Brecha de datos de Kyushu Electric TD de 2026

Se comprobó que el SSD estaba en su armario después de la copia de seguridad del 27 de abril, y su ausencia se detectó durante los preparativos para la siguiente tarea, el 26 de mayo. El acceso a la sala de servidores estaba restringido mediante controles de identidad, tarjetas de acceso y controles biométricos, pero el armario situado en su interior no estaba cerrado con llave. El soporte externo no estaba cifrado ni protegido con contraseña. La empresa presentó una denuncia ante la policía el 4 de junio e indicó que la investigación seguía en curso.

En su informe del 8 de julio, la empresa afirmó que sus labores de vigilancia no habían detectado ningún anuncio de venta del SSD en plataformas de reventa ni información publicada en internet, y que hasta ese momento no había identificado ninguna fuga de datos. Esa declaración no cambia el hecho de que el soporte haya desaparecido, pero su desaparición por sí sola tampoco demuestra que su contenido se haya copiado o publicado.

El aviso inicial del 8 de junio mencionaba un máximo de 10,9 millones de registros de puntos de suministro. El documento adjunto del 8 de julio revisó el cálculo teniendo en cuenta las mudanzas, los cambios de nombre y los duplicados con el mismo nombre y dirección. Su tabla final muestra 8,99 millones de registros de particulares y 3,17 millones de registros de organizaciones u otros contratos en la categoría del sistema de transmisión, 530 000 registros de particulares y 260 000 de organizaciones u otros contratos en la categoría de apoyo al cambio de proveedor, y 510 000 registros de particulares y 80 000 de organizaciones u otros contratos en la categoría de registros presentes en ambos sistemas. La tabla recoge 10,03 millones de registros de información de particulares, 3,51 millones de organizaciones u otros contratos y 13,54 millones en total.

La categoría de organizaciones u otros contratos incluye varios contratos de una misma entidad y unos 1,46 millones de contratos vinculados a equipos como farolas y semáforos. Por tanto, el total no se presenta como un recuento de clientes o personas. El catálogo en línea no tiene ninguna tarea de importación local ni datos individuales consultables asociados a este incidente.

El informe oficial enumera nombres de clientes, direcciones de los lugares de suministro, datos de consumo eléctrico, nombres de proveedores minoristas de electricidad, números de identificación de puntos de suministro e información sobre contratos o solicitudes. Solo algunos registros de apoyo al cambio de proveedor incluían números de teléfono. El SSD no contenía información sobre cuentas bancarias, tarjetas de crédito ni direcciones de correo electrónico.

La empresa indicó que enviaría cartas por correo postal a los clientes afectados a partir de principios de agosto y que no les pediría que realizaran ningún trámite adicional. Si recibe mensajes inesperados sobre el servicio eléctrico, solicitudes de pago o enlaces que utilicen datos de su dirección, consumo o contrato, verifíquelos mediante un canal de contacto independiente al que acceda desde el dominio actual kyuden.co.jp. Una coincidencia por sí sola no demuestra que un tercero haya leído el soporte o utilizado indebidamente un registro concreto.