GMO Internet, víctima de una intrusión que comprometió miles de servidores, solicitó la intervención estatal para neutralizar la infraestructura de los atacantes. El caso podría convertirse en una de las primeras pruebas importantes del nuevo modelo de defensa cibernética activa de Japón.
Japón enfrenta una situación que podría marcar un punto de inflexión en su estrategia nacional de ciberseguridad. Tras una serie de ataques contra empresas del país, la primera ministra Sanae Takaichi reunió este lunes 26 de octubre a integrantes de su gabinete para coordinar medidas extraordinarias de protección y respuesta.
El detonante más visible fue el incidente sufrido por GMO Internet Group, uno de los principales conglomerados tecnológicos japoneses, que recibió una exigencia de 50 millones de dólares en criptomonedas por parte de los presuntos responsables de una intrusión informática.
La compañía rechazó el pago y solicitó al gobierno que considere utilizar sus nuevas facultades de defensa cibernética activa, vigentes desde el 1 de octubre, que permiten a las autoridades acceder a servidores utilizados para ejecutar ataques y neutralizar amenazas bajo determinadas condiciones legales.
La respuesta gubernamental podría ir más allá de la gestión de este incidente: Japón está comenzando a poner en práctica un modelo que contempla intervenir directamente sobre infraestructura digital utilizada por actores maliciosos.
El ataque contra GMO Internet: miles de servidores comprometidos
El incidente afectó a un servicio de escritorios virtuales de GMO Internet, utilizado, entre otras actividades, para ejecutar operaciones automatizadas en mercados financieros.
Según la información difundida por la compañía y recogida por medios japoneses, hasta 26.739 servidores podrían haber resultado afectados por accesos no autorizados.
La intrusión habría permitido obtener información de autenticación de usuarios, generando un problema que rápidamente trascendió la confidencialidad de los datos.
Algunos clientes denunciaron operaciones financieras que no reconocían, lo que llevó a la empresa a adoptar medidas extraordinarias.
GMO decidió desconectar los servidores afectados el 21 de octubre para contener el incidente. También anunció que compensará las pérdidas ocasionadas por transacciones no autorizadas y ofrecerá un pago adicional de 5.000 yenes a los usuarios del servicio afectado, independientemente de que hayan sufrido perjuicios económicos.
La compañía ofreció además alternativas temporales de infraestructura para los clientes que necesitan continuar utilizando entornos Windows remotos.
Sin embargo, la dimensión económica del incidente aumentó cuando los presuntos atacantes exigieron 50 millones de dólares y amenazaron con divulgar información de la empresa y sus clientes.
Masatoshi Kumagai, fundador y director ejecutivo de GMO Internet Group, confirmó públicamente que la organización no había realizado ningún pago.
La empresa también solicitó una investigación policial y manifestó su disposición a colaborar con las autoridades.
Una nueva ley permite intervenir sobre los servidores de los atacantes
El aspecto más significativo del caso no es únicamente la magnitud de la extorsión, sino la respuesta que GMO pretende obtener del Estado japonés.
Desde el 1 de octubre de 2026, Japón cuenta con nuevas facultades operativas derivadas de su legislación de defensa cibernética activa.
El marco normativo permite que la policía y las Fuerzas de Autodefensa japonesas ejecuten determinadas operaciones sobre sistemas informáticos utilizados para realizar ciberataques.
Estas operaciones pueden incluir el acceso remoto a infraestructura maliciosa y la adopción de medidas destinadas a neutralizar amenazas.
Por ejemplo, las autoridades podrían intervenir sobre servidores utilizados para controlar sistemas comprometidos, eliminar componentes maliciosos o modificar configuraciones que permitan interrumpir una operación ofensiva.
Se trata de un cambio importante respecto de los mecanismos tradicionales de respuesta, habitualmente centrados en proteger los sistemas afectados, investigar los hechos y solicitar la desactivación de infraestructura mediante procedimientos administrativos, policiales o judiciales.
