A quién va dirigido: personas que reciben mensajes de alerta de desastre, de prevención del delito u otros enviados mediante SpeeCAN RAIDEN (sobre todo de municipios japoneses), personas registradas en NET119 (un servicio para hacer llamadas de emergencia al 119 sin hablar), y municipios y organizaciones que dependen de un servicio externo para notificaciones masivas. Este artículo se basa en los anuncios oficiales de Arcadia Inc. y de los municipios que han comunicado afectación. No trata los métodos de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
Actualizaciones hasta la 22.ª (17:55 del 23 de octubre) comprobadas el 24 de octubre; las fechas de los municipios siguen las de cada filaAún no se sabe
- Cifras por municipio u organización (las cifras de Arcadia son estimaciones bajo investigación)
- Número de registros que pudieron filtrarse (Arcadia sigue investigando en todos los servicios)
- Resultados de la investigación detallada de un organismo de seguridad externo
- Por qué la cifra de NET119 pasó de «unos 13000» (4.ª actualización) a datos «vinculados a 9.020 direcciones de correo» (11.ª actualización)
- Resultados de la investigación en la dark web por un organismo externo (se comunicarán más adelante)
La duodécima actualización del 19 de octubre explica la causa e informa de 1.423.428 correos no autorizados, no de personas afectadas. La 17.ª actualización del 21 de octubre dice que eran correos de phishing enviados entre la 1:17 y las 7:16 del 13 de octubre, y que al menos 869.575 de ellos no fueron a direcciones de correo que la empresa posee. El alcance de la filtración sigue bajo investigación y un organismo externo realizará una investigación en la dark web. El informe publicado con la 21.ª actualización del 23 de octubre dice que todos los servicios están dentro del alcance de la posible filtración y que el recuento sigue bajo investigación (9.020 de ellos corresponden a NET119).
Qué deben hacer hoy los suscriptores de alertas de desastre
No bloquee ni marque como spam al remitente de las alertas de desastre
Según la ciudad de Shizuoka, la dirección del remitente de los correos falsos que confirmó era «〇〇@raiden.ktaiwork.jp». Es parte de la dirección de remitente genuina que usa el correo de alertas de desastre de la ciudad de Shizuoka.
La ciudad advierte de que, si configura el remitente de un correo sospechoso como «bloqueado» o «spam», también dejará de recibir la información sobre desastres de la ciudad. Limítese a eliminar los correos falsos y deje como están sus ajustes de recepción.
No abra enlaces ni archivos adjuntos de correos que digan ser de una empresa de tarjetas o de un municipio
El correo falso que confirmó la ciudad de Shizuoka tenía el asunto «＜重要＞ご利用確認のお願い» (Importante: confirme su uso), se hacía pasar por una empresa de tarjetas de crédito real y pedía al destinatario confirmar la actividad de la tarjeta. La ciudad dice que es solo un ejemplo y pide estar atento también a correos sospechosos con otros asuntos y remitentes.
La ciudad de Shizuoka dice que la única información que envía desde @raiden.ktaiwork.jp es información sobre desastres. Si un correo del remitente de las alertas de desastre le pide introducir datos de tarjeta, banco, contraseña, nombre o dirección, trátelo como falso y elimínelo. Revise la actividad de su tarjeta en la aplicación oficial de la empresa o en un sitio que abra usted mismo (cómo reconocer falsificaciones: Qué es el phishing).
Consulte el aviso de su municipio para saber si le afecta
El anuncio de Arcadia no nombra los municipios afectados ni da cifras por municipio. Consulte los avisos del sitio web oficial de cada municipio cuyas alertas haya registrado (desastres, prevención del delito, alertas de incendios, etc.). La tabla siguiente recoge los municipios cuyas páginas oficiales abrimos y confirmamos. Algunos municipios dicen que, mientras su servicio esté suspendido, publicarán información en su sitio web, en redes sociales y en los altavoces exteriores de radio para desastres.
Usuarios de NET119: sigan usándolo para llamadas de emergencia
En su undécima actualización del 16 de octubre, Arcadia dijo que, en NET119 (net119.speecan.jp y net119fd.speecan.jp), pudieron filtrarse nombres, fechas de nacimiento, sexo, direcciones, números de teléfono, direcciones de correo, números de fax e información introducida al registrarse en otros servicios de los usuarios, vinculados a 9.020 direcciones de correo. Dice que confirmó que no se filtraron datos personales sensibles y que por ahora no hay riesgo para los avisos en vídeo.
Dice que la vía de intrusión ha sido bloqueada y que no se encontraron programas maliciosos en el sistema, que por ahora no hay planes de suspender el servicio y que puede usarse con normalidad. Tiene previsto informar individualmente a cada cuerpo de bomberos de qué direcciones de correo pudieron filtrarse.
Siga usándolo en una emergencia. No responda a correos ni llamadas que digan ser del cuerpo de bomberos o de un municipio y pidan sus datos de registro, su contraseña o datos bancarios; compruébelo mediante el contacto que figura en la página oficial del cuerpo de bomberos o del municipio en el que se registró.
Para consultas, use el contacto del anuncio
Según el anuncio de Arcadia, su línea de atención sobre información personal es el teléfono 050-5830-0750 y el correo info@arcadia.co.jp (de 9:00 a 17:00, hora de Japón, excepto fines de semana, festivos y el periodo de Año Nuevo). El 15 de octubre dijo que sus líneas telefónicas estaban saturadas y pidió a quienes no pudieran comunicarse que escribieran por correo. Para consultas sobre su propio registro o sobre cuándo se reanudarán las alertas, contacte con el departamento responsable de su municipio.
En su documento explicativo del 23 de octubre, Arcadia dice que no envía correos directamente a los residentes, porque hacerlo sería un uso de datos personales más allá de su finalidad según la ley japonesa de protección de la información personal. Consulte los avisos de su municipio para ver las indicaciones a los registrados.
