Para: estudiantes actuales, personal, exalumnos, antiguo personal y personas relacionadas de la Universidad de Saga, y pacientes del Hospital Universitario de Saga y sus familiares. Este artículo se basa en los avisos oficiales de la Universidad de Saga y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
estudiantes actuales, personal, exalumnos, antiguo personal y personas relacionadas de la Universidad de Saga, y pacientes del Hospital Universitario de Saga y sus familiares.
- Confirmado hasta ahoraVer la tabla ↓
- Daño por ransomware
- Recuperación de los terminales administrativos
Señalado como posiblemente afectado
- Nombre, fecha de nacimiento, sexo, dirección, teléfono, correo
- Contraseña
- Datos de pacientes (departamento clínico, nombre de la enfermedad o lesión, fecha de la consulta, etc.)
2 más
- Número de estudiantes, personal y otros
- Si se sacaron datos
- Aún sin confirmar
- El número de pacientes y cuáles están incluidos (la universidad lo investiga)
- La vía de intrusión y la causa (una empresa especializada externa investiga; el aviso no da explicación)
- Cómo se guardaban las contraseñas (el aviso no dice si estaban cifradas o con hash)
2 más
- Si se contactará a cada persona y cuándo
- Si los datos llegaron a sacarse realmente (el aviso solo dice que una filtración «no puede descartarse»)
- Qué hacer ahoraVer los pasos ↓
- Averigüe si puede estar incluido
- Compruebe los mensajes que digan ser de la universidad o del hospital sin usar sus enlaces ni números
- Cambie su contraseña universitaria y la de cualquier servicio donde la reutilizó
3 más
- Pacientes y familiares: desconfíe especialmente de los mensajes que se hagan pasar por el hospital
- Si ya se fue, revise las cuentas y contraseñas antiguas
- Use solo los puntos de contacto de los avisos
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Universidad de Saga, «事務情報システムにおけるランサムウェア被害の発生について» (daño por ransomware en los sistemas de información administrativa, 30 de octubre de 2026, comprobado el 2 de noviembre; en japonés)
- Última comprobación
- A 2 de noviembre de 2026
Próximos avisos y qué comprobamos
En su aviso del 30 de octubre, la universidad dice que continuará la investigación, reforzará aún más sus medidas de seguridad de la información y trabajará para evitar que se repita. El 2 de noviembre comprobamos las páginas de avisos de la universidad y el sitio web del hospital universitario y no encontramos nada más reciente que el aviso del 30 de octubre.
Qué deben hacer hoy las personas que pueden estar afectadas
Averigüe si puede estar incluido
Según la universidad, el grupo es de unos 80.000 estudiantes, miembros del personal, exalumnos, antiguo personal y personas relacionadas. Los datos de pacientes figuran por separado y su número se está investigando. El aviso no dice si se contactará a cada persona ni cómo comprobar si está incluida (a 2 de noviembre).
El grupo no se limita a estudiantes y personal actuales: incluye a quienes ya se fueron y a quienes dieron sus datos como personas relacionadas. Si se fue hace algunos años, empiece con los pasos siguientes sin esperar un mensaje.
Compruebe los mensajes que digan ser de la universidad o del hospital sin usar sus enlaces ni números
La universidad dice que, en relación con este incidente, pueden llegar correos, mensajes de texto y llamadas sospechosos que se hagan pasar por la universidad o por organizaciones relacionadas. Pide no abrir las URL ni los archivos adjuntos de mensajes inesperados y no introducir datos personales ni contraseñas en sitios web sospechosos.
Un mensaje con su nombre, dirección, fecha de nacimiento y teléfono correctos no prueba que sea auténtico. Para comprobarlo, use el sitio web oficial de la universidad (saga-u.ac.jp) que abra usted mismo, o un punto de contacto indicado en el aviso, no el enlace ni el número del mensaje (cómo reconocer falsificaciones: Qué es el phishing).
Cambie su contraseña universitaria y la de cualquier servicio donde la reutilizó
«Contraseña» figura entre los elementos listados. El aviso no dice si las contraseñas estaban cifradas o con hash, así que este sitio no las considera seguras aunque se hayan leído (nuestro criterio).
