Para: cualquier persona registrada como miembro de SourceNext y quienes operan un servicio que almacena datos de miembros. Este artículo se basa en el aviso oficial y la FAQ de SOURCENEXT CORPORATION, una empresa japonesa de software, y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará conforme la organización publique más información
FAQ oficial revisada el 22 de octubre; informe de entrevista revisado el 21 de octubreAún no se sabe
- Número de personas (el aviso solo da una cifra de registros)
- Detalles de la vulnerabilidad y resultado de la investigación externa de terceros (iniciada el 16 de octubre, según la FAQ)
- Si los datos filtrados han sido utilizados indebidamente
La empresa dice que investiga la causa y el alcance con especialistas externos y que anunciará con prontitud cualquier hecho nuevo en su sitio web y en otros medios. El 16 de octubre añadió una actualización sobre el restablecimiento de contraseñas. Su FAQ indica que corrigió la vulnerabilidad del sistema que causó la filtración y ha terminado de desactivar las contraseñas incluidas en la filtración, y que ha empezado a buscar otras vulnerabilidades (revisado el 19 de octubre). No se ha revelado en qué consistía la vulnerabilidad. La FAQ revisada el 22 de octubre indica que la empresa pidió a un especialista externo e independiente en seguridad que iniciara una investigación de terceros el 16 de octubre.
Qué deben hacer hoy los miembros de SourceNext
Compruebe si le afecta (registrado antes de las 13:36 del 13 de octubre)
Según la FAQ de la empresa, el alcance abarca a las personas registradas como miembros hasta las 13:36 del 13 de octubre de 2026. Desde el 15 de octubre, las personas que podrían verse afectadas reciben correos por etapas en su dirección registrada. Las personas sin correo registrado serán contactadas por carta.
Si alguna vez se registró en SourceNext, siga los pasos siguientes aunque no le haya llegado ningún aviso.
Cambie primero la contraseña de otros servicios que la compartan
Tanto las direcciones de correo como las contraseñas están entre los elementos que podrían haberse filtrado. La empresa advierte de que un tercero podría probar este par para iniciar sesión en otros servicios, y pide a los miembros que cambien la contraseña de cualquier otro servicio que use la misma combinación.
Un informe del 19 de octubre atribuye al portavoz de la compañía el almacenamiento cifrado y la exposición descifrada confirmada. La empresa ha desactivado las antiguas contraseñas de SourceNext, pero en otros servicios siguen funcionando. Empiece por el correo, las compras en línea y los servicios financieros. Un gestor de contraseñas es la forma práctica de dejar de reutilizarlas, y la autenticación de dos factores hace que una contraseña conocida sea mucho menos útil para un atacante.
Establezca una nueva contraseña de SourceNext a través del sitio oficial que abra usted mismo
En su actualización del 16 de octubre, la empresa dijo que la contraseña de todos los miembros ya ha sido desactivada y que las antiguas ya no pueden usarse. Al iniciar sesión, la pantalla le guiará para establecer una nueva contraseña.
El sitio de restablecimiento está saturado y es difícil de acceder, y la empresa pide a los miembros que lo intenten de nuevo después de un tiempo. Hágalo a través del sitio oficial que abra desde un marcador o un buscador, no desde un enlace en un correo o mensaje. No reutilice una contraseña de otro servicio.
Esté atento a correos, mensajes, llamadas y cartas que digan ser de SourceNext
La empresa advierte de que los datos podrían usarse indebidamente para enviar correos sospechosos (correos de phishing), mensajes de texto, llamadas y cartas que se hagan pasar por la compañía o sus socios. Pide a los miembros que no abran enlaces ni archivos adjuntos de correos o mensajes inesperados, y que no introduzcan datos personales ni contraseñas en sitios web sospechosos.
El nombre de la empresa, el cargo y el departamento también están entre los elementos. Si se registró con una dirección de trabajo, tenga cuidado también con los mensajes a su lugar de trabajo sobre "actualizaciones de software" o "verificaciones de licencia".
Su software de seguridad y 1Password pueden seguir como están
Según la FAQ de la empresa, Super Security y Virus Security pueden usarse como antes. Las contraseñas y otros datos guardados en 1Password no están en poder de la empresa y no forman parte de esta filtración. No es necesario desinstalar ni volver a instalar los productos. Si un mensaje le dice que debe reinstalar un producto o volver a autenticar una licencia, no abra sus enlaces; compruébelo en el sitio oficial que abra usted mismo.