Alerta de desastre real
…@raiden.ktaiwork.jp
Solo envía información sobre desastres (ciudad de Shizuoka)
Correo falso detectado
〇〇@raiden.ktaiwork.jp
«Importante: confirme su uso». Se hace pasar por una empresa de tarjetas y pide confirmar la actividad de la tarjeta
↓ Bloquear al remitente detiene ambos
Qué hacer: no toque sus ajustes y elimine todo lo que no sea información sobre desastres (peticiones de confirmar, introducir datos o hacer clic en enlaces)
Compruebe si le afecta (avisos municipales)
Son los avisos que abrimos y confirmamos en el sitio web oficial de cada municipio (a 14 de octubre de 2026). Otros municipios y organizaciones también han hecho anuncios. Si su municipio no figura en la tabla, eso no significa que no le afecte.
Las cifras son las de cada municipio. Se cuentan de forma distinta (personas cuyos datos se ha establecido que se filtraron, registros que pudieron filtrarse, número de registros de usuarios), por lo que no se pueden sumar. La columna de estado usa las palabras de cada municipio.
| Municipio | Servicio | Cifra (del municipio) | Datos principales (aviso del municipio) | Estado (según el municipio) | Estado del servicio | Fecha |
|---|---|---|---|---|---|---|
| Ciudad de Shizuoka | Correo de alertas de desastre de la ciudad de Shizuoka | 34.336 residentes / 6.915 empleados municipales | Residentes: dirección de correo / empleados: nombre, número de empleado, departamento | Establecido que se filtró | Disponible con normalidad tras medidas provisionales. La ciudad dice que ocurrió un incidente similar en su servicio de correo de vigilancia de personas con demencia | 14 oct |
| Ciudad de Yokosuka | Información de desastres por correo / fax / teléfono; correo de prevención del delito | 47.065 / 996 / 11 / 10.848 personas | Direcciones de correo (servicios de fax y teléfono: nombres, números de teléfono y fax, etc.) | Riesgo de filtración (cifras y alcance aún sin determinar) | Los cuatro servicios suspendidos. Ya se ha confirmado spam sospechoso | 13 oct |
| Ciudad de Saitama | Correo de radio de desastres / servicio telefónico de información de desastres | 34.783 / 73 registros | Direcciones de correo / nombres y números de teléfono | Posible filtración (a 13 oct) | Se avisó y advirtió a los registrados a través del servicio | 13 oct (primer informe) |
| Prefectura de Miyazaki | Servicio de correo de desastres y prevención del delito | 38.959 registros | Direcciones de correo de los registrados, etc. | Posible filtración (se comprueba si se filtraron datos de usuarios de la prefectura y en qué medida) | No indicado | 13 oct |
| Ciudad de Imabari | Correo de alertas de incendios / correo de convocatoria de personal / correo de convocatoria del cuerpo de bomberos voluntarios | No indicado | Correo, zona de residencia (dentro o fuera de la ciudad), tramo de edad / nombre y correo del personal / nombre y correo | Posible filtración (no se ha confirmado uso indebido) | Correo de alertas de incendios suspendido (fecha de reanudación sin decidir) | 13 oct (datos añadidos el 14 oct, 16:00) |
Arcadia dice «posiblemente»; la ciudad de Shizuoka dice «establecido»
Las palabras difieren según quién hizo el anuncio. Arcadia dice que los datos «pudieron filtrarse» en el servicio, mientras que la ciudad de Shizuoka dice haber «establecido que» se filtraron los datos de sus registrados en las alertas de desastre. Este artículo atribuye cada afirmación a la organización que la hizo. La forma fiable de saber qué ocurrió con su registro es el aviso de su municipio.
Qué ocurrió (según Arcadia)
Lo siguiente se basa en el anuncio de Arcadia del 13 de octubre de 2026, sus actualizaciones en la misma página hasta la 22.ª actualización de las 17:55 del 23 de octubre, su aviso del cierre de emergencia, el PDF de la duodécima actualización del 19 de octubre, y el documento explicativo y el informe publicados con la 21.ª actualización del 23 de octubre. Las horas son de Japón.
11 de octubre de 2026, 6:26 (informe)
El atacante empieza a acceder al sistema, según el informe de Arcadia. A las 16:39 se obtiene un archivo de configuración mediante una vulnerabilidad del servidor de medios que publica los archivos adjuntos. Según el informe, a las 23:40 la supervisión interna del sistema notó una carga anormal en la base de datos y detectó el acceso no autorizado.11 de octubre de 2026, 16:30
Se observa actividad sospechosa que apunta a un acceso no autorizado en SpeeCAN RAIDEN (anuncio del 13 de octubre).11 de octubre, 23:40 (duodécima actualización)
Hora en que el proveedor dice haber detectado el acceso, distinta de la hora de actividad sospechosa del informe anterior.12 de octubre, hacia las 3:00
Una medida provisional bloquea la vía de intrusión y comienza una investigación sobre el alcance. Según el informe, a las 9:30 se cambia la contraseña de la base de datos (lo que interrumpió la integración de información de incendios y las llamadas telefónicas; las llamadas se corrigieron a las 13:58), a las 15:20 se envía un informe preliminar a la Comisión de Protección de la Información Personal, y a las 17:05 se descubre que se había añadido un complemento no autorizado a un sistema web de administración.13 de octubre, de 1:17 a 7:16 (17.ª actualización)
Un programa malicioso envía 1.423.428 correos de phishing desde el sistema de la empresa. Según el informe, se enviaron a través de una puerta trasera instalada; se advirtió a las 4:10 y el envío se detuvo a las 7:16.13 de octubre
A las 10:20 Arcadia anuncia en su blog oficial que pudieron filtrarse datos personales (hora según el informe; hacia las 10:30 según la ciudad de Saitama). A las 11:00 cierra los servicios que fueron la vía de intrusión (raiden3.ktaiwork.jp para SpeeCAN RAIDEN y s2.ktaiwork.jp para Raiden School) y bloquea el acceso desde las direcciones IP de origen. Dice que una inspección de los servicios que no cerró no encontró programas maliciosos instalados. Según el informe, desde las 11:40 consulta con la policía local y con JPCERT/CC (centro japonés de coordinación de incidentes de seguridad), a las 17:00 bloquea las direcciones IP de origen y a las 18:00 encuentra rastros de acceso no autorizado en la base de datos de NET119.13 de octubre
