Filtración de datos de KDDI ISP 2026

Según el informe oficial, el acceso no autorizado comenzó en algunos ISP el 16 de mayo de 2026. KDDI confirmó el incidente el 17 de junio, modificó el sistema ese mismo día para contener el incidente en el punto sospechoso y aplicó medidas técnicas de defensa. Hizo su primer anuncio público el 23 de junio; el Ministerio de Comunicaciones de Japón solicitó un informe en virtud de la Ley de Actividades de Telecomunicaciones el 24 de junio, y KDDI presentó su informe detallado el 6 de julio.

El acceso aprovechó una vulnerabilidad en un software de terceros utilizado como parte de la plataforma. El proveedor del software desconocía la vulnerabilidad cuando KDDI confirmó el incidente el 17 de junio y, posteriormente, inició el proceso de notificación a las autoridades públicas y divulgación. KDDI no reveló el nombre del software, ningún identificador CVE, el autor ni más detalles sobre el método exacto de acceso.

Las categorías confirmadas son direcciones de correo electrónico y contraseñas. La cifra de 12 231 954 corresponde al número de personas cuyas direcciones de correo electrónico quedaron expuestas según el informe oficial; no es un recuento de filas únicas de datos sin procesar ni de registros locales. La cifra de 7 616 173 corresponde al subconjunto de ese grupo cuyas contraseñas quedaron expuestas. El informe no incluye nombres, números de teléfono, direcciones postales, datos de pago, documentos de identidad oficiales ni el contenido de los correos electrónicos entre los campos confirmados.

La cobertura informativa independiente identifica a STNet, JCOM, Chubu Telecommunications, NIFTY y BIGLOBE como los cinco proveedores que utilizaban la plataforma. Según el informe oficial, los servicios au Mail, UQ mobile Mail y au one net Mail de KDDI funcionaban en equipos separados y no se vieron afectados. Un dominio o una marca de KDDI, por sí solos, no demuestran que un buzón concreto esté incluido en el incidente.

El entorno de producción no tiene ninguna tarea de importación ni datos locales a nivel individual para este incidente, y todas las colecciones de correos electrónicos, contraseñas y otros datos vinculados contienen cero registros. El alcance externo referido a la empresa no se presenta como un resultado de búsqueda local, un conjunto de datos de direcciones de correo únicas ni un recuento de contraseñas almacenadas localmente.

KDDI desplegó EDR en los servidores que controlaban las comunicaciones externas a más tardar el 21 de junio y afirmó que una revisión forense realizada por un tercero el 23 de junio no encontró ningún rastro sospechoso más allá de la vulnerabilidad divulgada. Coordinó cambios de contraseña con los ISP afectados y planificó restablecimientos obligatorios para las cuentas restantes. Si recibe una notificación, puede acceder directamente a la dirección del proveedor y elegir una contraseña nueva y única; también puede cambiar la contraseña antigua en cualquier otro servicio donde la haya reutilizado. Verifique los mensajes de restablecimiento inesperados a través de un canal oficial conocido, sin utilizar el enlace del mensaje.