Dos incidentes confirmados sacuden el mercado japonés: la cadena de conveniencia Lawson reportó la exposición de más de 2,15 millones de registros de clientes, mientras que Daiichi Kosho —empresa de entretenimiento con sistemas de karaoke— advirtió que hasta 8,72 millones de personas podrían estar afectadas por una brecha separada. Ambos casos se conocieron en la primera semana de octubre de 2025.
Según se informó, el incidente en Lawson comprometió datos personales de usuarios de su programa de fidelización. En el caso de Daiichi Kosho, la compañía emitió un comunicado propio en el que reconoció que la cifra de afectados podría alcanzar los 8,72 millones, aunque precisó que la investigación forense aún no está concluida. Hasta el momento no se confirmó públicamente el vector de ataque en ninguno de los dos casos.
Datos confirmados al 8 de octubre de 2025
- Lawson: más de 2,15 millones de registros expuestos, según la divulgación oficial.
- Daiichi Kosho: hasta 8,72 millones de personas potencialmente afectadas, cifra máxima reportada por la propia empresa.
- Ambas brechas se divulgaron públicamente en la primera semana de octubre de 2025.
- El tipo de datos comprometidos y el vector de ataque no fueron confirmados en los comunicados disponibles al cierre de esta nota.
Qué se sabe y qué falta confirmar
Lo confirmado es que ambas compañías emitieron avisos oficiales y reconocieron la existencia de las brechas. Lo que permanece sin verificar incluye: el alcance exacto de los datos expuestos por tipo (si incluyen información financiera, de salud o solo datos de contacto), si hubo exfiltración efectiva o únicamente acceso no autorizado, y si algún actor de amenaza ya comercializó los registros en mercados clandestinos. Daiichi Kosho describió los 8,72 millones como cifra potencial máxima, lo que sugiere que la cuantificación definitiva depende del avance de la auditoría interna.
En América Latina, brechas de magnitud comparable han activado obligaciones de notificación con plazos estrictos: la Lei Geral de Proteção de Dados de Brasil (LGPD) exige comunicar a la Autoridade Nacional de Proteção de Dados (ANPD) dentro de las 72 horas de conocido el incidente cuando hay riesgo relevante para los titulares. Argentina, bajo la Ley 25.326 y la Disposición AAIP 9/2023, también contempla notificación obligatoria a la autoridad de control. Una brecha del tamaño de las reportadas por Lawson o Daiichi Kosho, si involucrase a empresas con operaciones o datos de residentes en la región, activaría esos mecanismos de forma inmediata.
El próximo hito crítico es la conclusión de la auditoría forense de Daiichi Kosho, que determinará si la cifra de 8,72 millones se confirma o se ajusta, y si la naturaleza de los datos expuestos eleva la clasificación del incidente bajo la normativa japonesa de protección de información personal (APPI).