La nueva legislación introduce la posibilidad de actuar técnicamente sobre los sistemas utilizados para ejecutar determinados ataques, incluso de manera preventiva.
No obstante, estas facultades no constituyen una autorización general para hackear cualquier servidor sospechoso.
La intervención está sometida a requisitos legales, controles institucionales y procedimientos de autorización. Cuando corresponde la actuación de las Fuerzas de Autodefensa, existen además condiciones específicas relacionadas con la naturaleza y gravedad de la amenaza.
El Ministerio de Defensa japonés confirmó oficialmente la entrada en vigor de estas nuevas atribuciones a comienzos de octubre.
GMO pide una intervención que el gobierno todavía no confirmó
GMO Internet considera que los mecanismos tradicionales de protección empresarial resultan insuficientes frente a organizaciones criminales capaces de operar internacionalmente.
Su planteamiento es que determinadas amenazas requieren una respuesta coordinada con capacidades que exceden las disponibles para una empresa privada.
La solicitud coloca al gobierno ante una decisión relevante: determinar si un incidente de estas características reúne las condiciones necesarias para justificar una operación de defensa cibernética activa.
Sin embargo, existe una diferencia importante entre solicitar una intervención y obtener autorización para ejecutarla.
El secretario jefe del Gabinete, Minoru Kihara, explicó el 26 de octubre que la legislación no establece un procedimiento por el cual una empresa pueda activar directamente estas facultades mediante una solicitud.
Según Kihara, las autoridades competentes deben evaluar cada situación conforme a los requisitos establecidos por la ley, independientemente de que exista o no una petición de la organización afectada.
Por lo tanto, no existe confirmación pública de que Japón haya ejecutado una operación de neutralización contra los responsables del ataque a GMO.
La posibilidad está siendo considerada dentro de las herramientas legales disponibles, pero su aplicación concreta depende de decisiones de las autoridades.
Takaichi ordena preparar un paquete de medidas de emergencia
La reunión ministerial celebrada el 26 de octubre respondió a una preocupación que excede el caso de GMO Internet.
Distintas empresas japonesas han denunciado accesos no autorizados, filtraciones de información y consecuencias económicas derivadas de incidentes informáticos.
Durante el encuentro, Takaichi advirtió sobre la gravedad de las filtraciones masivas y los posibles daños secundarios derivados del uso indebido de la información comprometida.
La primera ministra ordenó preparar un paquete de medidas de emergencia durante la semana siguiente.
Entre las prioridades anunciadas figuran el fortalecimiento de la asistencia a empresas afectadas, la coordinación entre organismos públicos, la cooperación internacional para identificar a los responsables y la utilización de herramientas avanzadas para detectar vulnerabilidades.
También se planteó acelerar evaluaciones de seguridad mediante inteligencia artificial, ampliar las capacidades de detección y fortalecer la protección de las cadenas de suministro.
En materia de respuesta activa, Takaichi sostuvo que el gobierno considerará estratégicamente las distintas opciones disponibles, incluidas las medidas de acceso y neutralización de infraestructura utilizada en ataques.
La declaración es significativa porque confirma que estas capacidades forman parte de la estrategia gubernamental, aunque no equivale a una orden específica de intervenir contra los atacantes de GMO.
El comunicado oficial de la reunión fue publicado por la Oficina del Primer Ministro de Japón.
El debate de fondo: ¿hasta dónde puede llegar un Estado para detener un ciberataque?
La defensa cibernética activa introduce una cuestión que los países deberán resolver tanto desde el punto de vista técnico como jurídico.
En los incidentes convencionales, las organizaciones afectadas buscan identificar la intrusión, contenerla, recuperar sus sistemas y preservar evidencia para una investigación.
Pero cuando el Estado dispone de facultades para intervenir directamente sobre infraestructura utilizada por los atacantes, aparece una dimensión adicional: la posibilidad de ejecutar acciones técnicas fuera de los sistemas propios.
