechas previas utilizado internamente. La ausencia de autenticación sugiere una falla en los controles básicos de configuración de infraestructura —no necesariamente un ataque externo—, aunque esta distinción no ha sido confirmada oficialmente. Desde el ángulo de la gobernanza de datos, el incidente expone una falla de ownership: cuando una base de datos que contiene datos de brechas previas queda sin un data steward asignado que supervise su clasificación y acceso, el riesgo de exposición accidental se multiplica, independientemente de la intención.

    Para las organizaciones latinoamericanas que contratan servicios de desarrollo de software con proveedores offshore —un modelo cada vez más frecuente en Argentina, México, Colombia y Brasil—, este caso activa obligaciones concretas bajo marcos locales. La Ley 25.326 argentina exige que los responsables de bases de datos garanticen medidas de seguridad adecuadas; si un proveedor externo procesa datos por encargo y los expone, la responsabilidad puede recaer también sobre el comitente local. En México, la LFPDPPP y su Reglamento establecen obligaciones equivalentes para los encargados del tratamiento. La LGPD brasileña, por su parte, requiere notificación a la ANPD en casos de incidentes que puedan acarrear riesgo relevante a los titulares, con plazos que no superan los tres días hábiles desde que el controlador toma conocimiento.

    El próximo hito crítico es la confirmación por parte de Vibetech —o de la autoridad competente india, el MeitY— sobre si la base de datos fue cerrada y si se activaron protocolos de notificación hacia los afectados o las organizaciones cuyos datos fueron procesados.

  • Brecha en Daiichi Kosho expone datos de 8,7 millones de usuarios

    Brecha en Daiichi Kosho expone datos de 8,7 millones de usuarios

    Daiichi Kosho, empresa japonesa fabricante de sistemas de karaoke, sufrió una brecha de seguridad que expuso información de 8,7 millones de usuarios, según se informó el 12 de octubre de 2026. El incidente representa uno de los compromisos masivos de datos de consumidores más significativos reportados en lo que va del año en el sector del entretenimiento digital.

    La exposición fue divulgada por el portal especializado Shattered.io, que documentó el alcance del incidente sin precisar, hasta el momento de la publicación, la fecha exacta en que ocurrió la exfiltración ni el vector de ataque utilizado. La compañía opera plataformas de karaoke tanto en Japón como en mercados de Asia-Pacífico, lo que amplía el perfil geográfico de los afectados más allá del territorio japonés. Hasta el cierre de esta edición, Daiichi Kosho no había emitido una declaración pública oficial sobre el incidente, según se informó.

    Datos confirmados al 12 de octubre de 2026

    • Registros expuestos: 8,7 millones de usuarios
    • Empresa afectada: Daiichi Kosho Co., Ltd. (Japón)
    • Sector: entretenimiento digital / sistemas de karaoke
    • Fuente de divulgación: Shattered.io, 12 de octubre de 2026
    • Vector de ataque: no confirmado públicamente
    • Declaración oficial de la empresa: no disponible al cierre de esta nota

    Qué se sabe y qué falta confirmar

    Se confirma el volumen de registros comprometidos y la identidad de la empresa afectada. Lo que permanece sin verificación incluye el tipo específico de datos expuestos —si se trata de credenciales, información de pago, datos de geolocalización u otros atributos sensibles—, la fecha precisa de la brecha, y si ya se activaron los protocolos de notificación a la Agencia de Protección de Información Personal de Japón (PPC), autoridad de control equivalente bajo la ley japonesa de protección de datos (Act on the Protection of Personal Information, APPI). Tampoco se ha informado si los datos aparecieron en foros de compraventa en la dark web ni si existe un actor de amenaza identificado detrás del incidente.

    Para organizaciones con operaciones en América Latina, el caso tiene resonancia directa: las empresas de entretenimiento digital que operan en la región y recopilan datos de usuarios quedan sujetas a marcos como la Ley General de Protección de Datos de Brasil (LGPD), que establece en su artículo 48 la obligación de notificar a la ANPD y a los titulares afectados en un plazo razonable —interpretado por la autoridad como máximo 72 horas para los casos de alto riesgo—. En Argentina, la Ley 25.326 y las disposiciones de la AAIP imponen obligaciones similares. Un universo de 8,7 millones de registros, si incluye ciudadanos brasileños o argentinos, activaría esos mecanismos de forma inmediata.

    El próximo hito crítico es la confirmación oficial de Daiichi Kosho sobre el tipo de datos comprometidos y la apertura —o no— de un proceso de notificación ante la PPC japonesa, dato que determinará si otras autoridades de protección de datos en Asia-Pacífico y potencialmente en LATAM deben intervenir.

