So-net, el proveedor de servicios de internet subsidiario de Sony, fue víctima de una brecha de datos de magnitud significativa, según reportó Cybernews el 30 de octubre de 2025. El incidente compromete información de usuarios del servicio, aunque los detalles precisos sobre el volumen de registros afectados y el tipo de datos expuestos no han sido confirmados en su totalidad por la compañía.
So-net Entertainment Corporation opera como filial de Sony Network Communications y provee servicios de internet y telecomunicaciones principalmente en Japón. La brecha fue reportada por Cybernews, medio especializado en ciberseguridad, aunque al cierre de esta nota Sony y So-net no habían emitido un comunicado público oficial con el detalle técnico del incidente. Según se informó, el acceso no autorizado habría expuesto registros de clientes del proveedor, cuyo alcance exacto permanece bajo investigación.
Datos confirmados y lo que falta verificar
- Actor afectado: So-net Entertainment Corporation, subsidiaria de Sony Network Communications.
- Tipo de incidente: brecha de datos con acceso no autorizado a registros de usuarios, según se informó.
- Fecha de reporte público: 30 de octubre de 2025, según Cybernews.
- Volumen de registros expuestos: no confirmado oficialmente por la compañía al cierre de esta nota.
- Comunicado oficial de Sony/So-net: no publicado al momento del reporte.
Qué se sabe y qué falta confirmar
Lo confirmado hasta ahora es la existencia del incidente y su atribución a So-net como entidad afectada. Lo que permanece sin verificar incluye: el vector de ataque utilizado, la cantidad exacta de usuarios comprometidos, las categorías de datos personales involucrados (credenciales, datos de identificación, información de facturación) y si existe o no un actor de amenaza identificado. Cybernews es la fuente primaria del reporte; So-net no ha corroborado públicamente los detalles técnicos. No debe descartarse que la cifra de afectados sea relevante dado el tamaño de la base de clientes del proveedor en el mercado japonés.
Este incidente se produce en un contexto sensible para Sony como grupo corporativo: la compañía ya había protagonizado en 2023 una brecha atribuida al grupo Cl0p mediante la vulnerabilidad MOVEit, que afectó a miles de empleados. Una nueva exposición bajo el paraguas corporativo de Sony — aunque en una subsidiaria distinta — amplifica el escrutinio regulatorio sobre los controles de seguridad del grupo. En Japón, la Ley de Protección de Información Personal (APPI, en su reforma de 2022) obliga a notificar a la Comisión de Protección de Información Personal (PPC) dentro de un plazo que puede extenderse hasta 60 días para incidentes de cierta gravedad, y la notificación a los afectados es mandatoria cuando hay riesgo de daño. El incumplimiento de esos plazos tiene consecuencias directas sobre la reputación regulatoria de la empresa.
Para las organizaciones en América Latina con proveedores de servicios digitales de origen japonés o con filiales regionales de conglomerados asiáticos, este caso renueva la pregunta sobre la extensión de los programas de gestión de riesgos de terceros. Marcos como el CDMC del EDM Council y las guías de la Autoridad de Protección de Datos de Brasil (ANPD) ya contemplan la evaluación de proveedores como parte del ciclo de gobernanza: un proveedor de internet o de infraestructura digital no es distinto, en términos de riesgo de datos, a cualquier otro procesador con acceso a registros de usuarios. En Argentina, la Ley 25.326 y la normativa de la AAIP exigen que los responsables del tratamiento garanticen condiciones de seguridad equivalentes en la cadena de custodia del dato, incluyendo proveedores internacionales.
El próximo hito clave es la publicación del comunicado oficial de So-net con el alcance del incidente y el inicio del plazo de notificación bajo la APPI japonesa, que determinará si la compañía actuó dentro de los tiempos regulatorios exigidos.
