0. El dragón no ha aparecido, pero el retrato ya está hecho
«En Japón guardan los datos del número personal en distintos organismos, ¿verdad?». «Entonces, si se filtran todos, ¿es como reunir las siete bolas de dragón?».
La colección más grande del país. Y nadie quiere participar.
El giro es que quizá no hagan falta siete. Un historial de compras, una lista de contactos del trabajo y varias publicaciones abiertas al público pueden dibujar una vida con bastante detalle, siempre que realmente pertenezcan a la misma persona.
Pero hay una distinción esencial: reconstruir un perfil no equivale a entrar en todas las bases de datos del Gobierno. Una cosa es relacionar pistas; otra, abrir sistemas protegidos.
1. Qué sucedió realmente en Japón
El 9 de octubre de 2026 circuló una publicación que hablaba de unos 246.000 registros personales filtrados por la Agencia Digital japonesa. Sin embargo, el primer anuncio oficial había aparecido el 11 de septiembre, no el 9 de octubre.[1]
El objetivo fue un entorno compartido de trabajo para personal gubernamental. El 25 de junio se detectó una lectura inusual de muchos archivos mediante una cuenta de mantenimiento. El 9 de julio se confirmó una intrusión que aprovechaba un fallo en un equipo de conexión externa; ese día se suspendió la cuenta afectada y se cortó la comunicación exterior del equipo. El 11 de septiembre se comunicó que unos 246.000 registros podrían haberse filtrado.[1]
Podrían contener nombres, correos, teléfonos y direcciones de funcionarios, contratistas y personas relacionadas con trabajos de la Administración. Aproximadamente 189.000 registros se referían a funcionarios y empleados públicos relacionados; unos 57.000 a empresas y particulares. 246.000 registros no significa 246.000 víctimas distintas confirmadas.[1][2]
La agencia indicó que no incluían expedientes administrativos de la ciudadanía general ni números personales, cuentas bancarias o números de pensión. Muchas direcciones y teléfonos eran laborales.[2]
2. «¡No pedí la tarjeta, he ganado!». No tan deprisa
Algunas reacciones celebraban no tener la tarjeta japonesa de identificación. Pero el sistema atacado era una herramienta de trabajo del Gobierno, no el chip de las tarjetas ni un gran archivo central con la vida de todos los residentes.
La tarjeta tampoco almacena dentro todo el historial fiscal, sanitario y de pensiones. Esos registros siguen en manos de los organismos responsables.[3][4]
Eso no convierte en perfecta la seguridad pública: hubo una intrusión y hay cosas que corregir. Simplemente conviene criticar el incidente real, no otro que no ocurrió aquí.
3. Para qué sirve guardar los datos por separado
Los organismos tributarios guardan los impuestos; las entidades de pensiones, sus registros; los municipios, los impuestos locales y la asistencia social. El sistema japonés de número personal no traslada todo a una caja gigantesca.[3]
Cuando necesitan intercambiar información para un trámite, los organismos usan normalmente códigos internos distintos, en lugar de emplear los doce dígitos del número personal como contraseña universal. También se limita quién puede acceder y para qué.[3]
Es como guardar bienes en cajas fuertes de distintos edificios. Robar una llave no debería abrir automáticamente todas las demás.
Pero si de varios edificios salen copias de documentos, el problema cambia.
4. Abrir cajas fuertes y recoger papeles no es el mismo juego
Primer riesgo: una cadena de intrusiones. Alguien que entra en un organismo intenta pasar a los siguientes. La separación, los códigos diferentes y el acceso limitado ayudan a frenarlo.
Segundo riesgo: combinar datos ya filtrados. Listas obtenidas en incidentes distintos pueden contener pistas comunes sobre una misma persona. Las cajas fuertes pueden seguir cerradas mientras sus copias circulan fuera.
En versión Dragon Ball: tener una bola no desbloquea automáticamente las otras seis. Pero varios fragmentos caídos al suelo podrían llevar el nombre del mismo dueño.