  • Nippon Columbia expone 8,7 millones de registros tras infección de malware

    Nippon Columbia expone 8,7 millones de registros tras infección de malware

    La discográfica y distribuidora japonesa Nippon Columbia confirmó una brecha de datos que habría expuesto información de aproximadamente 8,7 millones de usuarios de sus plataformas de karaoke. La compañía atribuyó el incidente a una infección de malware en sus sistemas, según se informó el 13 de octubre de 2025.

    Nippon Columbia —conocida por su sello Denon y sus servicios de karaoke en Japón— reveló que el malware comprometió registros de usuarios registrados en sus plataformas digitales. La empresa no precisó en su comunicación inicial qué categorías de datos personales fueron afectadas ni el período exacto durante el cual el malware habría operado en sus sistemas, según se informó. La divulgación pública se produjo en octubre de 2025.

    Datos confirmados al cierre de esta edición

    • Registros potencialmente expuestos: 8,7 millones de usuarios
    • Vector declarado: infección de malware en infraestructura interna
    • Empresa afectada: Nippon Columbia Co., Ltd. (Japón)
    • Fecha de divulgación pública: 13 de octubre de 2025
    • Tipos de datos comprometidos: no especificados en la comunicación inicial, según se informó

    Qué se sabe y qué falta confirmar

    Por el momento no hay confirmación oficial sobre si los datos exfiltrados incluyen credenciales de acceso, información de pago o datos de identificación personal más allá del registro básico de usuario. Tampoco se informó si el incidente fue notificado a la Comisión de Protección de Información Personal de Japón (PPC), organismo equivalente a las autoridades de control latinoamericanas. Aún se desconoce si algún actor de amenaza reclamó responsabilidad o si los registros están en circulación en foros de acceso clandestino.

    El incidente tiene relevancia para equipos de protección de datos en América Latina por al menos dos razones operativas. Primero, servicios de karaoke y entretenimiento digital japoneses tienen presencia o licencias en mercados como Brasil, México y Argentina, donde los usuarios pueden haber creado cuentas bajo jurisdicciones que activan obligaciones de notificación locales. Bajo la Ley General de Protección de Datos de Brasil (LGPD), la Autoridade Nacional de Proteção de Dados (ANPD) exige notificación de incidentes que puedan causar riesgo o daño relevante a los titulares en un plazo de 72 horas desde que el controlador toma conocimiento. Una brecha de esta escala —8,7 millones de registros— difícilmente quedaría por debajo de ese umbral. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) aplica criterios similares bajo la Ley 25.326 y su reglamentación. Segundo, el vector de malware subraya una falla en controles preventivos básicos: detección de endpoints, segmentación de bases de datos y monitoreo de exfiltración, todos dentro del alcance del data steward y del equipo de gobernanza de datos.

    El próximo hito crítico es la respuesta formal de Nippon Columbia ante la PPC japonesa y la confirmación de qué categorías de datos fueron efectivamente exfiltradas, información que determinará el alcance de las obligaciones de notificación en cada jurisdicción donde la compañía opere o preste servicios.

  • Atacantes reclaman 80 millones de registros de pacientes sudafricanos en brecha a Ampath Laboratories

    Atacantes reclaman 80 millones de registros de pacientes sudafricanos en brecha a Ampath Laboratories

    Un actor de amenazas identificado como ByteToBreach reclama haber exfiltrado más de 80 millones de registros de pacientes de Ampath Laboratories, uno de los principales proveedores de servicios de patología de Sudáfrica. La empresa no ha emitido confirmación pública del incidente al momento de esta publicación.

    El ataque fue reportado el 13 de octubre de 2026. ByteToBreach asumió la responsabilidad del incidente y afirmó haber obtenido datos de pacientes a gran escala desde los sistemas de Ampath. Este mismo actor ha sido vinculado, según se informó, a ataques previos contra organizaciones de alto perfil en el continente africano, incluyendo objetivos en Nigeria. El alcance exacto de los datos comprometidos —tipos de registros, campos incluidos, período temporal— no había sido verificado de forma independiente al cierre de esta nota.

    Datos confirmados y versiones sin verificar sobre el incidente

    • Actor reclamante: ByteToBreach, con antecedentes reportados en ataques a entidades en Nigeria y otros países africanos.
    • Volumen reclamado: más de 80 millones de registros de pacientes.
    • Organización afectada: Ampath Laboratories, uno de los mayores proveedores de patología de Sudáfrica.
    • Fecha del reporte público: 13 de octubre de 2026.
    • Confirmación de Ampath: no registrada al momento de publicación.

