La empresa japonesa que vende software de seguridad reveló una intrusión en su sistema de registro de clientes. El caso es un recordatorio incómodo para quienes usan la misma contraseña en todas partes.
La peor notificación es la que convierte una cuenta olvidada en una tarea urgente. Sourcenext, empresa japonesa de software, anunció el 15 de octubre de 2026 que terceros habían obtenido información de clientes mediante un acceso no autorizado. El alcance potencial llega a 22.519.960 registros, con contraseñas entre los datos implicados. La cifra se refiere a registros en riesgo, no a un recuento confirmado de personas distintas.
Los clientes pueden consultar el comunicado oficial y la página de preguntas frecuentes. La empresa afirma que los datos de tarjetas de crédito no están incluidos, ya que no se almacenaban en el sistema afectado.
Qué ocurrió en Sourcenext
Según la cronología publicada por la compañía, el acceso no autorizado comenzó alrededor de las 10:00 del 9 de octubre. Se detectó aproximadamente a las 9:00 del día 13 y quedó contenido a las 13:36 de ese mismo día. Son los horarios indicados en el comunicado japonés.
La empresa atribuye la extracción al uso indebido de una API de consulta de información de usuarios registrados. Los campos potencialmente expuestos abarcan datos de contacto, identificación y registro, como correo electrónico, contraseña, nombre, domicilio, teléfono, fecha de nacimiento e información profesional. Eso no significa que se hayan filtrado todos los campos de todos los clientes: el contenido dependía de lo que cada persona hubiera facilitado.
La información de ITmedia NEWS publicada el 16 de octubre corrobora esa secuencia y recoge la repercusión del caso en Japón. La empresa comenzó a restablecer contraseñas y a solicitar otras nuevas al iniciar sesión, además de avisar a los clientes por correo electrónico. Para quienes no habían registrado una dirección electrónica, estaba previsto el contacto por correo postal.
«¿Pero no vende antivirus?»
Sí. Sourcenext comercializa la gama de protección ZERO, además de otros programas y servicios. Por eso, el episodio plantea una pregunta comprensible: ¿cómo acabó en esta situación una empresa que vende seguridad?
El contraste provoca una reacción inmediata al ver que una empresa del sector sufre una intrusión. Pero la distinción técnica importa: el incidente divulgado afectó al sistema de información de clientes. Las fuentes consultadas no aportan pruebas de que el ataque explotara el antivirus vendido por la compañía. Confundir la tienda y su registro de clientes con los productos que comercializa crea otro problema, esta vez de información.
Esos documentos tampoco permiten afirmar que las contraseñas estuvieran almacenadas en texto plano. Las fuentes verificadas no establecen el formato de almacenamiento ni todos los detalles de la vulnerabilidad.
Una contraseña repetida puede convertirse en una llave maestra
Para quienes juegan en PC, la relevancia no requiere una conexión directa con un videojuego. El problema es la costumbre de reutilizar las mismas credenciales en tiendas, foros y servicios. OWASP describe el credential stuffing como la prueba de combinaciones de usuario y contraseña obtenidas en la filtración de otro sitio. Si una combinación funciona en varios lugares, un problema en una cuenta puede extenderse a otras.
No es lo mismo que adivinar una contraseña desde cero: el atacante parte de una combinación existente. Esto explica el riesgo general; no confirma que se hayan comprometido cuentas de videojuegos en este incidente.
La autenticación multifactor añade una barrera importante frente a los ataques basados en contraseñas, como explica la guía de OWASP sobre MFA. Conviene activarla cuando esté disponible. Esa capa adicional no borra los datos ya expuestos ni elimina todas las estafas, pero reduce la dependencia de un único secreto.
Qué deben hacer los clientes ahora
Sourcenext recomienda restablecer la contraseña de la cuenta y cambiar también las de otros servicios en los que se haya reutilizado la misma combinación. La compañía advierte sobre contactos fraudulentos por correo electrónico, SMS, teléfono o correo postal. Para consultar las instrucciones, visita la dirección oficial en lugar de confiar automáticamente en un enlace recibido.
El caso deja una regla práctica bastante menos entretenida que elegir la próxima mejora para tu PC: cada cuenta necesita su propia contraseña. Reutilizar credenciales convierte cuentas independientes en puertas que aceptan la misma llave. La cuenta menos importante puede acabar obligándote a dedicar más tiempo a proteger la más valiosa.
Fuentes consultadas el 18 de octubre de 2026. El alcance de la exposición de cada cliente y los detalles técnicos siguen sujetos a las aclaraciones de la investigación.