La ciudad de Yokosuka, la ciudad de Saitama, la prefectura de Miyazaki, la ciudad de Imabari y otros publican sus propios avisos.14 de octubre, 10:40
Arcadia publica un texto de advertencia de muestra para que los administradores (los municipios y otros que usan el servicio) lo envíen a sus registrados.14 de octubre
La ciudad de Shizuoka anuncia que ha establecido que se filtraron los datos de sus registrados en las alertas de desastre y advierte de los correos falsos que ha visto.14 de octubre, de 15:00 a 17:12
Arcadia añade que hubo rastros de acceso no autorizado a NET119 y 119RAIDEN y que pudieron filtrarse datos personales. A las 16:00 lo corrige, diciendo que algunas URL de 119RAIDEN (fs119.speecan.jp y 119r.speecan.jp) no están afectadas. A las 17:12 dice que por ahora no hay riesgo para los avisos en vídeo de NET119. La investigación abarca ahora todos los servicios. (Según la 11.ª actualización, los rastros en NET119 y 119RAIDEN se encontraron a las 8:30 del 14 de octubre, al investigar el incidente del 11 de octubre. El informe dice que en ese momento se encontraron rastros en las bases de datos del antiguo 119RAIDEN, de NET119 y de un subsistema contable interno, y que a las 22:50 se encontraron varias entradas alteradas en la base de datos de raiden3. Según el informe, a las 11:30 se descubrió que las respuestas automáticas se habían detenido por el cambio de contraseña de la base de datos, y se restablecieron a las 19:50.)15 de octubre, 10:12
Arcadia dice que ha informado a la Comisión de Protección de la Información Personal y que ha consultado o notificado a la policía, a las secretarías de ISMS y PrivacyMark, a la Oficina de Telecomunicaciones de Kinki (Ministerio de Asuntos Internos y Comunicaciones), a la Oficina de Economía, Comercio e Industria de Kinki y a otros (7.ª actualización).15 de octubre, hacia las 15:00
Según el informe, los datos alterados de raiden3 se corrigieron a mano a las 9:30 y a las 13:30 se confirmó que el código fuente no había sido alterado. raiden3 y s2 se restablecen (9.ª actualización; 15:10 en el informe, tras un cierre de unas 52 horas). Arcadia dice que todos los servicios están plenamente restablecidos, que la vía de intrusión está bloqueada y que no se encontraron programas maliciosos en el sistema. Dice que también está abordando vulnerabilidades según sea necesario y que sigue investigando el alcance de la filtración. Como precaución, pide a todos los clientes que cambien sus contraseñas de inicio de sesión.16 de octubre, 15:30
Arcadia dice que, tras consultar a la Comisión de Protección de la Información Personal, se prepara para presentar en su nombre los informes a la Comisión que normalmente presentaría cada cliente (10.ª actualización). Se necesita el consentimiento de los clientes, y les escribirá cuando esté listo.16 de octubre, 18:10
La 11.ª actualización repite las URL, los datos y las cifras de NET119 y 119RAIDEN y revisa la cifra de NET119 (véase la lista siguiente). Dice que por ahora no hay planes de suspender los servicios.19 de octubre, 15:58
Arcadia escribe a los clientes de SpeeCAN RAIDEN, NET119 y 119RAIDEN sobre los informes a la Comisión de Protección de la Información Personal que presentará en su nombre, pidiéndoles que comprueben e introduzcan los detalles (13.ª actualización, 20 de octubre).20 de octubre, 16:47
Arcadia escribe a los distribuidores de sus servicios sobre los informes al Ministerio de Asuntos Internos y Comunicaciones que presentará en su nombre (14.ª actualización, 21 de octubre).21 de octubre, 15:00
Se pide a los clientes que usan las integraciones con LINE, X o Facebook que las configuren de nuevo (15.ª actualización).21 de octubre, de 17:00 a 19:30
Las funciones de fax, integración de difusión y archivos adjuntos se restringen temporalmente para investigación y pruebas (16.ª actualización). A las 17:20 la 17.ª actualización da el intervalo horario de los correos no autorizados, dice que al menos 869.575 no fueron a direcciones que la empresa posee y que un organismo externo realizará una investigación en la dark web. A las 19:30 se levantan las restricciones al terminar la investigación y las pruebas (18.ª actualización).22 de octubre, 10:40
Se detiene la función de integración por API con sistemas externos para investigación y pruebas (19.ª actualización). Abarca seis hosts: raiden.ktaiwork.jp, raiden2.ktaiwork.jp, raiden3.ktaiwork.jp, raiden2.speecan.jp, s.ktaiwork.jp y s2.ktaiwork.jp. Como los sistemas externos no pueden conectarse, los mensajes deben enviarse manualmente desde SpeeCAN RAIDEN.22 de octubre, 16:05
Como parte de la prevención de que se repita y del refuerzo de la seguridad, se comunica a los clientes que deben usar la «autenticación en dos pasos al iniciar sesión» (20.ª actualización). Además del nombre de usuario y la contraseña, usa un código de confirmación enviado a una dirección de correo, válido solo durante 15 minutos desde su envío. Abarca raiden.ktaiwork.jp, raiden2.ktaiwork.jp y raiden3.ktaiwork.jp, y se publica un PDF con el procedimiento de configuración.23 de octubre, 17:35
La 21.ª actualización publica un documento explicativo y un informe sobre los hechos establecidos, el alcance, la respuesta y la política futura. En gran parte repiten las actualizaciones 2.ª, 12.ª y 17.ª; las novedades son el número de contratos en los servicios de la empresa y la declaración de que no envía correos directamente a los residentes.23 de octubre, 17:55
También se comunica a los clientes de Raiden School (s.ktaiwork.jp y s2.ktaiwork.jp) que deben usar la «autenticación en dos pasos al iniciar sesión» (22.ª actualización). Funciona igual que en la 20.ª actualización.