Cambie la contraseña de su cuenta universitaria siguiendo las indicaciones de la universidad, en una pantalla auténtica que abra usted mismo, nunca a través de un enlace de un correo o mensaje de texto. Si usa la misma contraseña o una parecida en otros servicios, cámbiela primero allí. Para comprobarlo, vea Cómo comprobar si una contraseña se filtró; para una herramienta que las mantenga separadas, Cómo elegir un gestor de contraseñas; y añada la autenticación multifactor donde pueda.
Pacientes y familiares: desconfíe especialmente de los mensajes que se hagan pasar por el hospital
Los datos de pacientes son información personal que requiere atención especial, como el departamento clínico, el nombre de la enfermedad o lesión y la fecha de la consulta. Con ellos, alguien puede crear mensajes convincentes sobre «comprobar resultados de pruebas», «facturas médicas pendientes», «trámites de seguro» o «reprogramar una consulta».
El sitio web del hospital universitario (aviso con una adición del 30 de octubre) presenta disculpas a los pacientes y sus familiares, dice que hasta ahora no se ha confirmado ningún daño secundario y pide vigilar los contactos sospechosos. Si una llamada, un mensaje de texto o un correo le pregunta por su tratamiento o su pago, llame usted usando un número del sitio web oficial del hospital, de su tarjeta de paciente o de una factura, no el del mensaje.
Si ya se fue, revise las cuentas y contraseñas antiguas
Los exalumnos y el antiguo personal rara vez ven avisos de la universidad, por lo que es menos probable que noten mensajes falsos. Compruebe si hay servicios vinculados a una antigua dirección de correo universitaria o a un número de estudiante que ya no usa.
Piense si todavía usa en algún otro sitio una cadena parecida a su contraseña universitaria y, en ese caso, cámbiela.
Use solo los puntos de contacto de los avisos
El punto de contacto de la universidad es su Oficina de Relaciones Públicas (teléfono 0952-28-8153). El sitio web del hospital remite a un formulario de consultas específico (Relaciones Públicas Médicas de la Universidad de Saga). El hospital dice que investigará los hechos y responderá, y que la investigación puede llevar tiempo. Busque la entrada a estos en un sitio oficial que abra usted mismo.
① Una llamada, correo o mensaje de texto que dice ser de la universidad o del hospital (que el nombre, la dirección o la fecha de la consulta sean correctos no lo resuelve)
↓
② No use sus enlaces ni números; compruébelo en un sitio oficial que abra usted mismo o en un punto de contacto del aviso
↓
③-A No está en el lado oficial / pide una contraseña o datos del tratamiento: no ceda
③-B El lado oficial tiene el mismo aviso: siga las indicaciones oficiales
Qué ocurrió (según la Universidad de Saga)
Esto se basa en los avisos de la universidad del 30 de octubre y del 28 de septiembre y en el aviso del sitio web del hospital (comprobados el 2 de noviembre).
24 de septiembre de 2026, 8:42
Confirmó un daño que se cree causado por ransomware en un NAS (almacenamiento conectado a la red) usado por los departamentos administrativos. Inició la respuesta inicial centrada en su CSIRT (equipo de respuesta a incidentes de seguridad de la información)Más tarde, como parte de la respuesta inicial (sin hora)
Informó al Ministerio de Educación y a otros organismos, y consultó a la policía24 de septiembre, 16:45
Detuvo el uso de los terminales administrativos para evitar que el daño se extendiera (aviso del 28 de septiembre)27 de septiembre, 11:03
Trabajó en la recuperación con los departamentos y empresas implicados y reanudó el uso de los terminales administrativos28 de septiembre
Reanudó la actividad normal. El aviso de ese día decía que no se había encontrado impacto en los sistemas relacionados con la educación, la investigación y la atención clínicaDespués del reinicio del 27 de septiembre
Encargó una investigación a una empresa especializada externa y examinó en detalle la vía de intrusión y el alcance (el aviso no da fechas)30 de octubre
Anunció que había confirmado que no puede descartar que la información personal (incluidos datos de pacientes) se haya filtrado fuera de la universidad. El sitio web del hospital incluye un aviso cuyo título dice «10/30追記» (añadido el 30 de octubre)
- Qué ocurrió
- A las 8:42 del 24 de septiembre, confirmó un daño que se cree causado por ransomware en un NAS usado por los departamentos administrativos
- Qué se comprobó el 30 de octubre
- Confirmó que no puede descartar que la información personal que conserva, incluidos datos de pacientes, se haya filtrado fuera de la universidad
- Número de afectados
- Estudiantes, personal, exalumnos, antiguo personal y personas relacionadas: unas 80.000 personas. Datos de pacientes: en investigación
- Información implicada
- (Estudiantes, personal, personas relacionadas) nombre, fecha de nacimiento, sexo, dirección, número de teléfono, dirección de correo, contraseña. (Datos de pacientes) información personal que requiere atención especial (departamento clínico, nombre de la enfermedad o lesión, fecha de la consulta, etc.)
