El problema oculto de acumulación de datos en Japón, a plena vista

La cifra que todos repiten es solo parte de la historia

La fuente, Next, uno de los mayores proveedores de software de Japón, reveló a mediados de octubre que sus sistemas habían sido comprometidos y que hasta 22,51 millones de registros podrían haber sido exfiltrados. La cifra es escalofriante bajo cualquier estándar: ocupa el segundo lugar después de la filtración de Sony Pictures en 2022 en escala entre las filtraciones de datos corporativos en el país. Se rotaron las contraseñas. Se emitieron avisos públicos. El negocio siguió adelante, como siempre ocurre en Japón, de manera relativamente discreta.

Pero 22 millones es solo el titular. La historia más profunda es por qué una empresa dedicada a construir software para despachos de abogados, oficinas de contabilidad y contratistas gubernamentales estaba acumulando tantos datos desde el principio.

Quién es realmente Source Next

Source Next — ソースネクスト — no es un nombre conocido internacionalmente, pero en Japón es un pilar estructural. Sus productos centrales son las columnas vertebrales digitales de las prácticas profesionales pequeñas y medianas: software de gestión legal, suites de impuestos y contabilidad, herramientas de automatización de documentos judiciales. Sus clientes no son consumidores. Son organizaciones que, por definición, manejan la información más sensible de otras organizaciones: expedientes de casos de clientes, registros financieros, declaraciones regulatorias.

Cuando tu software administra los secretos de otra persona, la base ética es minimizar lo que se recoge y almacena. Source Next parece haber hecho lo contrario en una escala que hace que la filtración parezca casi rutinaria en lugar de sorprendente.

Qué contenía realmente la filtración

Los informes japoneses han sido cuidadosamente vagos sobre los campos específicos expuestos, lo cual es inusual para una filtración de esta magnitud. Lo que se ha confirmado: la información de cuentas de usuario, incluyendo direcciones de correo electrónico y contraseñas hasheadas, fue comprometida en el límite de 22,51 millones de registros. Ese techo abarca múltiples líneas de producto, lo que significa que la filtración es probablemente agregada: la base de datos del cliente A, más la del cliente B, más conjuntos de datos heredados más antiguos fusionados en la misma infraestructura vulnerable.

Que las contraseñas estén hasheadas importa. Japón tiene una larga historia de reutilización de contraseñas empresariales. Cuando las credenciales hasheadas de un único proveedor de software grande se filtran, el radio de explosión se multiplica porque millones de usuarios probablemente reutilizan las mismas credenciales en bancos, portales gubernamentales y plataformas de salud. Esto no es especulación. Es la realidad estructural del TI empresarial japonés.

Por qué los datos estaban allí en absoluto

Esta es la pregunta que plantea la filtración pero que no responde directamente.

El mercado del software empresarial japonés opera bajo una lógica cultural que los observadores extranjeros a menudo malinterpretan. Los proveedores construyen relaciones profundas con empresas individuales y luego mantienen acceso continuo a los datos bajo la suposición de que la retención equivale a calidad de servicio. Los sistemas de gestión de relaciones con clientes en Japón tienden a acumular años de datos no estructurados: notas de reuniones, historiales de transacciones, comunicaciones internas, porque el mercado aún no se ha disciplinado alrededor de los principios de minimización de datos.

La filtración de Source Next no es una anomalía de negligencia. Es una anomalía de escala. La mayoría de los proveedores de software japoneses probablemente retienen menos datos. La mayoría probablemente son igualmente descuidados. La diferencia entre Source Next y sus pares es el número absoluto de registros centralizados en una única plataforma.

La laguna regulatoria

La Ley de Protección de Información Personal de Japón, revisada en 2022 y fortalecida aún más en 2024, requiere que los controladores de datos tomen medidas de seguridad “necesarias y apropiadas” y que reporten filtraciones a la PPC (Comisión de Protección de Información Personal). Pero la arquitectura de aplicación sigue siendo fragmentada.

No existe un plazo obligatorio de divulgación de filtraciones comparable a la ventana de 72 horas del GDPR de la UE. No hay un marco de acciones colectivas que ejerza presión financiera sobre los proveedores negligentes. Las sanciones por seguridad inadecuada son modestas en relación con el costo de proteger realmente los datos. El resultado es un mercado donde el cumplimiento se reduce a marcar casillas y el incentivo económico para acaparar datos sin protección proporcional es racional desde la perspectiva del proveedor.

Quién gana, quién pierde

Las víctimas de esta filtración son imposibles de cuantificar con precisión. Cada cliente de Source Next que almacenó cualquier información identificable en sus sistemas está expuesto. Eso incluye despachos de abogados que manejan casos de defensa penal, firmas contables que manejan datos financieros personales, contratistas municipales que procesan registros ciudadanos. El riesgo no es solo el robo de identidad al estilo estadounidense. Es el daño reputacional, la pérdida de clientes y el escrutinio regulatorio para las firmas que confiaron en Source Next con sus datos.

Source Next en sí misma absorberá costos reputacionales y probablemente enfrente una o dos multas de la PPC. Pero sobrevivirá. Los mercados de software empresarial japonés están impulsados por relaciones y los costos de cambio son enormes. Los despachos de abogados no migran sus sistemas de gestión a la ligera, incluso después de una filtración.

Los ganadores, incómodamente, son los competidores que pueden posicionarse como más seguros. Si algún proveedor rival en el espacio de legal-tech o software contable ha estado invirtiendo en arquitecturas de confianza cero, cifrado en reposo y políticas estrictas de retención de datos, esta filtración es una oportunidad de marketing gratuita. El mercado del software empresarial japonés es lo bastante joven como para que las ventajas de confianza puedan ser reales y las tasas de conversión puedan seguir rápido.

Qué sucede después

Es probable que ocurran tres cosas en los próximos meses.

Primero, la PPC llevará a cabo una investigación y emitirá directrices, las cuales serán ampliamente leídas y mínimamente aplicadas: el ciclo estándar. Segundo, los despachos de abogados y prácticas contables afectados enfrentarán presión entrante de sus clientes, forzando a algunos a revisar sus propias prácticas de manejo de datos, lo que podría desencadenar una ola lenta de auditorías internas. Tercero, los competidores comercializarán la filtración sin nombrarla explícitamente, confiando en el lenguaje vago pero potente de posicionamiento “seguridad primero” que ya está resonando en las decisiones de compra empresarial japonesa.

El patrón más amplio

Source Next no se convirtió en una bóveda de datos de la noche a la mañana. La compañía creció acumulando funciones, integraciones y bases de datos de clientes a lo largo de décadas. Cada nuevo producto añadió otro conjunto de datos. Cada conjunto de datos se almacenó, no se depuró. Este es el modo operativo por defecto del TI empresarial japonés: acumular primero, asegurar después, si es que se asegura alguna vez.

La cifra de 22,51 millones no es solo una estadística de filtración. Es una partida en el balance. Y hasta que los reguladores japoneses eleven el costo de la retención descuidada, y hasta que los compradores empresariales comiencen a penalizar a los proveedores por la recolección excesiva de datos, el próximo Source Next ya se está construyendo.

Japón tiene muchos de ellos.