Ilustración de la idea del artículo: dos notificaciones de brecha leídas con la misma lista de preguntas. Es conceptual. Los logotipos se muestran solo para identificar a las empresas y la imagen no afirma nada que el artículo no diga.
Dos notificaciones de brecha en una misma semana, de una empresa de videojuegos y de un banco. Las mismas seis preguntas muestran qué confirma cada una, qué no confirma y qué deberías hacer.
La cifra del titular rara vez es la que importa
Una notificación de brecha te dice lo que la empresa ha confirmado hasta ese momento, con las palabras que eligieron sus abogados, y los huecos también forman parte del mensaje.
En la semana del 19 de octubre de 2026, dos organizaciones revelaron que se habían llevado datos de sus clientes. Capcom, la empresa japonesa de videojuegos, informó de un acceso no autorizado a su sistema de cuentas CAPCOM ID. State Bank of India (SBI) comunicó a sus bolsas de valores, en una presentación del 21 de octubre, que había sufrido «un incidente que implica la pérdida de ciertos datos».
Este artículo es para quien recibe un correo sobre una brecha, para quien ayuda a quienes lo reciben y para quien algún día tendrá que redactar uno. Usa estas dos notificaciones para enseñar seis preguntas que sirven para cualquier notificación. No cuenta la historia de un ataque, porque ninguna de las dos organizaciones ha dicho cómo se produjo.
Pregunta 1: ¿qué se está contando?
Capcom dice que en 11 774 247 registros de todo el mundo quedaron expuestas direcciones de correo electrónico y algunos identificadores del sistema. Algunos titulares de prensa lo convirtieron en 11.7 millones de cuentas.
Un registro es una fila de datos, por ejemplo una cuenta. No siempre equivale a una persona, porque una misma persona puede tener varias cuentas. Las cifras se parecen, pero no son lo mismo.
SBI muestra el mismo problema con otra forma. Su presentación dice que un análisis preliminar de unos 375 000 registros disponibles en la dark web encontró 3897 registros de clientes con información personal.
Los 375 000 son, aproximadamente, el tamaño que anunciaba un vendedor delincuente. Los 3897 son lo que el banco dice haber identificado hasta ahora. Responden a preguntas distintas, y ninguna de las dos cifras te dice cuántas personas están afectadas.
Pregunta 2: ¿qué campos se llevaron?
La lista de campos te dice cuál es el riesgo, así que léela despacio. Capcom enumera direcciones de correo electrónico, fecha y hora de creación de la cuenta, fecha y hora del último inicio de sesión, número de inicios de sesión y la dirección de red usada en el último inicio de sesión. Para 43 registros enumera además fecha de nacimiento, género, país o región y apodo. Capcom dice que no se incluye información de tarjetas de crédito.
La presentación de SBI dice que la información expuesta «incluía, según se informa» nombres, números de móvil registrados, fechas de nacimiento, género, direcciones de correo electrónico y postales, identificadores de sucursal y de cliente (CIF), identificadores de clientes potenciales (lead IDs) y metadatos sobre registros de préstamos y de clientes potenciales. No enumera números de cuenta, saldos, contraseñas ni datos de tarjetas. Es una ausencia tranquilizadora, pero un nombre, un número de teléfono y un dato de un préstamo bastan de sobra para una llamada convincente. La propia Capcom advierte de que los datos podrían usarse en correos de phishing que se hagan pasar por Capcom.
Pregunta 3: ¿se leyeron los datos, se modificaron o ambas cosas?
Capcom dice que se cambiaron contraseñas sin autorización en 196 cuentas y que las ha restablecido. Dice que no ha confirmado ninguna filtración de las contraseñas que fijaron los clientes. Son dos hechos distintos, y la notificación los mantiene separados.
Nuestra lectura es que cambiar una contraseña significa que el intruso podía escribir en el sistema de cuentas, y no solo leer de él. Capcom no lo dice. Es una inferencia a partir del hecho, y un buen motivo para preguntar qué más permitía ese acceso.
