Cuando tu proveedor de hosting web sufre una brecha: qué deben hacer los clientes

La visión de este sitio: reducir lo que perderías es mejor que cambiar de contrato

Cada incidente así trae el consejo de «deja el hosting compartido y contrata un VPS». No lo recomendamos como respuesta por defecto. Un VPS te aísla más, pero también te traspasa toda la responsabilidad de parchear el sistema operativo y el middleware; sin la capacidad operativa para mantenerlo al día, el resultado es un servidor descuidado que se convierte en su propia vía de entrada. Este sitio funciona sobre una infraestructura que no es exclusivamente suya, y el principio que aplica es «que se pueda sobrevivir si alguien lee ese servidor»: los secretos se guardan como variables de entorno gestionadas fuera del árbol publicado, las credenciales se limitan a cada uso, y la copia principal de las copias de seguridad y del contenido publicado está en otro sitio. El tipo de contrato no es una defensa; es un factor más que influye en cuánto daño puede hacer una brecha.

La visión de este sitio: para un cliente, el valor de este informe está en una línea sobre las contraseñas iniciales

El informe enumera siete medidas de corrección, y casi todas son cosas que solo puede hacer el proveedor: auditar los privilegios de administración, ampliar la cobertura del EDR, reconstruir todos los servidores, encargar auditorías externas. Solo un pasaje le dice a un cliente que haga algo hoy: el que dice que ciertas contraseñas iniciales no tenían hash. Ante un informe de incidente largo, el instinto es querer entenderlo todo; el hábito más útil es el contrario: encontrar primero las variables que controlas. El resto sirve para elegir tu próximo proveedor, no para esta noche.

Una cosa más. «Tres años sin detectarse» no dice que esta empresa sea un caso raro: se siguen comunicando intrusiones descubiertas solo al cabo de un año o más, en Japón y en otros países. Por eso la suposición sensata desde el lado del cliente es que un proveedor acabará sufriendo una brecha. Y por eso la conclusión de este artículo no cambia: reduce lo que perderías.

Historial de cambios

2026-09-21: Reestructurado. Los pasos van ahora al principio para que el lector pueda actuar, y la secuencia del primer al último informe se agrupa en «Cómo evolucionó la información», al final. No se añadieron ni cambiaron hechos (la fecha de verificación no cambia).
2026-09-10: Incorporados los resultados de la investigación y el plan de corrección (tercer informe). Queda establecido que el acceso no autorizado al sistema de gestión comercial duró de abril de 2023 a marzo de 2026, con rastros en el entorno de hosting desde julio de 2025. El alcance pasó de 583 a 951 cuentas. La empresa reveló por primera vez que algunas contraseñas iniciales de servidor del hosting compartido y algunas contraseñas iniciales de administrador del producto VPS no tenían hash, así que se añadió un paso (cambiar hoy cualquier contraseña inicial que se siga usando). La empresa concluyó que no hay motivos claros que vinculen ambos sucesos. La extracción de datos sigue sin confirmarse, y la vía de intrusión se omite expresamente para no facilitar ataques de imitación.
2026-09-05: Incorporada la actualización de las preguntas frecuentes del 2 de septiembre. La empresa explicó que darse de baja de un servicio y darse de baja como miembro son trámites distintos, y que los registros de miembro se conservan hasta que te das de baja como miembro, por eso los antiguos clientes están en el alcance. También delimitó el cuerpo de los correos, los datos de WordPress y del sitio, los envíos de formularios de contacto y los ajustes de DNS («no hay un hecho confirmado» a esa fecha, con la investigación aún abierta), e indicó que no puede confirmar la exposición cliente por cliente. Una nueva sección cubre todo esto, y se añadió la dirección de remitente de sus avisos (support@sakura.ad.jp). La vía de intrusión sigue sin publicarse; el siguiente anuncio está previsto para mediados de septiembre de 2026.
2026-08-22: Incorporada la actualización de las preguntas frecuentes del 21 de agosto. La consola de miembros exige autenticación en dos pasos, así que la empresa dice que no hay una gran necesidad de cambiar esa contraseña de inmediato; lo que pide en su lugar es cambiar cualquier contraseña reutilizada en otros servicios. Los pasos se reordenaron en consecuencia, y el cambio de las contraseñas del servidor y del correo, junto con la revisión del segundo factor, pasa a ser un paso aparte. También se añadieron a las preguntas frecuentes la confirmación de los datos de contacto registrados y la limpieza de las cuentas sin uso. A la fecha de redacción no se ha publicado un tercer comunicado de prensa.
2026-08-20: Incorporado el segundo informe (19 de agosto). Posible acceso no autorizado al sistema de gestión comercial que contiene los registros de contratos, con 1.360.563 cuentas de miembro potencialmente en el alcance (datos de contraseña con hash de 30 de ellas). Las preguntas frecuentes de la empresa recomiendan ahora cambiar la contraseña como precaución, así que ese pasó a ser el primer paso, y el alcance ya no se limita a los clientes de servidores de alquiler. La vía de intrusión sigue sin publicarse.
2026-08-18: Primera versión, basada en la primera comunicación.