Seis horas y un millón y medio de correos electrónicos: hackers convirtieron el sistema de alertas de emergencia de Japón en una máquina de phishing

En Japón comprometieron el sistema de alertas de emergencia SpeeCAN RAIDEN, desarrollado por la empresa Arcadia para advertir a la población sobre situaciones de emergencia. En seis horas del 13 de octubre de 2026 los atacantes enviaron a través de la plataforma 1 423 428 correos de phishing. La empresa también admite una posible filtración de hasta 3,136 millones de direcciones electrónicas, pero la magnitud exacta aún no ha sido confirmada.

SpeeCAN RAIDEN ayuda a municipios, servicios de bomberos, escuelas y empresas a advertir a las personas sobre amenazas y evacuaciones. A finales de septiembre la plataforma contaba con 875 contratos, y el compromiso afectó también a las notificaciones por teléfono y por fax. A diferencia del ataque a las notificaciones en Brasil con alarmas falsas, en Japón la infraestructura se utilizó para phishing financiero.

Arcadia reveló la causa raíz del ataque en un informe técnico. En el servidor de adjuntos se encontró un error en el manejo de rutas que permitía leer archivos cerrados. Los atacantes extrajeron de la configuración la clave secreta para la comunicación entre servicios internos, luego probaron identificadores de cuentas y obtuvieron acceso a los datos. Antes de lograrlo, los hackers también analizaron el sistema en busca de inyecciones SQL y fijación de sesión.

Según los registros de Arcadia, los intentos de intrusión comenzaron el 11 de octubre a las 06:26, y el archivo de configuración fue sustraído a las 16:39. El sistema de monitorización detectó una carga elevada en la base de datos solo a las 23:40. Al día siguiente la empresa cerró la vía inicial de acceso, sin embargo quedó un backdoor en la infraestructura. A través de ese backdoor el 13 de octubre se lanzó el envío masivo.

Los mensajes fraudulentos se hacían pasar por comunicaciones de empresas emisoras de tarjetas de crédito y ofrecían verificar operaciones sospechosas. Las autoridades de Sasebo confirmaron las quejas de residentes sobre mensajes similares. Al menos 869 575 correos llegaron a destinatarios cuyos correos electrónicos no estaban almacenados en Arcadia. Esto significa que los remitentes también usaron listas de destinatarios externas.

En la zona de posible filtración también figuraban hasta 105 000 números telefónicos y 15 000 números de fax, nombres e información laboral. Se hallaron rastros de la intrusión en NET119, el sistema de llamadas de emergencia para personas con hipoacusia y trastornos del habla, y en 119RAIDEN. En NET119 estuvieron en riesgo los datos relacionados con 9020 direcciones, y en 119RAIDEN alrededor de 97 000 direcciones. No se detectó una filtración de mensajes de vídeo.

La primera parada del phishing no finalizó el incidente. El 22 y 23 de octubre se volvieron a enviar mensajes sospechosos a través de la API de correo. Según Arcadia, los atacantes utilizaron una cuenta robada previamente y una contraseña adivinada. Tras la desconexión del acceso externo, los atacantes eludieron la restricción mediante un error de análisis ambiguo de URL. La vulnerabilidad se solucionó el 23 de octubre a las 10:30.

Para el 6 de noviembre Arcadia reanudó la integración con sistemas externos, añadió la autenticación en dos pasos y encargó una auditoría independiente. La empresa se dirigió a la policía y notificó a los reguladores; la investigación sobre la posible filtración continúa. El desarrollador no aportó identificadores públicos CVE ni valoraciones CVSS para las fallas utilizadas. La hipótesis de uso de IA en el ataque no fue respaldada con pruebas.