Una filtración de datos en Sony So-net, el servicio de internet residencial de Sony en Japón, habría comprometido 2.585.481 registros de usuarios, según reportó el sitio especializado Tech-Insider el 30 de octubre de 2026. El incidente se suma a una serie de exposiciones de datos que involucran subsidiarias del grupo Sony en los últimos años.
De acuerdo con la información publicada, la brecha afecta a So-net Network Services, el proveedor de servicios de internet operado por Sony en Japón. La cifra de registros comprometidos —más de 2,5 millones— convierte este evento en uno de los incidentes de datos más significativos reportados en el sector de telecomunicaciones asiático en lo que va de 2026. Al cierre de esta nota, Sony no había emitido un comunicado oficial confirmando la brecha, y los detalles sobre el vector de ataque, el tipo de datos afectados y el período de exposición no habían sido verificados de forma independiente.
Datos confirmados y aspectos sin verificar
- Registros reportados como comprometidos: 2.585.481
- Entidad afectada: So-net Network Services (subsidiaria de Sony Group, Japón)
- Fecha de publicación del reporte: 30 de octubre de 2026
- Fuente del reporte: Tech-Insider.org (publicación especializada en ciberseguridad)
- Confirmación oficial de Sony: no disponible al momento de la publicación
- Tipo de datos expuestos: sin confirmar
- Vector de ataque: sin confirmar
Qué se sabe y qué falta confirmar sobre el alcance del incidente
El reporte de Tech-Insider no detalla si los registros expuestos incluyen datos de identificación personal —como nombres, correos electrónicos, contraseñas o información de facturación— o si se trata de metadatos de cuenta. Esta distinción es crítica para determinar el nivel de riesgo para los usuarios afectados y las obligaciones legales del responsable del tratamiento. Tampoco se ha informado si la exposición es consecuencia de un acceso no autorizado externo, una mala configuración de infraestructura o un incidente interno. Sony Group ya había protagonizado una brecha relevante en 2023, cuando datos internos fueron comprometidos a través de una vulnerabilidad en MOVEit Transfer, lo que sugiere que el grupo mantiene una superficie de exposición amplia en múltiples subsidiarias.
Para organizaciones con operaciones en América Latina que mantienen relaciones comerciales o de datos con entidades del grupo Sony —incluyendo Sony Music Entertainment, Sony Pictures o Sony Interactive Entertainment—, el incidente activa preguntas sobre las cláusulas contractuales de notificación de brechas en acuerdos de procesamiento de datos. Bajo la Ley General de Protección de Datos de Brasil (LGPD), el artículo 48 establece un plazo de 72 horas para notificar a la Autoridade Nacional de Proteção de Dados (ANPD) cuando el incidente pueda acarrear riesgo o daño relevante a los titulares. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) también exige notificación de brechas bajo la Disposición AAIP 4/2019. Si hubiera datos de ciudadanos latinoamericanos entre los 2,5 millones de registros afectados, estos marcos serían aplicables al responsable del tratamiento, independientemente de la jurisdicción de origen del incidente.
El próximo hito clave es la emisión de un comunicado oficial por parte de Sony, que determinaría los plazos de notificación a autoridades regulatorias y la apertura de canales de atención para los usuarios afectados.
