Para: personas que presentaron una declaración del impuesto de donaciones a través de e-Tax, personas que hicieron las donaciones, contadores fiscales que gestionaron esas declaraciones, cualquier usuario de e-Tax MyPage y desarrolladores de servicios web en los que los usuarios inician sesión para ver sus propios datos. Este artículo se basa en informes sobre el anuncio de la Agencia Nacional Tributaria (NTA) de Japón y en la guía oficial de la NTA y de e-Tax. No describe cómo reproducir el defecto.
¿Está usted afectado? Una tabla rápida
| Detalles (de los informes del anuncio de la NTA) | |
|---|---|
| Función | «Información del impuesto de donaciones» en e-Tax MyPage |
| Cuándo otros usuarios podían ver las declaraciones | 24 de septiembre de 2026, de 8:30 a medianoche; 25 de septiembre, de 4:00 a 15:58 |
| Declaraciones visibles | Declaraciones del impuesto de donaciones y documentos relacionados de 79 declarantes |
| Personas cuyos datos pudieron haberse visto | 203 en total (declarantes, donantes mencionados en las declaraciones, contadores fiscales) |
| Usuarios que pudieron haber visto realmente las declaraciones | 19 |
| Información que pudo haberse visto | Nombre, dirección, fecha de nacimiento, número de teléfono, valor de la donación e importe del impuesto, nombre y fecha de nacimiento del donante, nombre del contador fiscal, y más |
| Contacto con las personas afectadas | El personal de las oficinas regionales y tributarias contactó a cada una individualmente para explicar la situación y pedir disculpas |
| Causa | Un defecto introducido por la actualización del 24 de septiembre (no un ataque); corregido |
Las personas afectadas son los 79 declarantes cuyas declaraciones del impuesto de donaciones eran visibles, además de los donantes y contadores fiscales mencionados en ellas. No todos los usuarios de e-Tax se vieron afectados.
Los informes que revisamos no dicen si el My Number (el número individual de Japón) estaba entre la información visible. Este artículo no afirma nada al respecto.
Qué deben hacer hoy los usuarios de e-Tax
Si alguien llama diciendo ser de la oficina tributaria, cuelgue y vuelva a llamar
Según los informes, el personal de las oficinas regionales y tributarias contactó individualmente a las personas afectadas. Pero un incidente noticioso también ofrece a los estafadores un motivo listo para llamar.
La NTA aconseja que, si una llamada de alguien que dice ser funcionario tributario le parece sospechosa, no responda en el momento: pida su departamento, nombre y número de teléfono, cuelgue y contacte con la sección de asuntos generales de su oficina tributaria más cercana o con el coordinador de atención al contribuyente de la oficina regional de Hacienda. Use un número que busque en el directorio de oficinas tributarias del sitio web de la NTA, no el que le dio quien llamó.
No abra enlaces en mensajes o correos que digan ser de la NTA
La NTA declara que nunca envía mensajes de texto con URL, y nunca envía mensajes de texto, correos electrónicos ni mensajes de LINE exigiendo el pago de impuestos o relacionados con el embargo de bienes.
Si recibe un mensaje que ofrece una «disculpa por la visualización de su declaración de impuestos» o le pide «confirmar sus datos personales», elimínelo sin abrir el enlace (cómo reconocerlos: ¿Qué es el phishing?).
Conozca el aspecto de los correos auténticos de e-Tax
Según la NTA, e-Tax solo envía correos con formatos establecidos para avisarle de que ha llegado una notificación a su buzón de mensajes. Nunca incluyen archivos adjuntos y, por regla general, no contienen URL.
Lea la notificación iniciando sesión en e-Tax que haya abierto usted mismo desde un marcador o una búsqueda, y revisando el buzón de mensajes allí.
Nunca opere un cajero automático, transfiera dinero ni facilite datos de cuentas si se lo piden
La NTA declara que nunca le pide operar un cajero automático para recibir un reembolso o pagar impuestos, ni le pide transferir pagos de impuestos a una cuenta bancaria determinada.
Aunque la persona que llama diga «hay un pago de compensación para usted» o «debe completar un trámite de devolución», no acuda a un cajero automático ni facilite números de cuenta o PIN.