- Servicios afectados (13 oct)
- raiden.ktaiwork.jp, raiden2.ktaiwork.jp, raiden3.ktaiwork.jp, raiden2.speecan.jp, s.ktaiwork.jp, s2.ktaiwork.jp
- Datos (13 oct)
- Nombres de contacto, direcciones de correo, números de teléfono y fax / información de personal y de contratos / contenido del texto de los mensajes guardado como historial
- Cifras máximas (13 oct)
- Unas 3.136.000 direcciones de correo, unos 105.000 números de teléfono, unos 15.000 números de fax. Descritas como «solo estimaciones», con la investigación en curso
- NET119 (11.ª actualización, 16 oct)
- URL afectadas: net119.speecan.jp y net119fd.speecan.jp. Nombres, fechas de nacimiento, sexo, direcciones, números de teléfono, direcciones de correo, números de fax e información introducida al registrarse en otros servicios de los usuarios: «los datos personales anteriores vinculados a 9.020 direcciones de correo». Arcadia confirmó que no se filtraron datos personales sensibles. Tiene previsto informar individualmente a cada cuerpo de bomberos de qué direcciones de correo pudieron filtrarse
- 119RAIDEN (11.ª actualización, 16 oct)
- URL afectada: solo fs119.ktaiwork.jp. Nombres de contacto, direcciones de correo, números de teléfono y fax, información de personal y de contratos. Unas 97000 direcciones de correo, unos 17000 números de teléfono, unos 400 números de fax
- No incluido
- Tarjetas de crédito y otros datos de pago (no se manejan). Avisos en vídeo de NET119 (por ahora sin riesgo)
- Causa (12.ª actualización, repetida en el informe del 23 de octubre)
- Se obtuvo un archivo de configuración mediante recorrido de rutas de directorio (un fallo que permite leer archivos que no deberían verse) en el servidor de medios que publica los archivos adjuntos, y se filtró una clave secreta usada para los inicios de sesión entre servicios. El atacante inició sesión probando por fuerza bruta identificadores de cuenta y obtuvo información interna. Los correos no autorizados se enviaron a través de una puerta trasera instalada
- Alcance (informe)
- Todos los servicios están dentro del alcance de la posible filtración. También se encontraron rastros en las bases de datos de NET119, 119RAIDEN y un subsistema contable interno. Algunos datos de la base de datos de raiden3 fueron alterados y corregidos el 15 de octubre. El número de registros que pudieron filtrarse sigue bajo investigación; 9.020 de ellos corresponden a NET119 (solo datos personales vinculados a direcciones de correo, sin historial médico ni similar)
- Comprobaciones de seguridad (informe, investigación interna)
- Arcadia dice que confirmó que la vulnerabilidad está corregida, que no existe código fuente malicioso, que las bases de datos están íntegras y que los archivos de configuración y las tareas programadas no tienen problemas, y lo usa como base para restablecer el servicio. Se ha pedido una investigación detallada a un organismo de seguridad externo
- Medidas para evitar que se repita (informe)
- Hechas: evaluación de vulnerabilidades y revisión de código de todos los servicios con un LLM (modelo de lenguaje de gran tamaño) de uso exclusivamente interno; revisión de cómo se accede internamente a la base de datos, con una contraseña distinta por servicio; refuerzo de la supervisión automática (en curso). Previstas: evaluación de vulnerabilidades por una empresa externa, controles más fuertes como la autenticación en dos pasos para el acceso a la base de datos, estudio de un SOC (centro de operaciones de seguridad), revisión una a una de los archivos de configuración de las integraciones con redes sociales, aplicaciones de desastres y correo por zonas y pruebas de los sistemas de radio de desastres con sus fabricantes, más investigación sobre los correos no autorizados y presentación de una denuncia por daños a la policía basada en los registros de acceso
- Contratos (documento explicativo del 23 de octubre)
- A finales de septiembre de 2026: organismos públicos 875 (como desglose figuran municipios 715, cuerpos de bomberos 312 y comisarías 22; el total difiere de 875), empresas y otros 242, escuelas 584. Son contratos de todos los servicios de la empresa, no se indican como número de contratos afectados
- Servicios
- raiden3 y s2 cerrados desde las 11:00 del 13 de octubre y restablecidos hacia las 15:00 del 15 de octubre. Se pidió a todos los clientes que cambiaran sus contraseñas de inicio de sesión como precaución. NET119 y 119RAIDEN: sin planes de suspensión; utilizables con normalidad
- Correos no autorizados (17.ª actualización, 21 de octubre)
- Enviados desde el sistema de la empresa por un programa malicioso entre la 1:17 y las 7:16 del 13 de octubre. Contenido de phishing, 1.423.428 en total, de los cuales al menos 869.575 no fueron a direcciones de correo que la empresa posee. Un organismo externo realizará una investigación en la dark web, con resultados que se comunicarán más adelante
- Informes
- Se informó a la Comisión de Protección de la Información Personal y se consultó o notificó a la policía y a otros organismos. Se escribió a los clientes el 19 de octubre sobre la presentación del informe a la Comisión en su nombre, y a los distribuidores el 20 de octubre sobre la presentación del informe al Ministerio de Asuntos Internos y Comunicaciones en su nombre
- Integraciones con servicios externos (15.ª actualización, 21 de octubre)
- Los clientes que usan las integraciones con LINE (todos los amigos, envío por segmentos), X o Facebook deben configurarlas de nuevo. En LINE, la información usada para la integración (el secreto del canal) se vuelve a emitir y se guarda de nuevo en RAIDEN. Los clientes que comparten los datos de integración con otros proveedores deben compartir los nuevos datos
- Restricciones de funciones (21 de octubre)
- Fax, integración de difusión y archivos adjuntos restringidos desde las 17:00 para investigación y pruebas; levantadas a las 19:30
- Autenticación en dos pasos al iniciar sesión (20.ª actualización, 22 oct)
- Se comunica a los clientes de raiden.ktaiwork.jp, raiden2.ktaiwork.jp y raiden3.ktaiwork.jp que deben usarla. Además del nombre de usuario y la contraseña, usa un código de confirmación enviado a una dirección de correo, válido solo durante 15 minutos desde su envío
Cifra de NET119: «unos 13000» en la 4.ª actualización pasó a datos «vinculados a 9.020 direcciones de correo» en la 11.ª
La 4.ª actualización de Arcadia del 14 de octubre dio, en una tabla con una columna por servicio, el «número máximo de registros de datos personales que pudieron filtrarse» como «unos 13000» para NET119, y como «direcciones de correo: unas 97000», «números de teléfono: unos 17000» y «números de fax: unos 400» para 119RAIDEN.
