El Cisne Negro de Ciberseguridad de Japón: 100 Billones de Yenes y

Japón gastó 100.000 millones de yenes en su ciberdefensa, y luego vio filtrarse 57 millones de registros.

Algo salió mal desde la cima.

Desde septiembre, las empresas japonesas han confesado públicamente brechas de datos a un ritmo que sugiere una falla sistémica en lugar de lapsos aislados. Entre el 1° de septiembre y el 6 de octubre, solo, casi el 60 por ciento de todos los casos que involucraron a más de 100.000 personas comprometidas fueron japoneses. La cantidad total de registros personales expuestos: 57 millones.

Esto incluye información de licencias de conducir, fotografías y datos profundamente personales de consumidores que no tenían razón para esperar que sus identidades fueran vertidas en foros de hackers. La brecha en Times Car, con 6,6 millones de miembros afectados, tocó nervios particularmente sensibles porque hizo visceral la violencia abstracta de un robo de datos. Podías ver tu propia cara en los archivos filtrados.

El colectivo de hackers de habla rusa Qilin no escatimó en comentarios. Le dijo a TBS que Japón está entre los países peor equipados del mundo para la seguridad informática, y que los ataques a empresas y organismos gubernamentales japoneses probablemente aumenten. La confianza de Qilin no nació de la arrogancia. Nació de la experiencia.

La ironía es estructural, no accidental.

La Oficina Nacional de Ciberseguridad comenzó operaciones el 1° de octubre.

Un año antes, Japón había aprobado la Ley de Mejora de las Capacidades de Respuesta a la Ciberseguridad. La ley autorizó la creación de la Oficina Nacional de Ciberseguridad, o NCO: un centro de mando centralizado dentro de la oficina del primer ministro, con aproximadamente 240 funcionarios bajo la dirección de un comisionado de ciberseguridad a nivel de gabinete, con rango de viceministro. El presupuesto se duplicó a 10.700 millones de yenes.

El mandato era ambicioso. La NCO estaba diseñada para funcionar como el centro de comando al estilo de la lucha antiterrorista de Japón para las ciberamenazas: interceptar inteligencia de comunicaciones, detectar indicadores de ataque temprano y autorizar lo que la ley llama “ciberdefensa activa”, lo que significa que la policía japonesa y las unidades de ciberdefensa de las Fuerzas de Autodefensa se moverían ofensivamente contra los servidores de los atacantes, no solo patrullarían sus propias redes.

La ciberdefensa activa se volvió ejecutable legalmente el 1° de octubre.

Luego las brechas comenzaron a inundar la vista pública.

El cronograma es imposible de descartar como coincidencia. Si los ataques se programaron deliberadamente para coincidir con la activación de la NCO sigue sin estar claro, pero el patrón es innegable: un nuevo centro de mando nacional de ciberseguridad, poderosamente dotado, se encontró respondiendo a crisis para las que supuestamente había sido creado. Las declaraciones gubernamentales emitidas a través de la NCO y del Ministerio de Economía, Comercio e Industria equivalieron a un recordatorio para aplicar actualizaciones del sistema operativo con prontitud. Eso no es una estrategia.

Lo que le falta al gobierno no es dinero. Es capacidad.

Masaaki Hirano, sucesor del ex ministro de Política de Tecnología de la Información (IT) Taro Kono al frente del Cuartel General de la Estrategia Nacional de Ciberseguridad del Partido Liberal Democrático, ofreció una explicación a los reporteros: los ataques pueden representar una nueva clase de asalto de saturación impulsado por inteligencia artificial. La lógica es sencilla. Si la inteligencia artificial puede generar contenido de phishing, identificar vulnerabilidades y automatizar el uso masivo de credenciales robadas, el costo de atacar a un objetivo mal defendido se reduce a casi cero mientras que el volumen de intentos se eleva exponencialmente. El modelo tradicional japonés de defensa perimetral —firewalls, antivirus, respuesta manual a incidentes— colapsa bajo ese tipo de presión matemática.

Pero el problema más profundo va más atrás que la IA. La arquitectura de ciberseguridad de Japón siempre ha sido fragmentada. Cada ministerio guarda sus propios datos. La policía se encarga de investigaciones penales. Las Fuerzas de Autodefensa manejan las operaciones cibernéticas militares. Se suponía que la NCO unificaría ese caos. Sin embargo, la unificación no es lo mismo que la capacidad. Una oficina de coordinación sin operadores capacitados, sin inteligencia sobre amenazas que alcance a tiempo real, y sin la autoridad legal para obligar a las empresas privadas a reforzar sus sistemas con anticipación sigue siendo solo una oficina.

Estados Unidos está observando de cerca.

La debilidad cibernética de Japón no es un problema japonés. Es un problema de infraestructura aliada.

La alianza entre Estados Unidos y Japón ha tratado durante mucho tiempo el intercambio tecnológico e de inteligencia como un pilar estratégico. Las cadenas de suministro de semiconductores, la infraestructura 5G y los sistemas industriales críticos cruzan todo el Pacífico. Una empresa japonesa comprometida es un punto de entrada potencial a redes en las que confían los socios estadounidenses. La propia brecha en Times Car, si incluyó datos sobre proveedores, socios logísticos o contratistas gubernamentales, representa un vector que se extiende mucho más allá de las fronteras japonesas.

Funcionarios estadounidenses de ciberseguridad han expresado frustración antes sobre la postura reactiva de Japón. La diferencia ahora es que la frustración es pública y la escala del fallo es cuantificable. Cinuenta y siete millones de registros no es un número del que te recuperas con un comunicado de prensa.

Quién gana y quién pierde.

Los hackers ganan de inmediato. Qilin y grupos similares ganan reputación, palancas de reclutamiento y probablemente retornos monetarios vendiendo el acceso. El gobierno japonés pierde credibilidad en casa y en el exterior. Las empresas japonesas pierden la confianza de los clientes y enfrentan escrutinio regulatorio. Los socios aliados pierden confianza en la infraestructura compartida.

La pregunta que importa para Asia Oriental es qué sucede después.

Japón no puede permitirse otro año anunciando nuevas oficinas mientras sus datos siguen filtrándose. La NCO necesita autoridad operativa, no solo autoridad organizativa. Necesita el poder de exigir estándares de seguridad para sectores críticos, de obligar a la denuncia de brechas dentro de horas en lugar de semanas, y de financiar la escasez de capital humano que ningún aumento presupuestario por sí solo puede resolver. Japón tiene miles de profesionales certificados en ciberseguridad. Echar 100.000 millones de yenes a una brecha de personal no cierra la brecha.

Para Estados Unidos y sus socios, la implicación es sobrecogedora. Las defensas cibernéticas de Japón son una falla sísmica en la seguridad regional. Si China o Corea del Norte deciden poner a prueba los límites de la NCO —lo cual harán—, la respuesta expondrá si la inversión de Japón ha producido una capacidad real o simplemente una burocracia costosa.

El gobierno actual ha prometido medidas más enérgicas. Hasta ahora, las medidas se limitan a recordarle a la gente que actualice sus sistemas operativos.

Eso no es una estrategia de defensa cibernética. Es un boletín informativo.