El usuario A inicia sesión y abre «mi información del impuesto de donaciones» en MyPage
↓
1. Autenticación: ¿quién es?
El usuario A inicia sesión → supera la comprobación
2. Autorización: ¿este documento es de A?
Si esta comprobación falla, se muestran documentos de otras personas
↓
Comportamiento correcto
Mostrar solo los documentos de A
Lo que ocurrió
Las declaraciones de otros declarantes se hicieron visibles (79 declarantes)
Solución: iniciar sesión como A, solicitar un documento de B y confirmar que se rechaza, en cada cambio
Qué pasó (según los informes del anuncio de la NTA)
La NTA anunció este incidente el 2 de octubre de 2026. A fecha del 6 de octubre, no encontramos ningún aviso sobre él en las listas de anuncios de los sitios web de la NTA o de e-Tax. La siguiente cronología se basa en varios informes periodísticos sobre el anuncio y en avisos oficiales de e-Tax.
27 de mayo de 2026
e-Tax anuncia que la función «información del impuesto de donaciones» de MyPage se ampliará (aviso oficial).24 de septiembre (jue.)
La actualización añade a la información del impuesto de donaciones de MyPage los avisos de declaraciones rectificativas y de liquidación, el estado de la opción de tributación por liquidación en el momento de la herencia y los registros de declaraciones presentadas en papel. El mismo día, la NTA reemplazó su sistema tributario nacional.24 de septiembre, de 8:30 a medianoche
Según los informes, otros usuarios pudieron ver declaraciones (primer periodo).25 de septiembre, de 4:00 a 15:58
El mismo estado se repitió (segundo periodo).2 de octubre
La NTA anuncia que las declaraciones de 79 declarantes pudieron ser vistas por otros usuarios, afirma que el defecto ha sido corregido y pide disculpas.
- Función
- «Información del impuesto de donaciones» en e-Tax MyPage
- Causa
- Un defecto introducido por la actualización del sistema del 24 de septiembre que amplió esta función. No fue un ataque desde el exterior
- Información que pudo haberse visto
- Nombre, dirección, fecha de nacimiento y número de teléfono del declarante; valor de la donación e importe del impuesto; nombre y fecha de nacimiento del donante; nombre del contador fiscal, entre otros (los informes enumeran elementos ligeramente distintos)
- Respuesta a las personas afectadas
- El personal de las oficinas regionales y tributarias contactó individualmente a declarantes, donantes y contadores fiscales para explicar la situación y pedir disculpas
- Respuesta a los usuarios que pudieron verlo
- Los 19 fueron invitados a mantener la información en confidencialidad y eliminarla. No se encontraron indicios de almacenamiento ni de daños secundarios
- Próximos pasos
- La NTA afirma que aplicará de forma exhaustiva medidas para evitar que se repita
- Relación con KSK2
- Según Nikkei xTECH, no relacionado con el nuevo sistema central (KSK2)
Contexto: KSK2, el nuevo sistema tributario central de la NTA
La NTA afirma oficialmente que reemplazó su sistema tributario nacional el 24 de septiembre de 2026. Según Nikkei xTECH, debido a problemas con el nuevo sistema (KSK2), la NTA ha pedido al personal que use el sistema anterior para preparar los certificados de pago de impuestos y revisar su contenido antes de emitirlos, lo que está causando retrasos.
e-Tax también publicó avisos sobre problemas como la imposibilidad de pagar la tasa del certificado mediante banca por internet, posteriormente marcados como resueltos. La NTA afirma que el incidente de la declaración del impuesto de donaciones no está relacionado con KSK2.
Lecciones para desarrolladores: realice pruebas de autorización incluso en actualizaciones «de comodidad»
No fue una intrusión desde el exterior. Se trató de un caso en el que los datos de otro usuario aparecieron en la pantalla de un usuario que había iniciado sesión correctamente. En términos de seguridad, es un fallo de control de acceso (las reglas sobre quién puede acceder a qué datos).
Un patrón muy relacionado es el de IDOR (referencia directa insegura a objetos): basta con cambiar un número o identificador en una solicitud para acceder a datos de otra persona. La diferencia entre comprobar quién es usted (autenticación) y comprobar si puede acceder a estos datos (autorización) se explica en Autenticación frente a autorización.
El fallo de WebFiling de Companies House del Reino Unido de marzo de 2026 fue del mismo tipo: un defecto introducido por una actualización del sistema permitió a usuarios conectados ver datos no públicos de otras empresas. Este incidente añade dos puntos.
