El operador ferroviario JR East informó que sus servicios digitales, incluida la plataforma de reservas Eki-net, podrían haber expuesto hasta 2,06 millones de registros de datos personales de usuarios en Japón. El incidente, dado a conocer el 9 de octubre de 2025, aún está bajo investigación y no se ha confirmado la exfiltración total de los datos.
East Japan Railway Company (JR East), una de las mayores empresas ferroviarias del mundo por volumen de pasajeros, reveló que múltiples servicios bajo su operación —entre ellos Eki-net, su sistema de reservas y compra de boletos en línea— podrían haber estado involucrados en un incidente de seguridad con exposición potencial de información personal. La empresa no precisó el vector de ataque ni confirmó si los registros fueron efectivamente extraídos por terceros no autorizados.
Datos confirmados del incidente
- Registros potencialmente expuestos: hasta 2,06 millones
- Servicios involucrados: Eki-net y otros no especificados de la misma compañía
- Empresa afectada: East Japan Railway Company (JR East), Japón
- Fecha de divulgación pública: 9 de octubre de 2025
- Estado del incidente: bajo investigación; exfiltración no confirmada
Qué se sabe y qué falta confirmar
Según se informó, JR East detectó la posible exposición y procedió a notificar el hecho públicamente, en línea con las obligaciones de reporte establecidas por la Ley de Protección de Información Personal (APPI) de Japón, que desde sus reformas de 2022 exige notificación a la Comisión de Protección de Información Personal (PPC) cuando el número de afectados supera los 1.000 registros. No se han confirmado datos sobre qué tipo de información personal estuvo involucrada —si incluye credenciales, datos de pago o solo información identificatoria básica—, ni si existe evidencia forense de descarga o acceso no autorizado efectivo. Tampoco se identificó públicamente un actor de amenaza responsable.
El caso es relevante más allá de Japón por su escala y porque involucra infraestructura de transporte crítica con millones de usuarios registrados. En América Latina, incidentes de magnitud comparable en sistemas de transporte o servicios públicos digitales activan marcos de notificación distintos: en Argentina, la Ley 25.326 y las disposiciones de la AAIP obligan a reportar brechas que afecten datos sensibles o de gran escala; en Brasil, la LGPD (Lei 13.709/2018) establece plazos de comunicación a la ANPD y a los titulares afectados; en México, la LFPDPPP y su reglamento exigen aviso inmediato cuando el incidente genera riesgo patrimonial o discriminatorio para los titulares. En los tres casos, la ausencia de confirmación sobre el tipo de dato expuesto —como ocurre en el episodio de JR East— es precisamente el tipo de ambigüedad que las autoridades de control suelen cuestionar durante la investigación.
El próximo hito crítico es la notificación formal de JR East a la Comisión de Protección de Información Personal de Japón, cuyo resultado determinará si la empresa enfrenta sanciones y si los 2,06 millones de usuarios afectados deben recibir comunicación directa.