La 11.ª actualización del 16 de octubre describe NET119 como datos personales «vinculados a 9.020 direcciones de correo». Las cifras de 119RAIDEN son las mismas que en la 4.ª actualización. Arcadia no ha explicado por qué cambió la cifra de NET119 ni cómo se contaron las dos cifras. No hemos reinterpretado ninguna de las dos y las mostramos tal como se publicaron.
Qué sabemos y qué no
Las divulgaciones del proveedor recogidas aquí llegan hasta la 22.ª actualización (17:55) del 23 de octubre. La información específica de cada municipio está vigente solo a la fecha de comprobación que figura en cada fila; no hemos verificado que todos los municipios hayan reanudado el servicio.
| Elemento | Qué se anunció | Estado |
|---|---|---|
| Direcciones de correo | Hasta unos 3,136 millones (estimación) | Posible (Arcadia) |
| Números de teléfono y fax | Hasta unos 105.000 / unos 15.000 (estimaciones) | Posible (Arcadia) |
| Nombres de contacto, información de personal y de contratos | Se citan como datos afectados. Sin cifra | Posible (Arcadia) |
| Texto de mensajes guardado como historial | Se cita como dato afectado | Posible (Arcadia) |
| Datos de usuarios de NET119 (nombre, fecha de nacimiento, sexo, dirección, etc.) | Datos personales vinculados a 9.020 direcciones de correo (11.ª actualización, 16 de octubre) | Posible (Arcadia) |
| Datos personales sensibles de NET119 | Confirmado que no se filtraron | No incluidos (Arcadia) |
| Contactos, información de personal y de contratos de 119RAIDEN | Unas 97000 direcciones de correo, unos 17000 números de teléfono, unos 400 números de fax (11.ª actualización, 16 de octubre) | Posible (Arcadia) |
| Cambio en la cifra de NET119 | 4.ª actualización: hasta unos 13000; 11.ª actualización: datos personales vinculados a 9.020 direcciones de correo. Sin explicación del cambio | No indicado |
| Avisos en vídeo de NET119 | Por ahora sin riesgo | No incluidos (Arcadia) |
| Tarjetas de crédito y otros datos de pago | No se manejan, por lo que no forman parte de la filtración | No incluidos (Arcadia) |
| Contraseñas | No se mencionan en el anuncio | No indicado |
| Datos de registrados en las alertas de desastre de la ciudad de Shizuoka | Direcciones de correo de 34.336 residentes; nombres, números de empleado y departamentos de 6.915 empleados municipales | Filtración confirmada (ciudad de Shizuoka) |
| Cifras por municipio u organización | No las da Arcadia. Cada municipio publica las suyas | En investigación |
| Causa | Se obtuvo un archivo de configuración mediante una vulnerabilidad del servidor de medios que publica los archivos adjuntos, se filtró una clave secreta para los inicios de sesión entre servicios y se probaron por fuerza bruta identificadores de cuenta (12.ª actualización, informe del 23 de octubre) | Divulgada (Arcadia) |
| Alcance de la filtración | Todos los servicios están dentro del alcance de la posible filtración; el recuento sigue bajo investigación (informe del 23 de octubre) | En investigación |
| Datos alterados | Algunos datos de la base de datos de raiden3 fueron alterados y corregidos el 15 de octubre; el código fuente no fue alterado (informe) | Confirmado (Arcadia) |
| Investigación detallada por un tercero | Solicitada a un organismo de seguridad externo (informe) | En investigación |
| Contacto directo con los residentes | Arcadia no escribe directamente a los residentes, ya que sería un uso más allá de la finalidad según la ley de protección de la información personal (documento explicativo del 23 de octubre) | Confirmado (Arcadia) |
| Reanudación | raiden3 y s2 restablecidos hacia las 15:00 del 15 de octubre. Arcadia dice que todos los servicios están plenamente restablecidos | Confirmado (Arcadia) |
| Destino de los correos no autorizados | De 1.423.428, al menos 869.575 no fueron a direcciones de correo que la empresa posee (17.ª actualización) | Divulgado (Arcadia) |
| Investigación en la dark web | La realizará un organismo externo, con resultados que se comunicarán más adelante (17.ª actualización) | Prevista (Arcadia) |
| Informe a la Comisión de Protección de la Información Personal | Arcadia ha informado. Escribió a los clientes el 19 de octubre sobre la presentación en su nombre, pidiéndoles que comprueben e introduzcan los detalles | En curso (Arcadia) |
| Informe al Ministerio de Asuntos Internos y Comunicaciones | Escribió a los distribuidores el 20 de octubre sobre la presentación en su nombre | En curso (Arcadia) |
| Integraciones con LINE, X y Facebook | Los clientes que las usan deben configurarlas de nuevo (15.ª actualización) | Acción necesaria por parte de los clientes |
| Autenticación en dos pasos al iniciar sesión | Los clientes de raiden, raiden2 y raiden3 (20.ª actualización) y de Raiden School s y s2 (22.ª actualización) deben configurarla | Acción necesaria por parte de los clientes |
Para qué pueden usarse los datos filtrados
En general, las siguientes combinaciones pueden usarse de forma indebida de estas maneras. Esto no significa que haya ocurrido en este caso (los correos falsos que realmente se han visto se tratan más arriba).