Separar la información sí sirve. Simplemente protege frente a otro tipo de peligro.[3][5]
5. Qué podría revelar la mezcla de datos públicos y privados
Los siguientes son ejemplos hipotéticos, no una lista de lo que se robó en este incidente.
| Posible origen | Qué podría aparecer |
|---|---|
| Tienda en línea | Dirección de entrega, contacto, compras |
| Red social | Gustos, amistades, planes publicados |
| Empresa o servicio laboral | Departamento, puesto, contacto profesional |
| Administración | Solo los datos de impuestos o familia que realmente consten |
| Servicio sanitario | Visitas o tratamientos, únicamente si ese tipo de datos se filtrara |
Una lista comercial describe a un cliente. Un directorio de trabajo describe a un empleado. Si además se incorporan publicaciones abiertas, el dibujo de su día a día puede ser más completo.
No significa que «con tres filtraciones se conoce toda una vida». Importa qué datos salieron, si el vínculo entre registros es correcto y si siguen actualizados.
6. Cómo se reconocen las coincidencias y dónde fallan
Una dirección de correo repetida, un teléfono igual o la combinación de nombre y domicilio pueden sugerir que dos registros pertenecen a la misma persona.
Pero hay personas con el mismo nombre, mudanzas, contactos compartidos en familia y teléfonos reasignados. Una coincidencia convincente también puede ser falsa. Atribuir a alguien una enfermedad o una deuda ajena puede provocar daños graves.
Un estudio de 2019 mostró que eliminar los nombres no siempre impide identificar personas cuando se reúnen suficientes características. Un organismo técnico público de Estados Unidos también advierte de los límites de quitar los identificadores evidentes.[5][6]
Esto no demuestra que los registros japoneses de este caso se hayan unido con otras filtraciones, ni permite trasladar sin más los porcentajes del estudio a Japón.
7. ¿Y si las computadoras hacen el trabajo?
Las computadoras permiten comparar grandes cantidades de registros y ordenar textos dispersos con rapidez. Las herramientas actuales que redactan textos también pueden convertir datos parciales en descripciones o mensajes aparentemente convincentes.
Un correo falso que acierta tu empresa o tus intereses puede parecer auténtico. La Agencia Digital advirtió expresamente sobre mensajes y llamadas que suplantan identidades.[1]
Pero estas herramientas no conocen mágicamente lo que falta. También pueden mezclar personas equivocadas. Conocer un perfil no equivale a descubrir el código de una tarjeta, abrir una cuenta o superar controles de identidad.
8. Qué pueden hacer organismos y ciudadanos
Los organismos deben corregir pronto los fallos conocidos, restringir el acceso a lo necesario para cada tarea, conservar menos datos innecesarios, detectar consultas masivas anómalas y cortar la vía de acceso cuando hay un incidente.
La agencia suspendió la cuenta implicada y cortó la comunicación exterior el 9 de julio. También anunció cambios en la gestión de fallos y en la conexión desde fuera.[1] Las medidas posteriores importan, pero no borran la intrusión inicial.
Como usuarios, conviene no iniciar sesión desde enlaces recibidos por sorpresa, abrir directamente los sitios oficiales, no reutilizar contraseñas y activar comprobaciones adicionales cuando existan. Quien reciba una notificación de afectación debe comprobarla por vías oficiales.
Este incidente por sí solo no justifica que todas las personas con tarjeta japonesa la cancelen.
9. Conclusión: dan más miedo los fragmentos que las siete bolas
Guardar por separado los registros públicos dificulta robarlo todo de un solo golpe. Es una defensa real.
Pero los fragmentos ya filtrados por entidades privadas y públicas pueden reunirse fuera de los sistemas originales.
La pregunta no es solo «¿y si atacan los siete lugares?», sino:
«¿Y si bastan dos o tres piezas para saber demasiado?»
Shenron: «Vuelve cuando tengas las siete». Los datos filtrados: «Perdona, con tres ya se ve casi toda la trama».
Hay que evitar tanto la llave maestra como el rompecabezas de datos. Son dos trabajos distintos.
[1] Digital Agency, Japan — government work environment incident, September 11, 2026 [2] Digital Agency, Japan — incident questions and answers, updated September 12, 2026 [3] Digital Agency, Japan — My Number system and separate storage [4] Japan Agency for Local Authority Information Systems — My Number card security [5] NIST — De-Identifying Government Datasets, September 2023 [6] Rocher, Hendrickx & de Montjoye — Nature Communications, July 23, 2019