Pregunta 4: ¿cuándo empezó y cuándo se descubrió?
Las notificaciones suelen dar una fecha de detección y callan sobre el inicio. Capcom dice que detectó actividad sospechosa el 19 de octubre, formó un equipo de respuesta el 20 de octubre, avisó a la policía y al regulador japonés de protección de datos el 21 de octubre y publicó su comunicado el 22 de octubre. No dice cuándo entraron por primera vez los atacantes.
La cronología de SBI tiene menos detalle y es de otra naturaleza. La presentación de SBI dice que el banco recibió alertas el 16 de octubre de tres remitentes (su proveedor de inteligencia de amenazas, la Defence Cyber Agency y CERT-In) sobre la presunta exposición de datos de clientes en la dark web, y que presentó su comunicación el 21 de octubre. No se indica cuándo salieron los datos del banco, si es que salieron. El tiempo que pasa entre la filtración, la primera alerta y la notificación es tiempo en el que los datos pueden usarse indebidamente.
Pregunta 5: ¿qué se dice sobre la causa?
Ninguna de las dos organizaciones ha revelado cómo entró el intruso. Capcom dice que identificó el método de ataque y respondió, pero no lo describe. SBI no ha señalado ninguna causa, y su presentación no dice si los datos salieron del banco, de un proveedor o de otra parte. Es lo normal al principio de una investigación.
También significa que cualquier artículo que atribuya una causa está especulando.
La propia presentación de SBI habla de una «presunta exposición» y de una «supuesta vulneración», y dice que era necesaria una investigación detallada para determinar si los datos son auténticos y están completos.
Ten especial cuidado con lo que afirman los propios delincuentes. Un vendedor dice tener documentos adicionales de SBI. Nadie lo ha confirmado, así que no repetimos los detalles. Anunciar una brecha forma parte de cómo ganan dinero estos vendedores.
Pregunta 6: ¿para quién está escrita la notificación y qué te pide que hagas?
El comunicado de Capcom está escrito para los clientes. Dice que se contactará individualmente y por etapas a las personas afectadas, enumera los canales de soporte por región y pide a la gente que no abra enlaces ni archivos adjuntos de mensajes inesperados.
La presentación de SBI está escrita para inversores y reguladores. Dice que el incidente no tiene un impacto material en las operaciones principales del banco, su rendimiento financiero ni su continuidad de negocio, y que el banco ha contratado a una agencia independiente de ciberseguridad incluida en el panel de proveedores de CERT-In, el equipo nacional de respuesta a emergencias informáticas de la India.
La presentación no dice si se ha informado o se informará a los clientes afectados. La Internet Freedom Foundation, un grupo de defensa de derechos digitales, sostiene que esto es una laguna. Es posible que el banco se haya comunicado por otros canales.
Las seis preguntas, una al lado de la otra
| Pregunta | Capcom | SBI |
|---|---|---|
| ¿Qué se cuenta? | 11 774 247 registros. No se cuentan personas. | Unos 375 000 registros en la dark web, según la presentación (el tamaño que anunciaba un vendedor). 3897 que, según el banco, contienen datos personales. |
| ¿Qué campos? | Correo electrónico, fechas de la cuenta, número de inicios de sesión, dirección del último inicio de sesión. Fecha de nacimiento, género, país y apodo en 43 registros. | Nombre, número de móvil, fecha de nacimiento, género, correo electrónico, dirección, identificadores de cliente (CIF) y de sucursal, identificadores de clientes potenciales, metadatos de préstamos y de clientes potenciales. |
| ¿Leídos o modificados? | Leídos, y contraseñas cambiadas en 196 cuentas. | Comunicado como pérdida de datos. Sin más precisiones. |
| ¿Inicio y detección? | Detectado el 19 de octubre. Inicio no indicado. | Alertado el 16 de octubre. Comunicado el 21 de octubre. Inicio no indicado. |
| ¿Causa? | Método identificado, no revelado. | No revelada. |
| ¿Para quién es? | Clientes, con canales de soporte y contacto por etapas. | Inversores y reguladores. El plan de contacto con clientes no se indica en la presentación. |
Qué hacer si eres cliente
El consejo es el mismo en los dos casos, y no tiene nada de exótico. Da por hecho que un mensaje que usa tus datos reales puede ser una trampa. No hagas clic en enlaces ni abras archivos adjuntos de mensajes inesperados, aunque mencionen correctamente tu cuenta. Entra en el sitio web oficial o en la aplicación de la empresa escribiendo tú mismo la dirección, y usa los canales de contacto que la empresa ha publicado.
