Diario de desarrollo de KuroCMS Vol.6: Mejoramos la seguridad ante la oleada de fugas de datos
Los ciberataques con IA causan fugas masivas. Como Rusia o Israel arrebatando tierras y dignidad, toca protegerse. KuroCMS mantiene su código abierto y refuerza drásticamente la seguridad.
La oleada de ciberataques y graves intrusiones que comenzó hacia septiembre de 2026 continúa propagándose sin tregua. Aunque la urgencia de implementar medidas estrictas es evidente, los incidentes no dejan de multiplicarse a diario. Como referencia, hemos recopilado en la siguiente tabla los principales casos acontecidos recientemente.
Lista de las principales filtraciones de datos desde septiembre de 2026 hasta hoy#
Empresas y entidades que han comunicado la filtración o riesgo fundado de exposición de datos personales por accesos no autorizados (la fecha corresponde a la divulgación pública). Total de 64 casos. *Orden cronológico inverso
| Fecha | Empresa / Organización | Contenido | Alcance | Causa |
|---|---|---|---|---|
| 17 oct. (sáb.) | Skyticket (Reserva de viajes) | Filtración de datos de tarjetas de crédito | Aprox. 6.000 personas | Acceso no autorizado |
| 16 oct. (vie.) | Yamato Transport | Filtración de datos personales | Aprox. 5,31M de registros | Acceso no autorizado |
| Nikkei | Fuga de datos personales | 1,83M de registros | Acceso no autorizado | |
| Mitsubishi Gas Chemical | Filtración de datos de exempleados | 2.000 personas | Proveedor externo | |
| Studio (Herramienta de diseño web) | Posible filtración de datos de clientes | — | Acceso no autorizado | |
| Filial del Grupo FANCL | Fuga de datos personales | 830.000 registros | Acceso no autorizado | |
| Comic Cmoa | Fuga de datos de socios (correo y fecha nac.) | — | Acceso no autorizado | |
| Japan Post | Datos de clientes expuestos a visualización | 600 registros | Acceso no autorizado | |
| Hitachi Astemo | Filtración de datos de socios comerciales | 350 personas | Acceso no autorizado | |
| Times Car (Park24) | Plan de respuesta fijado para el 23 de octubre | — | Actualización | |
| IwaiCosmo Securities | Fuga de datos de clientes | 4.600 personas | Proveedor externo | |
| Ciudad de Hamamatsu | Sospecha de fuga de datos de bomberos (vía Arcadia) | — | Proveedor externo | |
| Filial de BASE | Fuga de datos (incl. 2,09M con datos de tarjetas) | 23,35M de personas | No especificado | |
| Corporación Keio | Reivindicación de ransomware confirmada por banda 'Qilin' | — | Ataque de ransomware | |
| 15 oct. (jue.) | M3, Inc. | Fuga de datos en servicio farmacéutico | — | Acceso no autorizado |
| SOURCENEXT | Posible filtración de datos de clientes | 22,52M de registros | Acceso no autorizado | |
| Burger King | Filtración de datos de usuarios de la app | 11,18M de registros | Acceso no autorizado | |
| Medley, Inc. | Sospecha de vulneración en sistema médico | Hasta 787 instituciones | Acceso no autorizado | |
| 14 oct. (mié.) | transcosmos | Filtración de datos de postulantes a contrato | Aprox. 4.600 personas | No especificado |
| Mazda | Sospecha de filtración en sitio comunitario | 4.103 personas | Proveedor externo | |
| Aena (Cosmética) | Sospecha de filtración de datos de socios | 810.000 personas | Acceso no autorizado | |
| Izumi Co., Ltd. | Riesgo inminente de fuga de datos | Hasta 400.000 registros | Filial de SoftBank | |
| Filial de restauración de JR Kyushu | Sospecha de fuga de datos personales | 26.900 personas | No especificado | |
| 13 oct. (mar.) | Japan Post | Riesgo de filtración de datos de clientes | Hasta 4.807 registros | Fallo del sistema |
| Servicio de alertas para municipios | Posible filtración de direcciones de correo | 3,13M de registros | Acceso no autorizado | |
| Gin no Sara (Reparto de sushi) | Fuga de datos de clientes desde servidor externo | Hasta 6,5M de registros | Acceso no autorizado | |
| JR Central | Sospecha de fuga de correos en tienda virtual propia | — | Filial de SoftBank | |
| Ciudad de Omaezaki (Shizuoka) | Riesgo de fuga mediante proveedor de alertas | — | Proveedor externo | |
| SKY Perfect JSAT | Posible filtración de direcciones de correo | — | Filial de SoftBank | |
| Yamaha / Yamaha Motor | Sospecha de fuga de datos de usuarios de redes sociales | Total de 3.200 personas | No especificado | |
