Una brecha de datos atribuida a Sony comprometió 2,58 millones de registros de clientes, entre ellos 54.401 contraseñas de correo electrónico, según informó Cyber Press el 28 de octubre de 2025. El incidente vuelve a poner bajo escrutinio los controles de acceso y la clasificación de datos sensibles en una de las compañías de entretenimiento con mayor base de usuarios en América Latina.
Según se informó, la filtración fue detectada y divulgada públicamente a través de Cyber Press, aunque Sony no había emitido un comunicado oficial confirmando el alcance total al momento de la publicación. Los registros expuestos incluirían datos de identificación de clientes y, en el subconjunto más crítico, credenciales de acceso a cuentas de correo electrónico en texto plano o con hash débil — un detalle que eleva considerablemente el riesgo de compromiso en cadena para los usuarios afectados.
Datos confirmados: 2,58 millones de registros, 54.401 contraseñas
- Total de registros expuestos: 2.580.000, según se informó
- Subconjunto crítico: 54.401 registros con contraseñas de correo electrónico
- Fuente de divulgación: Cyber Press, publicado el 28 de octubre de 2025
- Confirmación oficial de Sony: no disponible al cierre de esta nota
Qué se sabe y qué falta confirmar sobre el origen de la filtración
Hasta ahora no se ha confirmado si el vector de acceso fue una vulnerabilidad en la infraestructura propia de Sony, un proveedor tercero o un ataque de credential stuffing. Tampoco se determinó públicamente qué regiones geográficas concentran los registros comprometidos ni si los datos provienen de un sistema único o de múltiples plataformas del grupo — que incluye PlayStation Network, Sony Music y servicios de streaming. La distinción importa: si el origen es un proveedor de servicios, las obligaciones de notificación se extienden a la cadena de tratamiento de datos.
Para los usuarios latinoamericanos, la exposición de contraseñas de correo electrónico representa un riesgo inmediato de toma de control de cuentas en otros servicios, dado el alto índice de reutilización de credenciales en la región. En Argentina, Brasil y México — tres de los mercados con mayor penetración de productos Sony — los usuarios afectados tienen derechos de acceso, rectificación y supresión garantizados respectivamente por la Ley 25.326, la Lei Geral de Proteção de Dados (LGPD) y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). La LGPD, en particular, establece en su artículo 48 la obligación del controlador de notificar al titular y a la Autoridade Nacional de Proteção de Dados (ANPD) dentro de un plazo razonable cuando exista riesgo relevante — y la exposición de credenciales de acceso claramente califica.
El próximo hito crítico es la notificación formal a las autoridades de control en cada jurisdicción donde Sony opera: bajo la LGPD brasileña, el reloj ya corre desde que la empresa tomó — o debería haber tomado — conocimiento del incidente.