La opinión de este sitio: las actualizaciones que añaden funciones son donde se pasan por alto las comprobaciones de autorización
Esta actualización aumentó los tipos de información que muestra MyPage. Cada nuevo dato recuperado necesita su propia comprobación de que pertenece a la persona que ha iniciado sesión. Las actualizaciones que hacen una página más cómoda rara vez se tratan como cambios de seguridad, por lo que esa comprobación es fácil de pasar por alto.
- Incluya las pruebas de autorización en el mismo conjunto que las pruebas funcionales y ejecútelas automáticamente en cada cambio. Configure los usuarios de prueba A y B. Con sesión iniciada como A, solicite las listas, detalles y descargas de B, y cada pantalla y cada recuperación de datos que añadió la actualización, y confirme que cada una es rechazada o devuelve solo los datos de A. Las pruebas funcionales comprueban que lo que debe funcionar funciona; estas pruebas comprueban que lo que no debe funcionar no funciona.
- Registre tanto el «propietario del documento» como el «quién lo mostró», y genere alertas ante discrepancias. Aquí, la NTA publicó por separado el número de declaraciones visibles (79 declarantes) y el número de personas que pudieron haberlas visto (19). En general, producir este tipo de cifras requiere un registro de quién mostró los documentos de quién. Si se activa una alerta cada vez que quien ve y el propietario son distintos, puede ayudar a detectar un problema justo después de una publicación. Excluya de antemano las relaciones de representación legítimas, como que un contador fiscal vea los documentos de un cliente.
Otros casos de filtración de datos personales por parte de organismos públicos, y lo que pueden hacer los ciudadanos, se tratan en Cuatro filtraciones de datos gubernamentales de 2026.
Fuentes (registro público)
Los datos de este artículo se basan en la siguiente información pública. A fecha del 6 de octubre de 2026, no encontramos el anuncio de la NTA en los sitios web de la NTA o de e-Tax, por lo que citamos informes periodísticos sobre él. El mecanismo detallado del defecto no se ha publicado, y no especulamos al respecto.
- Nikkei xTECH, «Las declaraciones de 79 personas podrían haber sido vistas por otros en e-Tax de la NTA; un defecto independiente de KSK2» (en japonés, 5 de octubre de 2026) — xtech.nikkei.com
- Nikkei, «Podrían haberse mostrado 79 declaraciones del impuesto de donaciones; defecto de la actualización de e-Tax» (en japonés, 2 de octubre de 2026) — nikkei.com
- TV Asahi (ANN), «Información del impuesto de donaciones de otras personas visible temporalmente en e-Tax» (en japonés, 2 de octubre de 2026) — news.yahoo.co.jp
- Zei no Shirube, «La NTA revela que la información de declaraciones del impuesto de donaciones era visible para otros en e-Tax MyPage» (en japonés, 2 de octubre de 2026) — shirube.zaikyo.or.jp
- e-Tax, aviso sobre la ampliación de la «información del impuesto de donaciones» en MyPage (en japonés, 27 de mayo de 2026, actualizado el 24 de septiembre) — e-tax.nta.go.jp
- Agencia Nacional Tributaria, «Sobre la sustitución del sistema tributario nacional» (en japonés) — nta.go.jp
- e-Tax, «[Resuelto] No se pudieron pagar las tasas de certificados por banca por internet» (en japonés, 29 de septiembre de 2026, actualizado el 5 de octubre) — e-tax.nta.go.jp
- Agencia Nacional Tributaria, «Cuidado con los correos electrónicos y llamadas sospechosos» (en japonés) — nta.go.jp
Historial de actualizaciones
2026-10-06: Primera versión, basada en informes sobre el anuncio de la NTA del 2 de octubre (Nikkei xTECH, Nikkei, TV Asahi, Zei no Shirube) y en la guía oficial de la NTA y de e-Tax. Actualizaremos este artículo si la NTA publica el anuncio en su sitio web o indica oficialmente qué elementos eran visibles.
Lectura recomendada
- Protegerse de mensajes falsos: ¿Qué es el phishing?
- El mismo tipo de incidente: El fallo de WebFiling de Companies House (Reino Unido)
- Términos y conceptos: ¿Qué es IDOR? / Autenticación frente a autorización
- Incidentes gubernamentales: Cuatro filtraciones de datos gubernamentales de 2026
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026 (Japón y el mundo)