Para consultas, use el contacto específico indicado en el aviso oficial
El aviso indica una línea específica para este incidente, 0120-035-116 (gratuita en Japón, de 10:00 a 18:00, incluidos fines de semana y festivos), y un formulario de consulta enlazado desde la página del aviso. Según la FAQ, las solicitudes para cerrar una cuenta también se gestionan allí. Verifique el número en el aviso oficial a través de un sitio web que abra usted mismo; no use números ni enlaces de mensajes que reciba.
Qué ocurrió (según SourceNext)
Lo siguiente se basa en el aviso de la empresa del 15 de octubre de 2026 (incluida la actualización del 16 de octubre) y en su FAQ (revisada el 17 de octubre).
9 oct 2026 (vie), alrededor de las 10:00
Un tercero comenzó el acceso no autorizado y utilizó indebidamente una API de recuperación de datos de miembros para obtener datos de miembros (detectado en la investigación posterior).13 oct (mar), alrededor de las 9:00
Se confirmó el acceso no autorizado al sistema que gestiona los datos de miembros. Se tomaron medidas de emergencia, incluido el bloqueo del tráfico externo no autorizado.13 oct (mar), antes de las 13:36
Contención completada. La supervisión continúa y, según la empresa, no se ha encontrado ningún acceso no autorizado desde entonces.15 oct (jue)
Notificado a la Comisión de Protección de Información Personal de Japón y publicado el aviso. Se iniciaron por etapas los correos a los miembros afectados.16 oct (vie)
Se añadió una actualización sobre el sitio de restablecimiento saturado y el hecho de que todas las contraseñas habían sido desactivadas. El aviso indicaba que ese día se presentaría un informe de daños ante la policía local (la FAQ dice que la empresa consultó a la policía local ese día). Según la FAQ, el mismo día la empresa pidió a un especialista externo e independiente en seguridad que iniciara una investigación de terceros.
- Sistema afectado
- El sistema de la empresa para gestionar datos de miembros
- Cifra
- 22.519.960 registros. El aviso indica registros, no un número de personas
- Alcance
- Personas registradas como miembros hasta las 13:36 del 13 de octubre de 2026 (FAQ)
- Elementos
- Dirección de correo, contraseña, nombre, nombre en katakana, dirección, sexo, número de teléfono, número de fax, fecha de nacimiento, nombre de la empresa, cargo, departamento, identificadores del sistema (servicios contratados, fecha de registro, fecha de inicio de sesión, etc.). No todos los elementos para cada miembro; los elementos varían según el registro
- Contraseñas
- Almacenamiento cifrado y exposición descifrada: atribuido al portavoz de la empresa en un informe del 19 de octubre. La empresa dice que todas las contraseñas están desactivadas
- No incluidos
- Datos de tarjetas de crédito (no almacenados en el sistema afectado). La empresa dice que no recoge documentos de identidad en el registro
- Vía
- Un tercero utilizó indebidamente una API de recuperación de datos de miembros. La vulnerabilidad que lo causó ha sido corregida (FAQ); detalles no revelados
- Notificaciones
- Comisión de Protección de Información Personal el 15 de octubre. Policía local el 16 de octubre (el aviso dice que se planeaba un informe de daños; la FAQ dice que la empresa consultó a la policía)
- Investigación de terceros
- Iniciada el 16 de octubre por un especialista externo e independiente en seguridad a petición de la empresa (FAQ)
- Efecto en los productos
- Super Security y Virus Security pueden usarse como antes. Los datos guardados en 1Password no están en poder de la empresa y no forman parte de la filtración (FAQ)
Correo + contraseña
Cambie los demás servicios que usen el mismo par; restablezca SourceNext a través del sitio oficial
Nombre, dirección, teléfono, fecha de nacimiento
No use enlaces ni números en correos, mensajes, llamadas o cartas que digan ser de la empresa
Empresa, cargo, departamento
Si se registró con una dirección de trabajo, esté atento a mensajes falsos dirigidos a su lugar de trabajo
Qué se sabe y qué no
Situación a 19 de octubre de 2026. Cuando la empresa publique más información, la columna de estado se actualizará.