| 10 oct. (sáb.) | DIP Corporation (Baitoru) | Filtración confirmada de direcciones de correo | Hasta 3,88M de registros | No especificado |
| Temairazu (Gestión hotelera) | Sospecha de filtración de información | 4,45M de personas | Acceso no autorizado | |
| 9 oct. (vie.) | JR Kyushu | Posible filtración de direcciones de correo | Hasta 1,3M de registros | Filial de SoftBank |
| LY Corporation | Fuga de datos personales vía herramienta de búsqueda | — | Proveedor externo | |
| Filial del Grupo Bandai Namco | Fuga de datos de socios de máquinas recreativas | — | Acceso no autorizado | |
| Grupo Mizkan | Fuga de correos electrónicos y otros datos | — | Proveedor externo | |
| Resorttrust, Inc. | Fuga de datos de socios a través de la web | 26.000 registros | Acceso no autorizado | |
| Sansan, Inc. | Sospecha de fuga de datos desde nube externa | 10.000 personas | Acceso no autorizado | |
| Suzuki | Posible filtración de direcciones de correo y otros datos | — | Proveedor externo | |
| JR East | Posible filtración de direcciones de correo | — | Filial de SoftBank | |
| Filial de BOOKOFF | Posible filtración de datos de clientes | Hasta 6,43M de registros | Acceso no autorizado | |
| 8 oct. (jue.) | NewsPicks | Posible filtración de datos de carácter personal | — | Acceso no autorizado |
| Lawson | Fuga de datos personales (nombres, direcciones, etc.) | Aprox. 2,15M de registros | Acceso no autorizado | |
| Daiichikosho | Riesgo de filtración de datos personales | 8,72M de registros | Proveedor externo | |
| The Bank of Iwate | Sospecha de fuga de clientes (vía proveedor de Daiwa Securities) | — | Proveedor externo | |
| 7 oct. (mié.) | Filial de H.I.S. | Posible filtración de datos de pasaportes | Hasta 627 personas | Acceso no autorizado |
| Sompo Japan Insurance | Posible filtración de datos de clientes | 60.000 registros | Acceso no autorizado | |
| 6 oct. (mar.) | Filial del Grupo Asahi Kasei | Sospecha de fuga de datos en portal para personal sanitario | Hasta aprox. 560.000 personas | No especificado |
| Citizen | Sospecha de filtración de datos de clientes | 100.000 personas | Proveedor externo | |
| Nimoca (Grupo Nishitetsu) | Filtración confirmada de datos de clientes | Aprox. 500 registros | Acceso no autorizado | |
| Filial del Grupo GMO | Fuga de datos personales y uso fraudulento de puntos | 950.000 personas | Acceso no autorizado | |
| MrMax | Filtración confirmada de datos de clientes | Hasta 1,73M de personas | Acceso no autorizado | |
| 5 oct. (lun.) | Daiki Suisan | Sospecha de fuga de información | 170.000 personas | Acceso no autorizado |
| Universidad Metropolitana de Osaka | Riesgo de filtración de datos personales | 130.000 personas | Ataque de ransomware | |
| Yakiniku King | Fuga de datos de clientes | Más de 10 millones de registros | Acceso no autorizado | |
| Daiwa Securities | Sospecha de fuga de números de cuenta y datos de clientes | 220.000 registros | Proveedor externo | |
| 4 oct. (dom.) | Nikkei | Fuga de datos y envío masivo de 9.000 correos sospechosos | — | Acceso no autorizado |
| Nikkei | Acceso ilícito derivado en fuga de datos personales | 1.646 personas | Acceso no autorizado | |
| 3 oct. (sáb.) | ABAHOUSE | Posible filtración de todos los clientes (detectada tras reportes de correos sospechosos) | Todos los clientes | No especificado |
| 2 oct. (vie.) | Grupo Dai-ichi Life | Filtración de datos de empleados (incluidos jubilados) | 120.000 personas | No especificado |
| Sagawa Express | Sospecha de fuga de datos personales (nombres, domicilios) | — | Acceso no autorizado | |
| 30 sep. (mié.) | 2 filiales de Osaka Gas | Posible filtración de datos de clientes | Aprox. 8.260 registros | Acceso no autorizado |
| 29 sep. (mar.) | Secoma (Seicomart) | Sospecha de fuga de datos desde el servidor de aplicaciones | 570.000 registros | Acceso no autorizado |
| 28 sep. (lun.) | Times Car | Fuga de datos personales (incluidas fotos de licencias de conducir) | Hasta 6,6M de registros | Acceso no autorizado |
| Total (44 casos con alcance declarado; suma de registros y personas, incluidos duplicados) | Aprox. 124 millones | |||
Un impacto desolador: aproximadamente 124 millones de registros o personas. Incluso descontando cifras imprecisas o posibles duplicidades, este volumen equivale prácticamente a toda la población de Japón.