Esto plantea varios desafíos.
El primero es la atribución. Los servidores utilizados para ejecutar ataques no necesariamente pertenecen a sus responsables. Frecuentemente son sistemas legítimos comprometidos, infraestructura alquilada mediante identidades falsas o recursos distribuidos entre diferentes jurisdicciones.
Neutralizar un servidor malicioso podría afectar a terceros si la infraestructura también presta servicios legítimos.
El segundo desafío es la jurisdicción. Una operación ejecutada desde Japón contra un servidor ubicado en otro país puede generar conflictos legales o diplomáticos, incluso cuando su objetivo sea interrumpir una actividad criminal.
El tercero es la proporcionalidad. Las medidas destinadas a detener una amenaza deben evaluarse considerando sus posibles consecuencias sobre otros sistemas y usuarios.
La legislación japonesa contempla mecanismos de supervisión y autorización precisamente para establecer límites a estas actuaciones.
Sin embargo, su aplicación práctica será determinante para evaluar cómo se equilibran las necesidades de seguridad con los derechos de terceros y las obligaciones internacionales.
Un reconocimiento incómodo sobre las fallas de seguridad
El incidente también dejó una revelación relevante sobre la gestión interna de GMO.
Según declaraciones de Kumagai recogidas por la prensa japonesa, especialistas internos de seguridad habían advertido sobre problemas antes de que se produjera el acceso no autorizado.
El ejecutivo reconoció que la organización no respondió adecuadamente a esas advertencias y expresó su arrepentimiento.
Este elemento introduce otra dimensión en el debate.
La existencia de capacidades estatales para neutralizar infraestructura maliciosa no elimina la responsabilidad de las empresas de identificar y corregir sus propias vulnerabilidades.
Tampoco sustituye los controles preventivos, la gestión de accesos, la segmentación de redes o la capacidad de detectar actividad anómala.
En el caso de GMO, todavía es necesario conocer con mayor precisión la secuencia técnica de la intrusión, las vulnerabilidades explotadas y los mecanismos utilizados para obtener información de autenticación.
Sin esos datos, no corresponde atribuir el incidente a una vulnerabilidad específica ni establecer conclusiones definitivas sobre su causa raíz.
Japón pone a prueba una nueva etapa de la ciberseguridad nacional
La situación de GMO Internet representa un caso especialmente relevante porque reúne tres elementos: una intrusión de gran escala, pérdidas económicas asociadas a cuentas comprometidas y una solicitud explícita de intervención estatal contra la infraestructura de los atacantes.
Todo esto ocurre pocas semanas después de la entrada en vigor de una legislación que amplía considerablemente las herramientas disponibles para las autoridades japonesas.
La decisión que adopte el gobierno será observada con atención, tanto por el sector privado como por otros países que evalúan cómo responder a operaciones criminales que atraviesan fronteras.
Para América Latina, el caso también plantea preguntas sobre la distribución de responsabilidades entre empresas, organismos de respuesta a incidentes, fuerzas policiales y autoridades nacionales.
La cooperación internacional, la capacidad de investigación técnica y los mecanismos legales para actuar sobre infraestructura maliciosa adquieren una importancia creciente cuando los ataques pueden originarse en múltiples jurisdicciones.
Pero también resulta necesario establecer controles claros que eviten intervenciones desproporcionadas o daños a sistemas de terceros.
Por ahora, Japón no ha confirmado una operación ofensiva contra los responsables del ataque a GMO Internet. Lo que sí ha confirmado es su intención de incorporar las nuevas facultades de neutralización a las opciones de respuesta frente a amenazas graves.
El caso podría convertirse en una referencia para comprender cómo los Estados comienzan a pasar de una defensa centrada exclusivamente en sus propios sistemas a una estrategia que también contempla intervenir sobre la infraestructura utilizada para atacarlos.