Accesos no autorizados y fugas de datos en serie: las «lagunas básicas» que las empresas deben revisar primero

Este artículo, basado en materiales publicados por el gobierno y organismos relacionados hasta el 16 de octubre de 2026, organiza la situación reciente de accesos no autorizados y fugas de información y las acciones que deben tomar las empresas. JPCERT/CC, IPA, NICT y 国家サイバー統括室 informaron sobre incidentes de filtración desde septiembre y, desde el 7 de octubre, se emitieron múltiples advertencias y solicitudes de inspección.

Como puntos de inicio del daño se han confirmado aplicaciones públicas, APIs accesibles desde el exterior, contraseñas fáciles de adivinar y vías a través de contratistas o proveedores de servicios en la nube. NICT señaló los "ataques A2B", que parten del análisis de aplicaciones públicas para explotar vulnerabilidades en el lado del servidor, y entre las vulnerabilidades objetivo se incluyen IDOR, SSRF, RCE y SQL injection.

Muchas de las técnicas no son novedosas: explotan vulnerabilidades ya conocidas, fallos en la autorización o en la validación de entradas, y errores de configuración —las llamadas “lagunas básicas”. Según datos de la Agencia Nacional de Policía, en el primer semestre de 2026 los accesos sospechosos para búsqueda de vulnerabilidades fueron de 13.687 por día y por IP (interanual +50,7%), lo que indica una expansión de la actividad de exploración de vulnerabilidades.

国家サイバー統括室 señala que "es difícil impedir por completo las intrusiones" y subraya la importancia de la detección temprana y la respuesta rápida. El artículo urge a preparar y aplicar medidas básicas de comprobación desde las distintas posiciones: la dirección ejecutiva, los equipos CSIRT/SOC/de sistemas de información, los ingenieros web y los empleados en general.

Por último, se advierte que el uso de IA podría contribuir a hacer más eficientes los ataques, pero se concluye que, en la situación actual, la prioridad es revisar las medidas básicas existentes y fortalecer la detección de anomalías y las capacidades de respuesta.