- Dirección de correo más el tipo de alerta registrada: saber que alguien se suscribe a alertas de desastre facilita enviar correos falsos que dicen ser de un municipio o sobre desastres, como falsas ayudas o avisos de refugios
- Nombre más número de teléfono o fax: llamadas o faxes falsos que dicen ser de un municipio o del cuerpo de bomberos
- Texto de mensajes guardado como historial: copiar la redacción de avisos reales para crear falsificaciones convincentes
- Nombre más fecha de nacimiento más dirección (usuarios de NET119): material para contactos que fingen verificar la identidad para sacar más información
Los correos que parecen venir de un remitente genuino no son exclusivos de este caso. Por qué el remitente que se muestra no prueba la autenticidad se explica en Spam desde su propia dirección de correo.
Nuestra opinión: las alertas de desastre son mensajes que no se pueden desactivar, así que se juzgan por el contenido, no por el remitente
La defensa habitual contra el correo falso es rechazar a los remitentes sospechosos, pero eso no funciona con las alertas de desastre, porque rechazarlas también detiene los mensajes que se necesitan en un desastre.
Lo que sí funciona es la regla que dio la ciudad de Shizuoka: esta dirección envía solo información sobre desastres. La información sobre desastres es algo que simplemente se lee; nunca exige confirmar una tarjeta ni introducir datos en una página enlazada. Si el remitente de las alertas de desastre le pide confirmar o introducir algo, es falso, aunque el remitente parezca idéntico.
Qué deberían revisar los municipios y organizaciones que externalizan las notificaciones masivas
La 12.ª actualización y el informe del 23 de octubre explican la causa; esta sección no evalúa la seguridad del proveedor. Expone lo que las organizaciones que dependen de un servicio externo para enviar notificaciones masivas a los residentes, como el correo de alertas de desastre, pueden comprobar por su cuenta, a partir de la secuencia de hechos publicada y de los datos implicados. Cómo hacer un inventario de los datos que se entregan a un proveedor de correo se trata en la filtración de direcciones de correo de JR East, View Card y JR Kyushu, por lo que esta sección se centra en puntos específicos de este caso.
Decida cómo son los mensajes reales, de una forma que se pueda comunicar a los residentes
La ciudad de Shizuoka explica que los correos falsos usaron el mismo dominio que los reales. Cuando el remitente no permite a los residentes saber qué mensaje es real, lo que los protege es una regla clara sobre qué contienen los mensajes reales.
La ciudad de Shizuoka dijo a los residentes que solo envía información sobre desastres desde @raiden.ktaiwork.jp. Si en tiempos normales decide que las alertas de desastre nunca piden confirmar tarjetas o cuentas bancarias ni introducir datos en una página enlazada, y lo indica en su guía de registro, podrá emitir la misma advertencia el día de un incidente.
Cambie la contraseña de inicio de sesión de administración y active la autenticación en dos pasos (municipios, organizaciones y escuelas que usan SpeeCAN RAIDEN o Raiden School)
El 15 de octubre, al restablecer los servidores suspendidos, Arcadia pidió a todos los clientes que cambiaran sus contraseñas de inicio de sesión antes de usar el servicio, como precaución. Indica iniciar sesión en RAIDEN, abrir la pantalla de administración, ir a Configuración, luego a Cuentas de inicio de sesión, seleccionar la cuenta y cambiar la contraseña.
En su 20.ª actualización del 22 de octubre, como parte de la prevención de que se repita y del refuerzo de la seguridad, la empresa dice que los clientes deben usar la «autenticación en dos pasos al iniciar sesión». Además del nombre de usuario y la contraseña, usa un código de confirmación enviado a una dirección de correo, válido solo durante 15 minutos desde su envío. Según la guía de configuración, tanto los administradores como los usuarios generales inician sesión, van a Cuenta > Configuración de la dirección de correo, registran la dirección que recibirá el código, la confirman con el código y luego activan «usar la autenticación en dos pasos con esta dirección al iniciar sesión». Las URL de inicio de sesión afectadas son raiden.ktaiwork.jp, raiden2.ktaiwork.jp y raiden3.ktaiwork.jp. En su 22.ª actualización del 23 de octubre, la empresa comunicó a los clientes de Raiden School (s.ktaiwork.jp y s2.ktaiwork.jp) que también deben usar la misma «autenticación en dos pasos al iniciar sesión». La configuración sigue el PDF de procedimiento de la empresa.
Registre una dirección en la que el empleado aún pueda recibir mensajes en el trabajo. Si varios empleados comparten una cuenta de administración, compruebe también quién la usa y quién recibe el código.
Si usa las integraciones con LINE, X o Facebook, configúrelas de nuevo (municipios y organizaciones que usan el servicio)
En su 15.ª actualización del 21 de octubre, Arcadia pidió a los clientes que usan las integraciones con LINE (todos los amigos, envío por segmentos), X o Facebook que las configuraran de nuevo. En LINE, vuelva a emitir la información usada para la integración (el secreto del canal) en la consola de administración de LINE y guárdela de nuevo en Configuración ampliada de la pantalla de administración de RAIDEN. En X y Facebook, rehaga el enlace desde la misma pantalla de Configuración ampliada.
Según la guía en PDF de la empresa, si la pestaña de LINE en Configuración ampliada tiene dos campos de entrada, siga los pasos de «todos los amigos»; si tiene cinco, siga los de «envío por segmentos»; si no hay pestaña de LINE, no hay que hacer nada. Si comparte los datos de integración con otro proveedor, la integración de ese proveedor dejará de funcionar, por lo que deberá compartir los nuevos datos. Consulte los pasos completos en el blog oficial de la empresa.
