Si una empresa utiliza un filtro web, de correo o de archivos operado en la nube, debe saber si el proveedor puede consultar sus registros y configuración desde una credencial de operación. Digital Arts confirmó que un tercero obtuvo credenciales utilizadas para gestionar sus servicios cloud y accedió al entorno que los opera. La actualización de sus preguntas frecuentes del 26 de octubre de 2026 aclara una respuesta que no cabe en la orden genérica «cambien todas las claves»: depende del producto, de sus opciones cloud y del tipo de autenticación.
La paradoja merece una evaluación serena. La compañía suministra productos de filtrado y protección, entre ellos i-FILTER@Cloud, m-FILTER@Cloud y FINAL CODE@Cloud. Una revisión integral realizada el 9 de octubre encontró rastros de acceso no autorizado a entornos de operación cloud y al entorno interno que inspecciones anteriores no habían identificado. Algunos rastros se remontan aproximadamente a julio de 2025. No son dieciséis meses de acceso continuo demostrado: la fecha más antigua de un rastro no establece presencia ininterrumpida. A 21 de octubre al mediodía en Japón, el fabricante no había confirmado extracción externa de información de clientes ni había recibido reportes de abuso secundario; expresamente no afirma que pueda descartarla.
Qué confirmó el proveedor y qué no
El comunicado del 21 de octubre señala que las credenciales usadas para operar servicios cloud fueron obtenidas por un tercero y utilizadas para entrar en su entorno de operación. Parte de la información de clientes podría haber sido vista. El proveedor revocó las credenciales involucradas, sustituyó otras credenciales operativas, detuvo programas sospechosos y cambió claves de autenticación de servidores. Indicó que no observaba nuevos accesos a la fecha de corte y mantendría vigilancia. No publicó cómo fueron obtenidas inicialmente las credenciales ni los detalles del método, alegando razones de seguridad.
La lista nominal comprende seis servicios: i-FILTER@Cloud, m-FILTER@Cloud Modern Edition, m-FILTER MailAdviser compatible con Microsoft 365, FINAL CODE@Cloud, z-FILTER y Desk. Hay matices que importan más que repetir esos nombres: la versión instalada en el entorno del cliente no está en el alcance como tal; determinadas opciones que dependen de FINAL CODE@Cloud sí lo están, incluso si su producto principal parece una edición distinta. La FAQ oficial enumera esas opciones, incluidas ciertas funciones de cifrado reforzado y FINAL CODE SaaS. Una compra hecha mediante distribuidor puede ocultar la dependencia del servicio subyacente en el inventario interno.
Según la FAQ actualizada, los correos registrados podían estar en una situación de visualización por un tercero; también podían ser visibles registros de producto y datos de configuración de determinados clientes. No hay una lista pública de empresas concretas ni de volumen de registros. La compañía informa de manera individual a quienes requieren acciones adicionales y a sus revendedores. Su declaración sobre no haber confirmado extracción ni daño secundario está fechada a 21 de octubre; no es una certificación independiente de inexistencia de fuga.
Una opción local puede seguir dependiendo del cloud afectado
El catálogo del proveedor, no el nombre de la edición local, determina si una opción conectada entra en la respuesta.
Identificar el servicio correcto antes de rotar
Comience con el contrato y la consola real, no con una lista de fabricantes en la CMDB. Documente producto, edición, modo cloud o instalado, opciones de cifrado, distribuidor, cuentas administrativas y de usuario, integración SSO y tokens de descarga de registros. El ejemplo del fabricante muestra por qué: m-FILTER@Cloud Modern Edition está en la lista; Classic no por ese nombre, pero una opción de cifrado reforzado que utiliza FINAL CODE@Cloud puede incorporarlo al alcance. z-FILTER no tiene contraseña de usuario que cambiar. m-FILTER MailAdviser para Microsoft 365 no tiene una contraseña propia modificable en este contexto. Una campaña de rotación uniforme crearía trabajo improductivo y podría omitir precisamente la opción vinculada al cloud.
La FAQ pide cambiar contraseñas administrativas y de usuario de los demás servicios afectados, incluso si la empresa no recibió una notificación individual de medidas adicionales. Si se usa SSO con Microsoft Entra ID, Digital Arts afirma que no almacena la contraseña del proveedor de identidad y no requiere cambiarla solo por este incidente; sí deben cambiarse las contraseñas locales que se hayan definido en sus propios servicios. Es distinto de no vigilar los registros de Entra: una empresa puede revisar inicios de sesión anómalos por prudencia sin afirmar que el IdP fue comprometido.
Los tokens de descarga de logs fueron invalidados preventivamente por el proveedor. La FAQ dice que no se detectaron rastros de uso indebido de esos tokens. Para continuar las descargas, hay que emitir tokens nuevos y actualizar la herramienta que los consume. Esto afecta operaciones de detección: un pipeline de SOC que deja de recibir registros tras una revocación de seguridad puede aparentar normalidad si nadie observa la ingestión. Registre el último evento recibido, el momento de la revocación y la restauración del flujo; no rellene el hueco con la suposición de que no hubo actividad.