    Qué se sabe y qué falta confirmar sobre los registros expuestos

    Lo confirmado es que ByteToBreach realizó el reclamo público. Lo que permanece sin verificación independiente incluye: si la exfiltración efectivamente ocurrió, si los 80 millones de registros corresponden a individuos únicos o incluyen duplicados, qué categorías de datos clínicos o personales están involucradas, y si Ampath ya notificó a la autoridad regulatoria competente. Sudáfrica cuenta con el Protection of Personal Information Act (POPIA), vigente desde 2021, que obliga a los responsables de tratamiento a notificar brechas al Information Regulator y a los titulares afectados “tan pronto como sea razonablemente posible”. Si la exfiltración se confirma, la magnitud del volumen reclamado —equivalente a 1,3 veces la población total del país— convertiría este incidente en uno de los mayores registrados en el continente africano y pondría a Ampath bajo escrutinio inmediato del regulador sudafricano.

    El caso tiene resonancia directa para América Latina, donde legislaciones como la Lei Geral de Proteção de Dados (LGPD) de Brasil, la Ley 25.326 de Argentina y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de México imponen obligaciones de notificación ante brechas que involucran datos sensibles —categoría que incluye explícitamente los datos de salud en los tres marcos normativos. Proveedores de servicios médicos y laboratorios clínicos de la región operan con volúmenes de registros de pacientes comparables al caso Ampath y, en muchos casos, con controles de seguridad sin auditoría formal.

    El próximo hito crítico es la respuesta formal de Ampath al Information Regulator sudafricano: bajo POPIA, el reloj de notificación ya corre desde el momento en que la organización tomó o debió haber tomado conocimiento del incidente.

  • OpenAI despide empleados por filtración y genera clima de autocensura interna

    OpenAI despide empleados por filtración y genera clima de autocensura interna

    OpenAI despidió a un grupo de empleados vinculados a una filtración de datos interna y, según se informó, los afectados declararon públicamente que les preocupa que sus ex colegas tengan miedo de hablar o de trabajar con libertad dentro de la compañía.

    El incidente se conoció a través de declaraciones de los propios trabajadores desvinculados, quienes según se informó manifestaron su inquietud por el efecto disciplinario que las desvinculaciones podrían tener sobre quienes aún permanecen en la empresa. Los despidos se habrían producido como consecuencia directa de la filtración de información, aunque los detalles sobre el tipo de datos comprometidos, su volumen y los destinatarios de esa información no han sido confirmados públicamente por OpenAI hasta el momento.

    Lo que está confirmado y lo que falta verificar

    • OpenAI procedió a despedir empleados en relación con una filtración de datos: confirmado según se informó por los propios afectados.
    • Los ex empleados expresaron preocupación por un posible clima de autocensura entre quienes siguen en la compañía: confirmado en declaraciones públicas atribuidas a los despedidos.
    • Naturaleza, volumen y destino de los datos filtrados: no confirmados. OpenAI no emitió comunicado oficial accesible al momento de esta publicación.
    • Si la filtración involucra datos personales de usuarios o de terceros: no confirmado. La información disponible apunta a datos internos, pero sin precisión.

    Qué falta saber — y por qué importa para la región

    El punto crítico aún sin respuesta es si los datos filtrados incluyen información personal de usuarios de productos OpenAI — ChatGPT, API, entre otros — que podría activar obligaciones de notificación bajo distintos marcos legales. En Brasil, la Lei Geral de Proteção de Dados (LGPD) establece en su artículo 48 que el controlador debe comunicar a la Autoridade Nacional de Proteção de Dados (ANPD) y a los titulares afectados cualquier incidente de seguridad que pueda acarrear riesgo o daño relevante, en un plazo que la ANPD ha fijado operativamente en 72 horas para la notificación preliminar. En Argentina, la Ley 25.326 y las disposiciones de la Agencia de Acceso a la Información Pública (AAIP) contemplan obligaciones similares para quienes traten datos de ciudadanos argentinos. México, a través del INAI y la LFPDPPP, también exige notificación ante vulnerabilidades de seguridad que afecten datos personales.

    Si OpenAI opera como responsable o encargado del tratamiento de datos de usuarios latinoamericanos — lo que es altamente probable dado el volumen de uso regional de sus servicios — cualquier brecha que comprometa esos registros podría desencadenar procedimientos regulatorios en varios países de la región de manera simultánea. La ausencia de un comunicado oficial de la compañía prolonga la incertidumbre tanto para los reguladores como para los propios usuarios.

    El próximo hito a monitorear es si OpenAI emite una declaración formal que aclare el alcance de la filtración y si alguna autoridad de protección de datos — en particular la ANPD brasileña o la AAIP argentina — abre una actuación de oficio ante la falta de notificación espontánea.

