La crisis PHP de cero día en Japón va más allá del código

El número que debería mantener despierto a cualquier persona que envíe o reciba paquetes en Japón.

Sagawa Express anunció el 23 de octubre que hasta 53,23 millones de registros podrían haber sido exfiltrados a través de su portal en línea de seguimiento de paquetes. La causa: una vulnerabilidad en PHP que ha pasado de ser un molesto error de codificación a una emergencia de infraestructura nacional.

Este no es un incidente aislado. Es una cascada.

SoftBank detuvo su sistema de alertas de emergencia esa misma mañana —el servicio que distribuye avisos de tifones, notificaciones sísmicas y alertas de tsunami a cientos de millones de teléfonos inteligentes. La razón fue la misma falla de PHP. Durante varias horas, el canal de alerta en tiempo real más confiable de Japón permaneció en silencio. Eso no es un riesgo abstracto. Son personas en zonas de trayectoria de tormentas y áreas costeras que no recibieron nada.

El patrón apareció a lo largo del día en el circuito informativo de Kyodo News, que funcionó más como un panel de exposición sistémica en vivo que como un servicio de noticias. A las 17:33, Arcadia informó sobre acceso no autorizado en curso que distribuía 1,42 millones de correos electrónicos sospechosos. A las 17:28, los operadores de la plataforma de fidelización Tre Faq de Mos Burger confirmaron una brecha. La prefectura de Gunma se negó a confirmar la cantidad de suscriptores después de que su programa “Furusato Choice” resultara afectado. La ciudad de Koriyama reveló que 140 residentes fueron impactados a través de un servicio en la nube contratado. Times Parking, la empresa matriz Park24, enfrentó litigios colectivos. La prefectura de Toyama y el servicio de su fundación cultural fueron señalados. La cuenta oficial de X de un grupo de ídolos J-pop fue comprometida.

Estos no son todos el mismo ataque. Pero comparten la misma cadena de explotación. La vulnerabilidad de PHP, ampliamente conocida en los círculos de seguridad japoneses como una falla de ejecución remota de código en el servidor web integrado de PHP (CVE-2024-4577), no requiere autenticación, ni ingeniería social sofisticada, ni desarrollo de exploits de día cero. Es un error en un componente tan profundamente incrustado en las estructuras informáticas legadas de Japón que parchearlo no es un proyecto de TI. Es un problema de mantenimiento nacional.

Por qué 53,23 millones importa más que la cifra titular.

El alcance de Sagawa es estructural. La empresa opera aproximadamente 100 centros de distribución nacionales e internacionales. Su sistema de rastreo no es una aplicación secundaria; es la interfaz con la que millones de residentes japoneses consultan el estado de sus envíos, programan recogidas y gestionan devoluciones. Los datos probablemente incluyen nombres, direcciones, números de teléfono y patrones de entrega que, al combinarse, pintan un retrato de dónde vive la gente, cuándo están en casa y qué compran.

Ese nivel de detalle es crucial. La filtración de dirección más horarios no es lo mismo que la filtración de tarjetas de crédito. Es peor para ciertos tipos de delitos. Los allanamientos físicos, las estafas dirigidas y los esquemas de fabricación de identidad se benefician más del conocimiento de direcciones y rutinas que de un número de tarjeta robado. Los crecientes reportes en Japón de fraudes por robo de correspondencia y suplantación de identidad no son coincidencia. Son el efecto directo.

La cifra de 53,23 millones también supera con creces las brechas anteriores en la historia reciente del país. El filtrón de Times Parking de 2023 involucró 1,46 millones de imágenes de licencias de conducir; el filtrón de Club Med de 2022 afectó aproximadamente 570.000 registros. La exposición potencial de Sagawa es una orden de magnitud mayor porque la empresa toca casi cada hogar en Japón: devoluciones de comercio electrónico, entregas de suministros médicos, trámites de documentos gubernamentales, productos de temporada. El residente japonés promedio probablemente ha enviado al menos un paquete a través de Sagawa en el último año.