Qué evidencia solicitar cuando el proveedor de seguridad fue afectado
La compañía explica que en i-FILTER@Cloud, m-FILTER@Cloud Modern Edition y z-FILTER puede revisarse el historial de acceso y cambios administrativos desde la consola unificada; en Desk, desde el buscador de logs de operaciones del portal. Esa es una vía concreta para contrastar cambios de política, excepciones de filtrado, administradores nuevos o ajustes de retención durante el periodo de interés. No presupone que esas acciones ocurrieron: sirve para probar que la configuración conocida sigue siendo la esperada.
La investigación tiene tres preguntas independientes. Primera: ¿pudo consultarse información del cliente desde la cuenta operativa del proveedor? La FAQ reconoce posibilidad de visualización de logs y configuración. Segunda: ¿se modificó un control de filtrado o cifrado? La respuesta requiere comparar la configuración con una copia aprobada y consultar evidencia del proveedor. Tercera: ¿se llevaron datos fuera? La compañía no lo había confirmado a su corte del 21, pero tampoco lo descartaba. Cada pregunta usa pruebas diferentes; un cambio de contraseña del cliente no demuestra por sí solo que la política de filtrado estaba intacta.
Para el equipo de gobierno, el caso redefine el cuestionario de terceros. Solicite separación de credenciales operativas, control de acceso privilegiado, tiempo de retención de registros, capacidad de notificar clientes y revocar tokens, lista de subservicios dependientes y prueba de integridad de políticas. Un Security GAP Assessment puede traducir esa evidencia en brechas del contrato y del control; Análisis Forense Digital preserva y correlaciona la telemetría propia; y CISO as a Service coordina dueño de proveedor, SOC y dirección. Ninguna de estas capacidades sustituye la investigación interna de Digital Arts.
El cierre se prueba en cuatro registros, no en una frase del proveedor
Claves locales rotadas; excepciones SSO justificadas.
Políticas actuales comparadas con estado aprobado.
Tokens nuevos y continuidad de ingestión demostrada.
Alcance individual y preguntas pendientes documentadas.
La ausencia de exfiltración confirmada no cierra el expediente
El comunicado inicial puede leerse de dos maneras erróneas: afirmar que hubo una fuga masiva sin evidencia o declarar que el cliente está a salvo porque no se confirmó salida de datos. La FAQ es más cuidadosa: no había confirmación de extracción ni reporte de daños secundarios a su fecha de corte, pero no afirmaba ausencia definitiva. También señala que la intrusión fue en el entorno de operación del proveedor, no una prueba de acceso a la red interna de cada cliente. Los clientes que requieren medidas adicionales reciben instrucciones individuales; todos los usuarios de servicios pertinentes deben ejecutar la parte de rotación que sí les corresponde.
El largo intervalo entre rastros antiguos y hallazgo presente pone a prueba la capacidad de reconstrucción. Una organización que retiene menos logs que la ventana de investigación no puede demostrar el comportamiento de sus propias políticas durante el periodo completo. Ese déficit debe declararse como límite de evidencia, no llenarse con una frase tranquilizadora. La revisión asistida por IA que el proveedor menciona como origen del hallazgo tampoco permite inferir qué herramienta usó ni que cualquier sistema de IA detectaría el mismo patrón en otra empresa.
Una notificación auténtica tampoco debería exigir credenciales por teléfono o correo: Digital Arts dice que no las solicitará de ese modo. El equipo de compras y los administradores deben validar los avisos en el portal conocido o con el distribuidor habitual. El contacto con un canal independiente es particularmente importante cuando precisamente las direcciones de correo de cliente pudieron ser vistas.
Preguntas de operación
¿Hay que cambiar la contraseña de Microsoft Entra ID? El proveedor dice que no por este incidente si se usa SSO, pues no almacena esa clave; sí pide rotar las contraseñas locales creadas en sus servicios.
¿Un producto on-premise queda fuera? La versión instalada como tal queda fuera, pero determinadas opciones que usan FINAL CODE@Cloud están dentro. Se debe verificar la dependencia específica.
¿Se robaron los logs? No se confirmó extracción externa al corte del fabricante. La FAQ reconoce que logs y configuraciones podrían haber sido vistos por el tercero; son afirmaciones distintas.
¿Es suficiente rotar contraseñas? La propia FAQ señala que algunos clientes tendrán acciones adicionales. La empresa debe además validar configuraciones, ingestión de logs y comunicaciones recibidas.
Fuentes y límites
Digital Arts, aviso original del 21 de octubre de 2026, confirma credenciales operativas sustraídas, servicios y medidas iniciales. FAQ oficial de Digital Arts, actualizada el 26 de octubre de 2026, precisa opciones, excepciones SSO, historial de administración, tokens y límites de información. Otsuka Shokai, comunicación a clientes del 22 de octubre, corrobora la comunicación a través de un distribuidor y las instrucciones para sus servicios. Las declaraciones sobre no confirmar exfiltración son del fabricante; no existe aquí un informe forense externo público que determine el alcance final. La matriz de verificación es análisis de Insylux.
Una pregunta para el comité de proveedores
Localice el control de seguridad que compra a un tercero y pregunte qué pasaría si una credencial operativa del proveedor permitiera consultar su configuración. Si no conoce la respuesta ni el dueño de los logs, la revisión puede empezar por ese contrato y su integración real.