  • Brecha en Lawson expone 2,15 M de registros; Daiichi Kosho suma 8,72 M en Japón

    Brecha en Lawson expone 2,15 M de registros; Daiichi Kosho suma 8,72 M en Japón

    Dos incidentes confirmados sacuden el mercado japonés: la cadena de conveniencia Lawson reportó la exposición de más de 2,15 millones de registros de clientes, mientras que Daiichi Kosho —empresa de entretenimiento con sistemas de karaoke— advirtió que hasta 8,72 millones de personas podrían estar afectadas por una brecha separada. Ambos casos se conocieron en la primera semana de octubre de 2025.

    Según se informó, el incidente en Lawson comprometió datos personales de usuarios de su programa de fidelización. En el caso de Daiichi Kosho, la compañía emitió un comunicado propio en el que reconoció que la cifra de afectados podría alcanzar los 8,72 millones, aunque precisó que la investigación forense aún no está concluida. Hasta el momento no se confirmó públicamente el vector de ataque en ninguno de los dos casos.

    Datos confirmados al 8 de octubre de 2025

    • Lawson: más de 2,15 millones de registros expuestos, según la divulgación oficial.
    • Daiichi Kosho: hasta 8,72 millones de personas potencialmente afectadas, cifra máxima reportada por la propia empresa.
    • Ambas brechas se divulgaron públicamente en la primera semana de octubre de 2025.
    • El tipo de datos comprometidos y el vector de ataque no fueron confirmados en los comunicados disponibles al cierre de esta nota.

    Qué se sabe y qué falta confirmar

    Lo confirmado es que ambas compañías emitieron avisos oficiales y reconocieron la existencia de las brechas. Lo que permanece sin verificar incluye: el alcance exacto de los datos expuestos por tipo (si incluyen información financiera, de salud o solo datos de contacto), si hubo exfiltración efectiva o únicamente acceso no autorizado, y si algún actor de amenaza ya comercializó los registros en mercados clandestinos. Daiichi Kosho describió los 8,72 millones como cifra potencial máxima, lo que sugiere que la cuantificación definitiva depende del avance de la auditoría interna.

    En América Latina, brechas de magnitud comparable han activado obligaciones de notificación con plazos estrictos: la Lei Geral de Proteção de Dados de Brasil (LGPD) exige comunicar a la Autoridade Nacional de Proteção de Dados (ANPD) dentro de las 72 horas de conocido el incidente cuando hay riesgo relevante para los titulares. Argentina, bajo la Ley 25.326 y la Disposición AAIP 9/2023, también contempla notificación obligatoria a la autoridad de control. Una brecha del tamaño de las reportadas por Lawson o Daiichi Kosho, si involucrase a empresas con operaciones o datos de residentes en la región, activaría esos mecanismos de forma inmediata.

    El próximo hito crítico es la conclusión de la auditoría forense de Daiichi Kosho, que determinará si la cifra de 8,72 millones se confirma o se ajusta, y si la naturaleza de los datos expuestos eleva la clasificación del incidente bajo la normativa japonesa de protección de información personal (APPI).

  • Luna Moth Files: la filtración interna de Silent Ransom Group que el grupo niega

    Luna Moth Files: la filtración interna de Silent Ransom Group que el grupo niega

    Un sitio onion identificado como “Luna Moth Files” publicó el martes 7 de octubre archivos de chat interno atribuidos al grupo de extorsión Silent Ransom Group. Dos días después, el propio grupo negó la autenticidad de la filtración, pero analistas de ciberseguridad que examinaron los documentos afirman que los datos apuntan en dirección contraria.

    El sitio apareció el martes por la mañana en la red Tor. La identidad de quien lo publicó no fue confirmada a la fecha de esta nota. Investigadores del sector comenzaron a analizar los archivos ese mismo día, y el jueves Silent Ransom Group emitió una declaración negando que el material sea legítimo, calificándolo de fabricación. La negativa, sin embargo, no fue acompañada de evidencia técnica que sustente esa versión, según se informó.

    Datos confirmados al 9 de octubre de 2026

    • El sitio “Luna Moth Files” estuvo activo en la red Tor desde el martes 7 de octubre.
    • Los archivos publicados incluirían registros de conversaciones internas del grupo, según se informó.
    • Silent Ransom Group emitió una desmentida el jueves 9 de octubre.
    • La identidad del responsable de la publicación permanece desconocida.
    • Profesionales de ciberseguridad que revisaron el material sostienen que los datos sugieren autenticidad, aunque no hubo verificación independiente pública definitiva al cierre de esta nota.