| Elemento | Lo que dice el aviso | Estado |
|---|---|---|
| Datos que salen de la empresa | Se detectó que datos personales de los miembros se filtraron fuera (la FAQ dice que "probablemente" se filtraron) | Filtración confirmada (empresa) |
| Cifra | 22.519.960 registros (no se indica número de personas) | Posible (empresa) |
| Alcance | Personas registradas antes de las 13:36 del 13 de octubre | Confirmado (empresa) |
| Elementos | Correo, contraseña, nombre, nombre en katakana, dirección, sexo, teléfono, fax, fecha de nacimiento, empresa, cargo, departamento, identificadores (varían según el miembro) | Posible (empresa) |
| Almacenamiento de contraseñas | Almacenamiento cifrado y exposición descifrada, según el portavoz citado el 19 de octubre | Información atribuida |
| Datos de tarjetas de crédito | No almacenados en el sistema afectado | No incluidos (empresa) |
| Periodo de acceso | Desde alrededor de las 10:00 del 9 de octubre hasta la contención a las 13:36 del 13 de octubre | Confirmado (empresa) |
| Vía y causa | Uso indebido de una API de recuperación de datos de miembros; la vulnerabilidad ha sido corregida; detalles no revelados | En investigación |
| Acceso tras la contención | No se ha encontrado ninguno desde la contención | No encontrado (empresa) |
| Uso indebido de los datos filtrados | No mencionado en el aviso | No indicado |
| Contraseñas | Todas desactivadas; las antiguas ya no funcionan (actualización del 16 de octubre; el aviso y la FAQ revisados el 19 de octubre dicen "desactivadas") | Desactivadas (empresa) |
| La vulnerabilidad | La FAQ dice que la empresa corrigió la vulnerabilidad del sistema que causó la filtración inmediatamente después de detectarla. No se ha revelado en qué consistía | Corregida (empresa) |
| Investigación de terceros | Iniciada el 16 de octubre por un especialista externo e independiente en seguridad (FAQ) | En investigación (empresa) |
| Software de seguridad y 1Password | Super Security y Virus Security pueden usarse como antes; los datos de 1Password no están en poder de la empresa y no forman parte de la filtración (FAQ) | No afectados (empresa) |
| Avisos individuales | Correos por etapas desde el 15 de octubre; cartas previstas para quienes no tienen correo | En curso (empresa) |
Nota de lectura: los registros no son personas
La cifra del aviso es un recuento de registros, no de personas. Si una persona tiene varios registros, por ejemplo, las dos cifras serán distintas. Este artículo se actualizará si se publica un número de personas. Además, los datos de tarjetas de crédito son el único elemento que el aviso indica explícitamente como no incluido. No interprete los elementos que no aparecen en la lista como "no filtrados".
Para qué puede servir la combinación de elementos
En general, estas combinaciones permiten los siguientes tipos de uso indebido. Esto no significa que haya ocurrido en este caso.
- Correo + contraseña: probados en otros servicios que usen el mismo par (conocido como relleno de credenciales)
- Nombre + dirección + teléfono + correo: mensajes de "disculpa" o de "restablezca su contraseña" convincentes, con el nombre y la dirección correctos, incluidas cartas falsas
- Empresa + cargo + departamento: material para mensajes de trabajo falsos que se hagan pasar por un proveedor
- Fecha de nacimiento + identificadores como la fecha de registro: material para suplantarle por teléfono. Conocer estos datos no es prueba de identidad
Para comprobar si una contraseña se ha filtrado, consulte Cómo comprobar si su contraseña fue filtrada; para buscar inicios de sesión desconocidos, consulte Cómo comprobar si alguien accedió a su cuenta.
En un caso anterior, la filtración de datos de miembros de Bookoff de octubre de 2026, la primera cifra de "hasta unos 6,43 millones de registros (números de miembro)" se concretó en el segundo informe como número de personas (6.383.279). Esto puede o no ocurrir aquí.
Opinión de este sitio: desactivar las contraseñas antiguas no protege los otros lugares donde las reutilizó
Como la empresa dice que ha desactivado la contraseña de todos los miembros, las contraseñas filtradas son mucho menos útiles para iniciar sesión en el propio SourceNext. Otros servicios que comparten la misma contraseña quedan fuera de esa medida. Aunque el sitio de restablecimiento sea difícil de acceder, puede cambiar hoy mismo las contraseñas reutilizadas en otros lugares. Hágalo en este orden: primero los demás servicios.
Para operadores de servicios que almacenan datos de miembros: vigile el volumen que devuelven sus API de datos de miembros
La empresa no ha revelado detalles de la vulnerabilidad, por lo que esta sección no explica cómo prevenir la intrusión. De la secuencia publicada se pueden extraer dos cosas: se utilizó una función para extraer datos de miembros (una API), y transcurrieron unos cuatro días (cálculo de este sitio a partir de las horas del aviso) entre el inicio del acceso (alrededor de las 10:00 del 9 de octubre) y su confirmación (alrededor de las 9:00 del 13 de octubre). Los pasos siguientes se limitan a lo que puede decidir de antemano para su propio servicio. Esta sección no es una evaluación de la respuesta de la empresa.