Si usas la misma contraseña en otros sitios, cámbiala. Donde un sitio ofrezca una llave de acceso (passkey) o una aplicación de autenticación, actívala. Si tienes una cuenta en alguna de las dos organizaciones, presta atención a los contactos oficiales que te lleguen de ellas y desconfía de cualquier otro.
Qué hacer si diriges un equipo
Usa las seis preguntas como lista de comprobación para tu propia notificación de incidentes. Cuenta personas además de registros, y deja claro a cuál te refieres.
Enumera los campos con palabras sencillas y nombra cada uno, incluidas las direcciones de red. Di lo que no sabes y cuándo vas a actualizar la información. Redacta una versión para los clientes, no solo para abogados y reguladores.
¿Hasta qué punto deberías aprender esto?
Conocer: todo el mundo debería saber que la cifra de un titular y una lista de campos responden a preguntas distintas, y que «no hay pruebas de» es más débil que «no ocurrió». Lee la lista de campos antes que el mensaje tranquilizador.
Usar: el personal de soporte, de mesa de ayuda y de seguridad debería ser capaz de leer una notificación, explicársela a un cliente y distinguir entre hechos confirmados, afirmaciones de la empresa y afirmaciones de los delincuentes.
Dominar: los responsables de incidentes y de comunicación deberían diseñar las notificaciones antes de necesitarlas. Eso significa acordar quién cuenta qué, cómo se describen los campos, cómo se publican las actualizaciones y cómo se informa a los clientes.
Qué puedes ignorar por ahora
No necesitas seguir los nombres de los grupos ni de los foros que usan los vendedores. Cambian cada mes, y perseguirlos añade riesgo y aporta poca comprensión. Lee la notificación, no el anuncio del vendedor.
Un siguiente paso práctico
Busca la última notificación de brecha que hayas recibido, o abre el comunicado de Capcom, y responde a las seis preguntas con tus propias palabras. Apunta lo que la notificación no dice. Esa lista es tu guía de lo que debes vigilar a continuación.
Para profundizar
- Capcom: statement on unauthorized access to CAPCOM ID, 22 de octubre de 2026, para las cifras, las fechas y los canales de soporte.
- Capcom: English translation of the statement, para quienes no leen japonés.
- BleepingComputer on the Capcom breach, para un resumen del comunicado.
- SBI: filing to BSE and NSE, Incident involving Data Loss, 21 de octubre de 2026, para las palabras del propio banco.
- The Hacker News on the SBI data leak, para el contenido de la presentación según se informó.
- CyberPeace on the SBI leak, para lo que se sabe y lo que no.
- Internet Freedom Foundation on the SBI filing, para la crítica de un grupo de defensa de derechos sobre lo que la presentación deja fuera.
- Lecturas relacionadas en este sitio: ataques de phishing (en inglés) y ataques de ingeniería social (en inglés).
Los datos de este artículo se comprobaron el 26 de octubre de 2026. Las dos investigaciones siguen abiertas, así que las cifras pueden cambiar. Los detalles sobre SBI proceden de su presentación del 21 de octubre de 2026 ante las bolsas de valores y de las informaciones publicadas sobre ella.