Comparación de 71 incidentes nacionales publicados en sept.-oct. de 2026

Este artículo recopila y compara los textos oficiales publicados hasta el 19 de octubre de 2026, de 71 incidentes cuya comunicación oficial del anunciante se pudo obtener. La agregación, clasificación y el cálculo de días se consideran observaciones asistidas por automatización (Claude Code), y las descripciones contenidas en los textos se citan como hechos. No se trata de una encuesta exhaustiva: quedan excluidos los casos cuya comunicación oficial no pudo obtenerse, lo que constituye una limitación.

Según la clasificación, de los 71 casos 58 fueron categorizados como «filtración (incluyendo posibles filtraciones)» y 11 de esos incidentes combinaron filtración con parada del servicio. En 34 casos la primera comunicación no detalló la causa; en los 37 casos con causa identificada, estas se dividieron en categorías como «vulnerabilidad/especificación defectuosa» y «provenientes de contratistas, empresas relacionadas o proveedores de infraestructura». Esta categorización se basa en las descripciones de las comunicaciones y no pretende representar la distribución definitiva del conjunto.

Como puntos de verificación que pueden extraerse para las empresas a partir de las comunicaciones, se señalan seis: (1) los límites con el exterior, incluidos contratistas y proveedores de infraestructura; (2) las comprobaciones al modificar superficies públicas; (3) el seguimiento para confirmar que, una vez detectado, el problema se haya solucionado; (4) los canales para recibir notificaciones externas; (5) la cantidad y el periodo de retención de los datos custodiados; y (6) la recuperación cuando hay una parada. Organismos públicos (Comisión de Protección de la Información Personal, JPCERT/CC, IPA, Oficina Nacional de Coordinación Cibernética, entre otros) emitieron alertas en el mismo periodo, solicitando de forma común la gestión de la subcontratación, la revisión de aplicaciones publicadas al exterior y la eliminación de datos innecesarios.

Asimismo, hay varios casos en los que las cifras o la descripción del alcance del daño se corrigieron en comunicados posteriores (por ejemplo, la rectificación de datos de tarjetas en skyticket o la fijación del número de casos en GMO Research), lo que demuestra la necesidad de no sacar conclusiones sólo con los números del primer comunicado. Para los usuarios se repiten las precauciones básicas: no abrir comunicaciones sospechosas y no introducir credenciales de autenticación, entre otras. Este artículo se basa en datos fijados a una fecha concreta; será necesario el seguimiento de las noticias posteriores y una nueva agregación si procede.