Características clave de los recientes daños y vectores de intrusión#
Más allá de su desmesurada escala, lo verdaderamente insólito radica en la abrumadora frecuencia: se registran filtraciones prácticamente todos los días. Es incuestionable que los atacantes están empleando IA avanzada para perpetrar sus incursiones. Si bien muchas entidades no revelan la vía de entrada, los casos conocidos demuestran que la inmensa mayoría se debe a «vulnerabilidades en sitios web, aplicaciones y API».
El segundo vector más recurrente es «el engaño por correo electrónico y redirecciones fraudulentas (phishing)». Gracias a que la IA generativa redacta hoy textos con una naturalidad intachable, los usuarios hacen clic desprevenidamente en enlaces que imitan a la perfección los portales legítimos, introduciendo sus credenciales sin sospechar nada.
Aunque las vulnerabilidades en pasarelas VPN suelen acaparar titulares, en este periodo solo un caso (la Agencia Digital) atribuyó formalmente el fallo a un dispositivo VPN. La aplastante mayoría accedió por las dos vías mencionadas, agravada por una débil protección de los accesos administrativos tras la intrusión: arquitecturas donde el atacante goza de privilegios ilimitados una vez derribada la barrera inicial.
¿Cómo hace frente KuroCMS a estas amenazas de seguridad?#
Para empezar, la usurpación de cuentas mediante phishing o páginas clonadas es físicamente imposible en KuroCMS porque el acceso se basa exclusivamente en llaves de paso (Passkeys). Aparte de nuestra propia aversión a memorizar contraseñas, cuando se obliga a los usuarios a recordarlas acaban eligiendo claves simples y repetitivas, generando un grave fallo estructural que el passkey suprime de raíz.
A continuación detallamos las medidas de seguridad fundamentales que ya operaban con éxito en la versión v1 de KuroCMS:
| Versión | Medida de seguridad | Mecanismo detallado |
|---|---|---|
| v1 | Autenticación exclusiva mediante Passkey | Al no almacenar contraseñas en ningún servidor, no existen claves que puedan robarse o reutilizarse. El acceso se valida por biometría (huella o reconocimiento facial) y las claves criptográficas jamás salen del chip seguro del dispositivo. Las sesiones quedan aisladas frente a scripts o sitios de terceros. |
| v1 | Historial completo y reversión de cambios de IA | Antes de sobrescribir o eliminar el texto de un artículo, se archiva de forma inmutable una instantánea completa de ese momento. La autoría (humano, IA o API) queda certificada criptográficamente en la capa de autenticación, impidiendo falsificaciones y permitiendo restaurar el contenido al instante. |
| v1 | Almacenamiento únicamente del hash de claves API | Los tokens de acceso personal (PAT) empleados por agentes de IA se guardan en base de datos exclusivamente como resúmenes criptográficos unidireccionales (hash). El token original jamás permanece en el servidor, neutralizando cualquier filtración de la base de datos. |
| v1 | Cero almacenamiento de claves maestras de Cloudflare | Al desplegar el sistema en el entorno Cloudflare del cliente, los tokens API introducidos en el instalador solo residen temporalmente en memoria y no se guardan en ningún sitio. Las actualizaciones automáticas se gestionan con un token restringido a la publicación de Workers. |
| v1 | Entrega pública en HTML estático precompilado | Los lectores acceden a páginas HTML totalmente preensambladas sin consultar bases de datos en tiempo real durante la lectura, minimizando la superficie expuesta a ataques. Las peticiones a URLs externas se validan exhaustivamente (prevención de SSRF), permitiendo el uso óptimo de CDN para cargas ultraveloces. |
