El 9 de octubre de 2026, JR East advirtió de una posible filtración de hasta unos 2,06 millones de registros vinculados con dos servicios para socios, entre ellos Ekinet, su plataforma de reservas de trenes.
La reacción en las redes se entiende perfectamente: «Yo solo quiero comprar un billete, pero tengo que elegir semáforos una y otra vez. ¿Y el atacante sí consigue entrar?».
Parece el argumento de una comedia sobre internet. Pero hay un detalle decisivo: las comunicaciones oficiales no dicen que el atacante resolviera ni esquivara el puzle de la página de reservas. La puerta que utiliza el viajero y el lugar afectado no son lo mismo.
1. ¿Qué ocurrió en realidad?
JR East explicó que el incidente afectó a un servicio externo utilizado para enviar correos electrónicos a sus miembros. Algunos registros de envío que incluían direcciones de correo podrían haber sido consultados u obtenidos por terceros.
El incidente está relacionado con un acceso no autorizado a IDCF Cloud, de la empresa IDC Frontier. Esta comunicó problemas desde aproximadamente las 3:40 de la madrugada del 7 de octubre. Identificó un ataque que bloquea sistemas para exigir dinero e informó de 495 organizaciones clientes afectadas, incluidas empresas y administraciones locales.
«Posible filtración» no quiere decir «está confirmado que se robaron todos los registros». La vía exacta por la que entraron los atacantes seguía bajo investigación el 9 de octubre.
2. Dos puertas distintas
La persona que quiere viajar abre la web de reservas, pasa los controles destinados a reducir operaciones automáticas, inicia sesión y gestiona su propio billete.
Lo que se anunció esta vez, sin embargo, afecta a datos asociados con un servicio externo de envío de correos. No se ha establecido que un delincuente entrara por la página pública de reservas para descargar la lista completa de socios.
Imaginemos una estación ferroviaria cuyo torno es prácticamente una fortaleza, mientras el almacén de correspondencia está en otro edificio. Asegurar el torno no protege automáticamente todas las puertas del edificio vecino.
Viajero: «¡No consigo pasar el torno!»
Incidente: «Es que yo estoy en el edificio de al lado».
Viajero: «¿Perdona?».
Es gracioso, pero distingue la queja legítima del mecanismo real todavía desconocido.
3. ¿Para qué sirve el puzle de imágenes?
«No soy un robot» o «Seleccione todos los semáforos» intenta frenar parte de las operaciones masivas realizadas con programas automáticos.
No comprueba si una persona es buena o mala. Tampoco concede autorización para ver información ajena. Una persona con malas intenciones sigue siendo un ser humano.
Adivinar todos los semáforos no debería permitir consultar reservas de otras personas ni millones de datos. El puzle, la contraseña, las comprobaciones adicionales de identidad y las restricciones de acceso a cada registro cumplen funciones diferentes.
Diálogo ficticio:
Viajero: «¡Soy humano!»
Puzle: «Confirmado».
Viajero: «Entonces, ¿puedo reservar?».
Puzle: «Eso corresponde al siguiente departamento».
Humanidad confirmada. Paciencia del pasajero, pendiente.
4. ¿Por qué los usuarios legítimos encuentran tantos obstáculos?
Tras conocerse la noticia, se multiplicaron las quejas por desafíos repetidos, páginas lentas y verificaciones de pago que parecen no terminar nunca.
En general, las herramientas que intentan detectar programas automáticos pueden confundir visitas legítimas con actividad sospechosa. Una conexión compartida o un error de red también pueden añadir molestias.
Sin embargo, eso no demuestra la causa técnica de cada problema concreto de Ekinet. Las quejas en redes son testimonios de usuarios, no una investigación completa de sus fallos.
Aun así, cabe preguntar: «Si el cliente tiene que superar tantas pruebas, ¿cómo se protege la información que la empresa confía a proveedores externos?».
5. ¿Y si superar un único puzle regalara 2,06 millones de registros?
La escena siguiente es totalmente inventada.
Atacante: «Quiero todos los datos de los socios».
Puzle: «Seleccione todos los pasos de peatones».
Atacante: «Listo».
Puzle: «¡Enhorabuena! Ha ganado 2,06 millones de registros».
Eso ya no sería seguridad. Sería un juego de escape cuyo premio son datos personales.
No existe prueba de que el incidente sucediera así. El chiste funciona precisamente porque ese diseño imaginario sería escandaloso. Un buen chiste no debe convertirse en una noticia falsa.
6. ¿Qué información podría estar expuesta?
JR East publicó el 9 de octubre las siguientes cifras máximas:
- Ekinet: unos 1,67 millones de registros con direcciones de correo electrónico. Se excluyen los miembros de Business Ekinet.
- Otona no Kyujitsu Club: unos 390.000 registros con correos electrónicos, números de socio, fechas de nacimiento y fechas de caducidad de tarjetas de crédito.
Sumados, son hasta unos 2,06 millones de registros, no una confirmación de que 2,06 millones de personas diferentes sufrieran una filtración.
La empresa señaló que nombres, domicilios, teléfonos y números completos de tarjetas de crédito no figuraban entre los datos potencialmente expuestos. La fecha de caducidad no es el número de tarjeta.
7. ¿Qué puede hacer un usuario?
Una dirección de correo combinada con el conocimiento de qué servicio utiliza su propietario puede facilitar mensajes fraudulentos que parecen auténticos.
JR East anunció que enviaría correos individuales a las personas posiblemente afectadas cuando estuviera preparada. Por eso hay que desconfiar de las falsas notificaciones que imiten ese aviso.
Ante un mensaje sobre una reserva cancelada, un pago urgente o una tarjeta que debe actualizarse, abre por tu cuenta la aplicación o web oficial en lugar de pulsar el enlace recibido. Si has escrito una contraseña en una página sospechosa, cámbiala desde el servicio auténtico y revisa otras cuentas en las que la hayas reutilizado.
Las contraseñas no estaban entre los datos señalados en este anuncio. No se puede concluir que todos los socios deban cambiarlas inmediatamente solo por esta noticia. Conviene seguir las novedades oficiales.
8. Una empresa no puede proteger solo la entrada que ve el cliente
Los puzles no son necesariamente inútiles. Pueden frenar ciertos abusos automáticos. Pero aumentar las molestias de quienes compran billetes no asegura automáticamente la información almacenada por otra empresa.
Hace falta reducir los datos entregados cuando no sean necesarios, limitar quién puede leerlos, descubrir pronto actividades anómalas y preparar la recuperación. También hay que facilitar la vida al usuario legítimo.
Todavía está por determinar qué protección concreta falló en este caso.
La imagen final es inmejorable: un pasajero delante de un torno inexpugnable mientras la noticia del ataque procede de otro edificio.
Puzle: «Hemos confirmado que es usted humano».
Viajero: «¿Y mis datos están a salvo?».
Puzle: «Eso no es responsabilidad mía».
Pues alguien tendrá que responsabilizarse.