- Respuesta de la universidad
- Respuesta inicial centrada en el CSIRT, informe al Ministerio de Educación y otros organismos, consulta a la policía, recuperación con los departamentos y empresas implicados, investigación por una empresa especializada externa
- Petición de la universidad
- Pueden llegar correos, mensajes de texto y llamadas sospechosos que se hagan pasar por la universidad o por organizaciones relacionadas. No abra las URL ni los archivos adjuntos de mensajes inesperados ni introduzca datos personales o contraseñas en sitios web sospechosos
- Sitio web del hospital universitario
- Un aviso con una adición del 30 de octubre presenta disculpas a los pacientes y sus familiares, dice que hasta ahora no se ha confirmado ningún daño secundario y pide vigilar los contactos sospechosos. Hay un formulario de consultas específico
Qué se sabe y qué no
El estado a 2 de noviembre de 2026. Reescribiremos esta tabla cuando se publique más información.
| Elemento | Lo que dijo la universidad | Estado |
|---|---|---|
| Daño por ransomware | Confirmado a las 8:42 del 24 de septiembre en un NAS usado por los departamentos administrativos | Confirmado (universidad) |
| Recuperación de los terminales administrativos | Uso reanudado a las 11:03 del 27 de septiembre; actividad normal desde el 28 de septiembre | Confirmado (universidad) |
| Nombre, fecha de nacimiento, sexo, dirección, teléfono, correo | No puede descartar que se hayan filtrado. La línea del recuento dice «estudiantes, personal, exalumnos, antiguo personal, personas relacionadas»; el paréntesis de la línea de elementos dice «estudiantes, personal, personas relacionadas» | Posible (universidad) |
| Contraseña | Figura entre los elementos. No dice si estaba cifrada o con hash | Posible (universidad) |
| Cómo se guardaban las contraseñas | No indicado | No indicado |
| Datos de pacientes (departamento clínico, nombre de la enfermedad o lesión, fecha de la consulta, etc.) | No puede descartar que se haya filtrado información personal que requiere atención especial. Número en investigación | Posible (universidad) |
| Número de pacientes | En investigación | En investigación |
| Número de estudiantes, personal y otros | Unas 80.000 personas | Posible (universidad) |
| Vía de intrusión y causa | Se encargó la investigación a una empresa especializada externa. No se da explicación | En investigación |
| Si se sacaron datos | Dice que una filtración «no puede descartarse»; no dice que se haya confirmado la extracción | Posible (universidad) |
| Uso indebido / daño secundario | No indicado en el aviso de la universidad. El sitio web del hospital dice que hasta ahora no se ha confirmado ningún daño secundario | No indicado (universidad) |
| Contacto con las personas afectadas | No indicado | No indicado |
| Autoridades | La universidad describe haber informado al Ministerio de Educación y a otros organismos y haber consultado a la policía. No se menciona un informe a la Comisión de Protección de Información Personal. No encontramos ninguna declaración de las autoridades | No indicado |
Una nota sobre cómo leer «no puede descartarse» y «unas 80.000 personas»
La universidad dice que confirmó que no puede descartar que la información personal se haya filtrado al exterior. No dice que los datos se sacaran ni que se usaran indebidamente. Este sitio usa la redacción de la universidad tal cual.
La cifra de unas 80.000 corresponde a estudiantes, personal, exalumnos, antiguo personal y personas relacionadas. Los datos de pacientes están en una línea aparte marcada como «en investigación», y el aviso no dice si los pacientes están contados en las 80.000. Aunque no sepa si le afecta, vale la pena empezar hoy los pasos anteriores.
Para qué pueden usarse los nombres, direcciones, contraseñas y datos de pacientes
Lo siguiente es lo que, en general, puede ocurrir con esta combinación de elementos, no algo que la universidad diga que haya ocurrido aquí.