Estas son las sustanciales mejoras de seguridad incorporadas en la recién estrenada versión v2:
| Version | Mejora implementada | Mecanismo detallado |
|---|---|---|
| v2 | Depuración implacable de scripts en el contenido | Los artículos y textos del sitio se someten a un doble filtrado exhaustivo —al guardarse y al representarse en el navegador— suprimiendo etiquetas script, eventos DOM, pseudoprotocolos javascript: e inserciones externas no autorizadas. Ningún script se ejecutará jamás en el navegador de lectores o administradores. |
| v2 | Actualizaciones validadas por firma digital y hash | Las nuevas versiones proceden únicamente del canal oficial de distribución de KuroCMS y se instalan tras cotejar su firma digital y hash de integridad. Si tras desplegarse no supera los controles de salud, WorkerOps revierte automáticamente a la versión anterior. |
| v2 | Aislamiento riguroso de datos por cliente | Tanto artículos como archivos multimedia residen exclusivamente en la cuenta de Cloudflare del propio cliente. En la modalidad gestionada, la infraestructura y el CMS están aislados por cuenta con bases de datos dedicadas por sitio. Los informes de errores solo transmiten códigos numéricos, nunca contenidos. |
| v2 | Acceso al panel restringido a redes registradas | El panel de administración solo responde desde la red IP autorizada durante el inicio de sesión con Passkey. El registro de IP es completamente transparente y se renueva con el uso activo. Todo acceso desde una red no registrada se bloquea al instante alertando al propietario. |
| v2 | Vinculación criptográfica a red y dispositivo | La sesión web queda atada a la conexión IP de origen. Los tokens de refresco se vinculan criptográficamente a la llave de seguridad física del dispositivo emisor (Device Binding). Aunque un token de sesión fuera interceptado, resultaría inútil en otro equipo o red ajena. |
¿Cuál ha sido el resultado? Rumbo estratégico y evolución#
El cambio arquitectónico más trascendental es la restricción estricta por IP. En la era actual de IPv6, donde cada equipo puede disponer de una IP pública global única, iniciar sesión en KuroCMS requiere concordancia absoluta con la IP registrada. Suplantar una dirección IPv6 es un desafío de extrema dificultad, incluso para ingenieros de grandes operadoras. Junto con llaves de paso ancladas al navegador y al procesador seguro del dispositivo, cualquier intento habitual de penetración queda neutralizado.
En coherencia con esto, migramos la infraestructura de autenticación de KuroCMS a una robusta plataforma corporativa de gestión de identidades. Esto responde también a la incorporación de nuestro servicio gestionado (Managed Hosting) para quienes prefieren no gestionar cuentas de Cloudflare ni crear tokens PAT. Dicha plataforma supervisa accesos anómalos, notifica a los usuarios en pantalla y por correo, y alerta a nuestro equipo de operaciones para actuar de inmediato.
Fue una determinación que meditamos profundamente: el núcleo de KuroCMS continúa siendo software libre y de código abierto (OSS), pero para garantizar una invulnerabilidad indiscutible, la infraestructura de autenticación se aloja en un entorno corporativo fuertemente blindado. Los usuarios actuales no sufren ningún perjuicio: el despliegue directo en su propia cuenta de Cloudflare (el método único de v1) se mantiene al 100%. Solo lamentamos las leves molestias de exigir el registro de una dirección de correo.
Frente a v1, KuroCMS v2 constituye un salto exponencial en seguridad defensiva. Agradecemos sinceramente su constante confianza y respaldo a nuestro proyecto.
*Se prevé que el lanzamiento de KuroCMS v2 tenga lugar hacia finales de esta semana.