Japón aprobó el viernes un paquete de emergencia de 10.000 millones de yenes (unos 63 millones de dólares) para responder a una ola de ciberataques que, desde abril, dejó unos 260 millones de registros personales expuestos.
El plan combina IA para detectar vulnerabilidades, equipos de rescate público-privados y una oficina que centralizará incidentes.
Llega tras el caso GMO y el uso de Artex, una herramienta china de IA, en ataques contra unas 80 empresas.
Qué incluye el paquete
El dinero sale de las reservas del presupuesto fiscal 2026: 2.000 millones de yenes para detectar fallos con IA en sistemas gubernamentales críticos, 4.100 millones para unidades policiales de ciberdelincuencia y 3.800 millones para la Agencia Digital.
La mayor parte va a respuesta e infraestructura, no a IA.
El Gobierno creará un equipo “top gun” de pruebas de penetración en el IPA este mes. Habrá un equipo de rescate público-privado para empresas atacadas, un grupo de contacto para organizaciones en riesgo y un equipo conjunto para incidentes graves con la NCO, la policía y Defensa.
La NCO centralizará la información de los incidentes. Los operadores de infraestructura crítica deberán reportar en cuestión de horas, y a más tardar el mismo día.
El detonante: GMO y Artex
El detonante fue GMO Internet Group. Su servicio Onamae.com Desktop Cloud sufrió un acceso no autorizado que afectó a hasta 26,739 servidores, muchos usados para operar con MetaTrader 4 y 5.
Los atacantes exigieron unos 8.000 millones de yenes (50 millones de dólares); GMO se negó a pagar y ofreció hasta un millón de dólares por información que lleve a su arresto.
La IA no es especulación. GMO Cybersecurity by Ierae confirmó que Artex se usó en ataques contra unas 80 empresas japonesas, con seis servidores que apuntaban casi exclusivamente a Japón entre el 18 de septiembre y el 18 de octubre.
Artex combina un modelo de lenguaje con herramientas de hacking. Su desarrollador cerró el código después de que Corea del Sur lo vinculara a ataques bancarios.
260 millones de registros: cómo leer la cifra
La comisión de protección de datos personales contabilizó unos 260 millones de registros expuestos entre el 1 de abril y el 16 de octubre, más del doble de la población japonesa.
La cifra tiene asteriscos: es acumulada, incluye duplicados y casos de riesgo, y solo cubre reportes directos de empresas privadas. No incluye bancos ni telecomunicaciones.
El ritmo sí se aceleró: 303 casos en septiembre y 830 en los primeros 16 días de octubre. Esa curva explica la urgencia política.
Lo que el dinero no resuelve
El propio Gobierno admite que muchas brechas ocurrieron por fallos básicos: vulnerabilidades sin parchear, configuraciones abiertas y aplicaciones sin seguridad desde el diseño.
Con ese diagnóstico, 10.000 millones de yenes no compran una defensa infalible; compran tiempo y capacidad de reacción. La IA encuentra fallos más rápido, pero también acelera a los atacantes.
El paquete abre frentes delicados. Japón discute bloquear sitios que publican datos robados, una medida que choca con la protección constitucional de las comunicaciones. Y la “defensa cibernética activa” permite neutralizar infraestructura atacante desde octubre, una facultad que exige controles claros.
Para América Latina, la lección es menos glamorosa: inventario de sistemas, parches, autenticación multifactor, reporte rápido y equipos público-privados que lleguen antes de la extorsión pública. Japón gasta 63 millones de dólares en eso. No es magia, pero es más concreto que prometer una IA que defienda sola.
La pregunta no es cuánta IA puede comprar un Estado. Es cuánto tarda en detectar que lo atacan. Japón acaba de poner esa velocidad en el centro de su estrategia.
Más en: Ciberseguridad, Inteligencia Artificial