Establezca un límite por hora y una alerta para cada API que devuelva datos personales
En general, con o sin autenticación, una API de datos de miembros debería devolver rara vez grandes cantidades de miembros a un mismo usuario u origen en poco tiempo. Establezca un límite de cuántos miembros puede devolver cada API por hora, y avise a alguien al 80 % de ese límite, para detectar antes una extracción inusual.
Hay tres lugares donde medir: dentro de la aplicación (registrar cuántos registros se devuelven), delante de ella (límites de tasa en un proxy inverso o CDN) y en los registros de auditoría de su nube (alertas). Los ajustes prácticos están en Límites de tasa y control de abuso.
Prepare la vía de restablecimiento antes de desactivar la contraseña de todos
Desactivar la contraseña de cada miembro tras una filtración envía a mucha gente a la pantalla de restablecimiento en poco tiempo; también aquí la empresa anunció que su sitio de restablecimiento estaba saturado. Puede decidir de antemano escalar la pantalla de restablecimiento por separado del servicio principal, y preparar mensajes para los periodos de mucha carga ("inténtelo más tarde", "cambie primero los otros servicios").
Compruebe también que las contraseñas se almacenan con un método lento y específico para contraseñas (bcrypt, Argon2 y similares) con una sal. El método de almacenamiento determina lo que tendrá que pedir a los usuarios tras una filtración (¿Qué es el hash de contraseñas?).
Fuentes (registro público)
Los hechos de este artículo se basan en las fuentes públicas siguientes. No hemos especulado sobre la vulnerabilidad ni los métodos no revelados. No se encontró ninguna comunicación sobre este incidente en el sistema de divulgación oportuna de la Bolsa de Tokio (TDnet) entre el 13 y el 17 de octubre de 2026 (revisado el 17 de octubre).
-
SOURCENEXT CORPORATION, "当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ" (Disculpa y aviso sobre la filtración de información de clientes por acceso no autorizado a nuestro sitio; 15 de octubre de 2026, actualizado el 16 de octubre) — sourcenext.com
-
Misma empresa, "情報漏洩に関するよくあるご質問" (Preguntas frecuentes sobre la filtración de información; sin fecha, revisado el 22 de octubre de 2026) — sourcenext.com
-
Informe de entrevista que cita al portavoz de la empresa (19 de octubre de 2026), distinto del aviso oficial y la FAQ — respuesta de la empresa informada
Historial de actualizaciones
2026-10-22: Se añadieron nuevas respuestas de la FAQ: una investigación de terceros por un especialista externo e independiente en seguridad iniciada el 16 de octubre; Super Security y Virus Security pueden usarse como antes; los datos de 1Password no están en poder de la empresa y no forman parte de la filtración. Se eliminó una afirmación sobre los productos y servicios en conjunto, que no aparece en la página oficial, y se ajustó la respuesta de que el uso de 1Password no se ve afectado. Las cifras, los elementos y el manejo de contraseñas no cambian.
21 de octubre de 2026: Verificado el informe del 19 de octubre que se tenía previamente que atribuye al portavoz la actualización de contraseñas. Las cifras y el alcance de la invalidación no cambian.
2026-10-19: Se añadieron respuestas de la FAQ (la desactivación de las contraseñas incluidas en la filtración está completa; se ha iniciado una comprobación de otras vulnerabilidades). Se cambió "cambiadas" por "desactivadas" en las contraseñas, según la redacción de la empresa.
2026-10-17: Primera versión, basada en el aviso de la empresa del 15 de octubre (incluida la actualización del 16 de octubre) y en su FAQ (revisada el 17 de octubre). El número de personas, los detalles de la vulnerabilidad y el formato de almacenamiento de contraseñas no se han revelado; este artículo se actualizará cuando se haga.
Lea a continuación
- Casos de datos de miembros del mismo periodo: Filtración de datos de miembros de Bookoff / La filtración de Gyazo
- Contraseñas: Cómo comprobar si su contraseña fue filtrada / Elegir y usar un gestor de contraseñas
- Estafas derivadas: ¿Qué es el phishing?
- Otros incidentes de 2026: Lista de filtraciones de datos y ciberataques (Japón y el mundo)
- Divulgación relacionada: NIFTY y comprobaciones para miembros afectados