Revise los correos sobre los informes presentados en su nombre y complete los datos (clientes y distribuidores)
Arcadia dice que, tras consultar a la Comisión de Protección de la Información Personal, presentará los informes que cada cliente presentaría normalmente. Dice que escribió a los clientes el 19 de octubre, y a los distribuidores el 20 de octubre sobre el informe al Ministerio de Asuntos Internos y Comunicaciones, pidiéndoles que comprueben los detalles e introduzcan la información necesaria. Si no ha recibido el correo o tiene dudas, consulte las indicaciones y el contacto en el blog oficial de la empresa.
Incluya siempre «no bloquee al remitente» en su advertencia
Los consejos genéricos contra el correo falso suelen decir «bloquee a los remitentes sospechosos», pero si los residentes lo hacen con las alertas de desastre, también se detiene la información real sobre desastres. La advertencia de la ciudad de Shizuoka lo indica de forma explícita. El 14 de octubre, Arcadia publicó un texto de advertencia de muestra para que los administradores lo enviaran a los registrados. Si usa una plantilla así, compruebe si debe añadir «por favor, no bloquee a este remitente» para sus propias alertas.
Avise de antemano a los registrados de cómo los contactará si las alertas se detienen
La ciudad de Yokosuka suspendió cuatro servicios de alertas y dice que, mientras tanto, publicará información en su sitio web, en redes sociales oficiales (X, LINE y otras) y en los altavoces exteriores de radio para desastres. La ciudad de Imabari remite a una línea telefónica de información sobre incendios mientras su correo de alertas de incendios está suspendido. La comunicación en caso de desastre no puede simplemente detenerse, así que informe a los registrados en tiempos normales de cuáles son los canales alternativos.
Mantenga los datos personales fuera del texto de los mensajes y fije cuánto tiempo se conserva el historial
Arcadia incluye «el contenido del texto de los mensajes guardado como historial» entre los datos que pudieron filtrarse. Si el texto de los mensajes que envía permanece en el proveedor, poner nombres o números de teléfono en mensajes de convocatoria de personal o en avisos individuales significa que también pueden filtrarse. Compruebe dos cosas: mantenga la información que identifica a personas fuera del texto de los mensajes y fije en su contrato un periodo de conservación para el historial que guarda el proveedor.
Trate las consultas de los residentes como una señal temprana
Según la ciudad de Saitama, un residente preguntó por un correo sospechoso a las 12:50 del 13 de octubre y, dos minutos después, la ciudad consultó con el proveedor y supo del acceso no autorizado. La ciudad de Yokosuka también dice que comprobó la situación después de que registrados preguntaran por correos sospechosos. Asegúrese de que el servicio que recibe una llamada que dice «he recibido un correo extraño» pueda conectarla rápidamente con el departamento que gestiona las alertas y con el proveedor.
Cómo pueden prepararse los clientes ante un incidente en su proveedor se trata en Cuando su proveedor de alojamiento web sufre una intrusión, y otro caso en que la filtración de un servicio se extendió a muchas organizaciones clientes es el acceso no autorizado a Commune.
Fuentes (registro público)
Los hechos de este artículo se basan en la información pública siguiente. No especulamos sobre métodos de acceso no autorizado que no se hayan divulgado. Solo se enumeran los avisos municipales que abrimos y confirmamos en páginas oficiales.
-
Arcadia Inc., «不正アクセスに伴う一連の対応について、他» (Nuestra respuesta al acceso no autorizado, y otros avisos), actualizado el 22 de octubre de 2026 (renombrado a partir del aviso del 13 de octubre «SpeeCAN RAIDENへの不正アクセスによる個人情報漏洩の可能性について»; detalles en la página siguiente) — arcadia.co.jp
-
Arcadia Inc., página detallada «弊社サービスへの不正アクセスに伴う一連の対応について» (Nuestra respuesta al acceso no autorizado a nuestros servicios; publicada el 13 de octubre de 2026, actualizada hasta la 22.ª actualización de las 17:55 del 23 de octubre; titulada originalmente «SpeeCAN RAIDENへの不正アクセスによる個人情報漏洩の可能性について») — raiden.site.ktaiwork.jp
-
Arcadia Inc., procedimiento de configuración de la autenticación en dos pasos al iniciar sesión (adjunto a la 20.ª actualización, en japonés) — PDF oficial
-
Arcadia Inc., guía para comprobar las integraciones de LINE «todos los amigos» y envío por segmentos (21 de octubre de 2026, adjunta a la 15.ª actualización, en japonés) — PDF oficial
-
Arcadia Inc., «不正アクセスに伴う一部サービスの緊急停止について» (Cierre de emergencia de algunos servicios por acceso no autorizado), 13 de octubre de 2026 (la URL de origen anterior devolvió HTTP 404 al comprobarla el 20 de octubre de 2026)
-
Ciudad de Shizuoka, «【不審なメールにご注意ください】災害時の情報収集への備え» (Cuidado con los correos sospechosos: preparación para obtener información en un desastre), actualizado el 14 de octubre de 2026 — city.shizuoka.lg.jp
-
Ciudad de Yokosuka, aviso sobre el riesgo de filtración de datos personales en sus servicios de correo de información de desastres y de prevención del delito, 13 de octubre de 2026 — city.yokosuka.kanagawa.jp
-
Ciudad de Saitama, aviso sobre una posible filtración de datos personales por acceso no autorizado a su sistema de información de desastres (primer informe), 13 de octubre de 2026 — city.saitama.lg.jp
-
Prefectura de Miyazaki, aviso sobre una posible filtración de direcciones de correo en su servicio de correo de desastres y prevención del delito, 13 de octubre de 2026 — pref.miyazaki.lg.jp
-
Ciudad de Imabari, aviso sobre una posible filtración de datos personales por acceso no autorizado al operador de su sistema de distribución de información, 13 de octubre de 2026 (datos añadidos el 14 de octubre) — city.imabari.ehime.jp