    Qué se sabe y qué falta confirmar

    Lo confirmado es que el sitio existe, que los archivos están disponibles en la red Tor y que al menos una parte de la comunidad de ciberseguridad considera el material plausible. Lo que aún no está verificado es la cadena de custodia de los archivos, es decir, cómo salieron del entorno operativo del grupo y quién los obtuvo. Tampoco se descartó públicamente la hipótesis de que la filtración provenga de un disidente interno, un actor rival o una operación de contrainteligencia. La táctica de desacreditar una filtración genuina como “fake” es un recurso documentado entre grupos de ransomware y extorsión cuando el material comprometido puede dañar su reputación operativa o exponer a miembros individuales.

    Para organizaciones en América Latina que han sido o podrían ser objetivo de Silent Ransom Group —activo en campañas de vishing y extorsión sin cifrado contra sectores legales, financieros y de salud—, la filtración tiene relevancia directa. Si los archivos son auténticos, podrían revelar tácticas, objetivos y métodos de negociación del grupo. Bajo el marco de la Ley 25.326 en Argentina, la LGPD en Brasil o la LFPDPPP en México, cualquier empresa que haya recibido una demanda de extorsión de este actor tiene obligaciones de notificación a la autoridad de control si se confirmara que datos personales de sus titulares estuvieron en poder del grupo.

    El próximo hito es la verificación forense independiente del material: hasta que un tercero con acceso técnico confirme o refute la autenticidad de los archivos, la desmentida de Silent Ransom Group no cierra el caso.

  • JR East: posible exposición de 2,06 millones de registros personales en Japón

    JR East: posible exposición de 2,06 millones de registros personales en Japón

    El operador ferroviario JR East informó que sus servicios digitales, incluida la plataforma de reservas Eki-net, podrían haber expuesto hasta 2,06 millones de registros de datos personales de usuarios en Japón. El incidente, dado a conocer el 9 de octubre de 2025, aún está bajo investigación y no se ha confirmado la exfiltración total de los datos.

    East Japan Railway Company (JR East), una de las mayores empresas ferroviarias del mundo por volumen de pasajeros, reveló que múltiples servicios bajo su operación —entre ellos Eki-net, su sistema de reservas y compra de boletos en línea— podrían haber estado involucrados en un incidente de seguridad con exposición potencial de información personal. La empresa no precisó el vector de ataque ni confirmó si los registros fueron efectivamente extraídos por terceros no autorizados.

    Datos confirmados del incidente

    • Registros potencialmente expuestos: hasta 2,06 millones
    • Servicios involucrados: Eki-net y otros no especificados de la misma compañía
    • Empresa afectada: East Japan Railway Company (JR East), Japón
    • Fecha de divulgación pública: 9 de octubre de 2025
    • Estado del incidente: bajo investigación; exfiltración no confirmada

    Qué se sabe y qué falta confirmar

    Según se informó, JR East detectó la posible exposición y procedió a notificar el hecho públicamente, en línea con las obligaciones de reporte establecidas por la Ley de Protección de Información Personal (APPI) de Japón, que desde sus reformas de 2022 exige notificación a la Comisión de Protección de Información Personal (PPC) cuando el número de afectados supera los 1.000 registros. No se han confirmado datos sobre qué tipo de información personal estuvo involucrada —si incluye credenciales, datos de pago o solo información identificatoria básica—, ni si existe evidencia forense de descarga o acceso no autorizado efectivo. Tampoco se identificó públicamente un actor de amenaza responsable.

    El caso es relevante más allá de Japón por su escala y porque involucra infraestructura de transporte crítica con millones de usuarios registrados. En América Latina, incidentes de magnitud comparable en sistemas de transporte o servicios públicos digitales activan marcos de notificación distintos: en Argentina, la Ley 25.326 y las disposiciones de la AAIP obligan a reportar brechas que afecten datos sensibles o de gran escala; en Brasil, la LGPD (Lei 13.709/2018) establece plazos de comunicación a la ANPD y a los titulares afectados; en México, la LFPDPPP y su reglamento exigen aviso inmediato cuando el incidente genera riesgo patrimonial o discriminatorio para los titulares. En los tres casos, la ausencia de confirmación sobre el tipo de dato expuesto —como ocurre en el episodio de JR East— es precisamente el tipo de ambigüedad que las autoridades de control suelen cuestionar durante la investigación.

    El próximo hito crítico es la notificación formal de JR East a la Comisión de Protección de Información Personal de Japón, cuyo resultado determinará si la empresa enfrenta sanciones y si los 2,06 millones de usuarios afectados deben recibir comunicación directa.