Una brecha de datos en dos proveedores de internet subsidiarios de Sony —So-net y plala— comprometió información personal de aproximadamente 2,58 millones de clientes, según se informó el 30 de octubre de 2025. El incidente representa uno de los eventos de exposición masiva de registros de usuarios más significativos reportados en el sector de telecomunicaciones japonés en el último período.
So-net y plala operan como proveedores de servicios de internet (ISP) bajo el paraguas corporativo de Sony en Japón. La filtración fue reportada públicamente por el sitio especializado Open Class Actions, aunque al momento de la publicación no se había confirmado oficialmente el vector de ataque ni si los datos comprometidos incluyeron credenciales de acceso, información financiera o únicamente datos de identificación básica. Los registros expuestos corresponden, según se informó, a clientes activos de ambas plataformas de conectividad.
Datos confirmados y lo que aún falta verificar
- Registros expuestos: 2,58 millones de clientes (cifra según se informó)
- Entidades afectadas: So-net y plala, filiales ISP de Sony Corporation
- Fecha de reporte público: 30 de octubre de 2025
- Tipo de datos comprometidos: no confirmado oficialmente al cierre de esta nota
- Vector de ataque: no revelado públicamente
- Notificaciones regulatorias a la Comisión de Protección de Información Personal de Japón (PPC): sin confirmación al cierre
Qué se sabe y qué falta confirmar
Lo confirmado hasta ahora es la exposición de registros de 2,58 millones de clientes de dos ISP subsidiarios de Sony. Lo que permanece sin verificación incluye el alcance exacto de los campos de datos comprometidos, si hubo exfiltración activa por un tercero o si la exposición fue consecuencia de una configuración incorrecta, y si Sony o las filiales ya notificaron a los usuarios afectados. No hay declaración oficial pública de Sony Corporation ni de las entidades regulatorias japonesas al momento de esta publicación. Para las organizaciones que procesan datos de ciudadanos japoneses, la ley de protección de datos de Japón (Act on the Protection of Personal Information, APPI, reformada en 2022) exige notificación a la PPC y a los afectados cuando se supera el umbral de 1.000 registros comprometidos. Con 2,58 millones de registros reportados, ese umbral estaría ampliamente superado.
El caso tiene resonancia directa para operadores de telecomunicaciones en América Latina que gestionan bases de datos de millones de suscriptores bajo marcos como la Lei Geral de Proteção de Dados (LGPD) en Brasil —que fija plazos de notificación a la ANPD de hasta 72 horas para incidentes de riesgo relevante— o la Ley 25.326 en Argentina, cuya autoridad de aplicación, la AAIP, exige reporte ante brechas que puedan afectar derechos de los titulares. En México, el INAI opera bajo criterios similares con fundamento en la LFPDPPP. ISPs latinoamericanos con arquitecturas de base de datos similares a las de So-net y plala —frecuentemente heredadas de décadas de crecimiento orgánico— deberían auditar sus controles de acceso y clasificación de datos de suscriptores como ejercicio preventivo inmediato.
El próximo hito a monitorear es la notificación formal de Sony o sus filiales a la Comisión de Protección de Información Personal de Japón, cuyo plazo bajo la APPI reformada es de 30 días desde la detección del incidente.