-
Proveedor, «Relato del acceso no autorizado y de nuestra respuesta» (19 de octubre de 2026, duodécima actualización) — PDF oficial
-
Arcadia Inc., documento explicativo «【説明資料】不正アクセスによる個人情報漏えいの可能性に関して» (Sobre la posible filtración de datos personales por acceso no autorizado; 23 de octubre de 2026, adjunto a la 21.ª actualización, en japonés) — PDF oficial
-
Arcadia Inc., informe «【報告書】不正アクセスによる個人情報漏えいの可能性に関して» (23 de octubre de 2026, adjunto a la 21.ª actualización, en japonés) — PDF oficial
Historial de actualizaciones
2026-10-24: Se incorporaron el documento explicativo y el informe de la 21.ª actualización de Arcadia (17:35 del 23 de octubre) y su 22.ª actualización (17:55 del mismo día). Del informe se añadieron la causa (un archivo de configuración obtenido mediante una vulnerabilidad del servidor de medios, una clave secreta filtrada para los inicios de sesión entre servicios y la prueba por fuerza bruta de identificadores de cuenta), que todos los servicios están dentro del alcance de la posible filtración, los datos alterados y su corrección, las comprobaciones internas de seguridad, la petición de una investigación de un tercero, las medidas para evitar que se repita, el número de contratos en los servicios de la empresa y la declaración de que no envía correos directamente a los residentes, y se completaron horas en la cronología. Se añadió a los pasos para operadores que los clientes de Raiden School (s y s2) también deben usar la autenticación en dos pasos al iniciar sesión. La cifra (hasta unos 3,136 millones, estimación) y la expresión «pudieron filtrarse» no cambian, por lo que el título y la conclusión no cambian. No se incluyen detalles de la vía de ataque como nombres de archivos y rutas. Las fechas de comprobación de los municipios no cambian.
2026-10-23: Se incorporó la 20.ª actualización de Arcadia (16:05 del 22 de octubre). Se añadió a la cronología, a los pasos para operadores y a las fuentes que los clientes deben usar la autenticación en dos pasos al iniciar sesión (el código es válido 15 minutos; abarca raiden, raiden2 y raiden3). El aviso de la empresa del 22 de octubre sobre las vulnerabilidades de PHP es independiente de este incidente, por lo que no se incluye, y la interrupción prevista por actualización de servidor anunciada por primera vez el 28 de septiembre (reprogramada el 21 de octubre para el 4 de noviembre de 13:30 a 14:30, para raiden.ktaiwork.jp) es un aviso de mantenimiento programado, por lo que no se incluye. Las fechas de comprobación de los municipios no cambian.
2026-10-22: Se incorporaron las actualizaciones 13.ª a 18.ª de Arcadia (20–21 de octubre). Se añadieron el intervalo horario de los 1.423.428 correos no autorizados (de 1:17 a 7:16 del 13 de octubre), la constatación de que al menos 869.575 no fueron a direcciones que la empresa posee, la investigación prevista en la dark web por un organismo externo, los correos sobre informes presentados en nombre de los clientes a la Comisión de Protección de la Información Personal y al Ministerio de Asuntos Internos y Comunicaciones, la petición de configurar de nuevo las integraciones con LINE, X y Facebook, y las restricciones temporales de funciones del 21 de octubre y su levantamiento. Se actualizaron los títulos de las fuentes para coincidir con el cambio de título de la empresa. Después se incorporó la 19.ª actualización (10:40 del 22 de octubre) y se añadió la detención de la función de integración por API con sistemas externos. Las fechas de comprobación de los municipios no cambian.
21 de octubre de 2026: Se verificó el PDF de la duodécima actualización que ya se tenía. Se añadieron su explicación de la causa, la hora de detección, el número de correos y la investigación independiente prevista, sin pasos del ataque. Las fechas de comprobación de los municipios no cambian.
2026-10-17: Se incorporaron las actualizaciones 7.ª a 11.ª de Arcadia (15–16 de octubre). Se separaron el alcance y las cifras de NET119 (datos personales vinculados a 9.020 direcciones de correo; no se filtraron datos personales sensibles) y de 119RAIDEN (unas 97000 direcciones de correo y más), y se añadieron el restablecimiento de raiden3 y s2 el 15 de octubre, la petición a los clientes de cambiar contraseñas, los informes a las autoridades y el informe previsto a la Comisión de Protección de la Información Personal en nombre de los clientes. Corrección: la primera versión leyó mal la tabla de la actualización del 14 de octubre y dijo que un máximo combinado de «unos 13000» para NET119 y 119RAIDEN entraba en conflicto con «unas 97000» direcciones de correo. En la tabla real, «unos 13000» es la cifra de NET119 y «unas 97000» y las demás cifras son de 119RAIDEN, por lo que no había conflicto. El cuadro de advertencia ahora explica que la cifra de NET119 cambió en la 11.ª actualización. Se actualizaron los títulos de las fuentes, que Arcadia cambió. La tabla municipal sigue como se comprobó el 14 de octubre.
2026-10-14: Primera versión. Basada en el anuncio de Arcadia del 13 de octubre y sus actualizaciones en la misma página hasta las 17:12 del 14 de octubre, y en cinco avisos municipales. Actualizaremos cuando se anuncien cifras por municipio, la causa o la reanudación de los servicios suspendidos.
Lea a continuación
- Otro incidente de un proveedor de envío de correo: Acceso no autorizado al servicio de envío de correo blastmail
- Cómo reconocer mensajes falsos: Qué es el phishing / Spam desde su propia dirección de correo
- Casos similares: Filtración de direcciones de correo de JR East, View Card y JR Kyushu / Acceso no autorizado a Commune / Acceso no autorizado al servicio de envío de correo Cuenote FC de Ymirlink
- Otros incidentes de 2026: Lista de filtraciones de datos y ciberataques