La falla de PHP que se convirtió en un problema nacional.

El CVE-2024-4577 explota una falla de serialización en el servidor de desarrollo integrado de PHP. La confirmación de Microsoft, reportada el 22 de octubre, vinculó la campaña más amplia a un grupo de amenazas afiliado al Estado chino que aprovecha la inteligencia artificial para automatizar el reconocimiento y la explotación a gran escala. Ese detalle reinterpreta todo el incidente: este no es un crimen oportunista. Es una capacidad a nivel estatal aplicada a través de herramientas automatizadas contra infraestructura con la postura de parcheo más débil.

La ironía es que PHP sigue siendo el backend dominante para una proporción asombrosa de las aplicaciones web legadas de Japón: portales municipales, sistemas de programación de atención médica, paneles de seguimiento logístico, plataformas de registro universitario. El servidor integrado está diseñado para desarrollo, no para producción. Sin embargo, innumerables organizaciones japonesas lo implementaron allí de todos modos, a menudo sin actualizar las versiones de PHP durante años. La superficie de ataque no fue descubierta. Fue heredada.

Los ciclos de parcheo en el sector público japonés y el sector privado de tamaño medio operan bajo presupuestos de ejercicio fiscal y aprobaciones comités. Octubre no es el momento en que esos comités se reúnen. La falla era de conocimiento público desde 2024. La explotación se aceleró a lo largo de 2025. Para octubre de 2026, el radio de explosión había cruzado de nicho a nacional.

Quiénes ganan. Quiénes pierden. Qué sucede después.

Los ganadores son los actores de amenaza —los mismos grupos que identificó Microsoft— operando con automatización que convierte un error conocido en un flujo de ingresos. Cada instancia de PHP sin parchear es un punto de entrada gratuito. El costo del compromiso es cercano a cero para ellos. El costo de recuperación lo absorben las víctimas.

Los perdedores son las personas cuyos datos pasaron por el sistema de Sagawa y ahora residen en otra base de datos, esperando la siguiente fase de explotación. También son los residentes de regiones costeras y montañosas que confiaron en las alertas de emergencia de SoftBank y no recibieron nada durante la ventana que la falla creó. El costo humano no se mide en registros. Se mide en segundos de advertencia.

El gobierno de Japón respondió con una propuesta para fortalecer la coordinación cibernética a nivel de gabinete, un reconocimiento directo de que las respuestas fragmentadas entre ministerios y municipios son insuficientes frente a ataques de esta magnitud. El movimiento señala un cambio del parcheo reactivo hacia un mando centralizado, lo cual es correcto en dirección pero lento operativamente. La política viaja a la velocidad de la legislación. Los exploits viajan a la velocidad de un script.

Tres grandes bancos japoneses también anunciaron el 23 de octubre que eliminarán la verificación de licencias de conducir para la apertura de cuentas en línea, una inversión de política impulsada en parte por la misma erosión de control de acceso que permitió estas brechas. Si los documentos de identidad ya no son pruebas confiables de identidad en un ecosistema comprometido, la lógica de incorporación del sector financiero debe cambiar. Esperemos alternativas más estrictas: verificaciones biométricas, autenticación conductual o lanzamientos graduales de servicios. Ninguno de estos es rápido de desplegar.

Sagawa aún no ha confirmado si los datos accedidos incluyen información de pago. Hasta que lo haga, el alcance completo permanece opaco. Lo claro es que la dependencia de Japón de una falla de PHP conocida desde 2024 en infraestructura crítica —logística, telecomunicaciones, servicios municipales, retail de alimentos, entretenimiento— representa un fallo sistémico de gestión de parcheos a escala nacional. Ningún proveedor individual es responsable. Cada proveedor que falló en actualizar PHP es cómplice.

El número de 53,23 millones dominará los titulares hoy. La verdadera historia es cuántos sistemas más caerán antes de que la coordinación propuesta a nivel de gabinete del gobierno produzca algo más rápido que un comunicado de prensa.