- Nombre + dirección + teléfono + correo: una lista de objetivos para llamadas, correos y mensajes de texto convincentes que se hagan pasar por la universidad o por un organismo público
- Fecha de nacimiento + sexo: material para mensajes que fingen verificar su identidad y una pista para las comprobaciones de identidad en otros servicios
- Contraseña: puede probarse en otros servicios donde se use la misma contraseña o una parecida. Como no se indica la forma de almacenamiento, cambie también la propia contraseña universitaria
- Departamento clínico + nombre de la enfermedad + fecha de la consulta: material para mensajes que se hagan pasar por un hospital, facturas médicas, un seguro o resultados de pruebas. No hable por teléfono ni en una página enlazada de detalles que no querría que se conocieran, como un diagnóstico, parezca o no auténtica la otra parte
Qué deben revisar los operadores
No se ha publicado la vía de intrusión, así que esto abarca solo lo que respalda la cronología publicada.
- El alcance se amplió unas cinco semanas después del primer aviso (25 de septiembre): el aviso del 28 de septiembre decía que no se había encontrado impacto en los sistemas de educación, investigación ni atención clínica. El 30 de octubre pasó a decir que no puede descartar que se haya filtrado información personal, incluidos datos de pacientes. Averiguar pronto qué se almacenaba en el almacenamiento afectado ayuda a informar más rápido después
- Haga inventario del almacenamiento compartido de los departamentos administrativos: compruebe si hay información personal, en especial la que requiere atención especial, en servidores de archivos o NAS de oficina. Cuanto más difícil es saber a qué sistema pertenecen los datos, más se tarda en precisar el alcance
- Cuánto tiempo conservar datos de antiguos usuarios: este grupo incluye a exalumnos y antiguo personal. Decida cuánto tiempo y dónde conserva la información personal tras la graduación o la salida
- Conservación de contraseñas: si guarda contraseñas, sea capaz de explicar qué podría ocurrir en una filtración, incluida la forma en que se guardan. Guardarlas en una forma que no pueda convertirse de nuevo en la cadena original es lo mínimo
Para saber cómo funciona el ransomware y cómo prepararse, vea Qué es el ransomware; para casos en que se detuvieron hospitales, vea Hospitales detenidos por ciberataques en 2026.
Fuentes (registros públicos)
Los hechos de este artículo se apoyan en la información pública siguiente. No especulamos sobre vías ni métodos de intrusión que no se hayan publicado.
- Universidad de Saga, «事務情報システムにおけるランサムウェア被害の発生について» (daño por ransomware en los sistemas de información administrativa, 30 de octubre de 2026, comprobado el 2 de noviembre; en japonés) — saga-u.ac.jp (el mismo aviso en el listado: saga-u.ac.jp)
- Universidad de Saga, primer aviso (publicado el 25 de septiembre de 2026, según nuestros registros; en japonés) — saga-u.ac.jp
- Universidad de Saga, «事務情報システムにおけるランサムウェア被害の発生について» (28 de septiembre de 2026, comprobado el 2 de noviembre; en japonés) — saga-u.ac.jp
- Hospital Universitario de Saga, «【お詫び】事務情報システムにおけるランサムウェア被害の発生について（10/30追記）» (aviso de disculpas con una adición del 30 de octubre, comprobado el 2 de noviembre; en japonés) — hospital.med.saga-u.ac.jp
Historial de actualizaciones
2026-11-02: Primera versión. Basada en el aviso de la universidad del 30 de octubre (no puede descartar que se hayan filtrado datos personales y datos de pacientes; unas 80.000 personas), su aviso del 28 de septiembre y el aviso del sitio web del hospital universitario (comprobado el 2 de noviembre; no se encontró nada más reciente que el 30 de octubre).
Lea a continuación
- Prepararse ante mensajes falsos: Qué es el phishing / Cómo elegir un gestor de contraseñas
- Ransomware y copias de seguridad: Qué es el ransomware / Fundamentos de las copias de seguridad (la regla 3-2-1)
- Casos similares en Japón: Ataque de ransomware a la Universidad Metropolitana de Osaka / Hospitales detenidos por ciberataques en 2026
- Otros incidentes de 2026: Lista de filtraciones de datos y ciberataques (Japón y el extranjero)