La policía japonesa ha detenido a un estudiante de secundaria de 15 años en la prefectura de Saitama por obstrucción fraudulenta de negocios. El joven presuntamente utilizó un programa asistido por ChatGPT para lanzar un ciberataque sostenido contra Bandai Channel, el servicio de streaming de anime y tokusatsu de Bandai Namco Filmworks.

La policía japonesa ha arrestado a un estudiante de secundaria de 15 años de la ciudad de Tokorozawa, prefectura de Saitama, bajo sospecha de obstrucción fraudulenta de negocios, después de que presuntamente utilizara un programa asistido por ChatGPT para lanzar un ciberataque sostenido contra Bandai Channel, un popular servicio de streaming de anime y tokusatsu operado por Bandai Namco Filmworks.

Los investigadores afirman que el adolescente, quien aún cursaba su tercer año de escuela secundaria hasta noviembre de 2025, obtuvo acceso no autorizado a los servidores backend de Bandai Channel y canceló sistemáticamente los registros de 46,812 miembros, forzando la retirada masiva de cuentas.

La interrupción fue lo suficientemente grave como para que Bandai Namco Filmworks se viera obligada a suspender temporalmente todos los servicios de la plataforma, cortando el acceso a toda su base de usuarios mientras la empresa investigaba la brecha.

Herramienta de Explotación Asistida por ChatGPT

Según la policía, el sospechoso construyó un programa personalizado utilizando el ChatGPT de OpenAI para automatizar el acceso no autorizado a las cuentas de los miembros y forzar la eliminación de cuentas a escala. Este caso resalta una tendencia creciente: actores de amenazas, incluyendo menores con habilidades autodidactas, que aprovechan la IA generativa para reducir la barrera técnica en el desarrollo de scripts de explotación.

Se informa que el chico comenzó a aprender programación de forma independiente alrededor de cuarto grado y desarrolló la experiencia suficiente para convertir la generación de código asistida por IA en un arma para realizar ataques automatizados y repetidos contra sistemas de producción, según un sitio web de noticias japonés.

Durante las intrusiones, el atacante también recolectó información de los miembros, incluyendo direcciones de correo electrónico y apodos. Bandai Namco Filmworks ha declarado que, hasta el momento, no hay evidencia confirmada de que estos datos hayan sido filtrados públicamente o utilizados para fraudes secundarios, aunque la exposición de PII (información de identificación personal) en una brecha de esta escala sigue siendo una preocupación para los usuarios afectados.

• Noviembre de 2025: Bandai Namco Filmworks suspende todos los servicios de Bandai Channel tras detectar accesos no autorizados y eliminaciones involuntarias de cuentas de miembros.
• Diciembre de 2025: Los servicios se reanudan tras la implementación de medidas de seguridad mejoradas.
• Declaración de la empresa: No se ha informado de ninguna divulgación pública confirmada de datos personales ni de daños secundarios.
• En curso: Bandai Namco Filmworks se compromete a fortalecer su marco de gestión de seguridad de la información para evitar que esto vuelva a ocurrir.

En una declaración a las consultas de la prensa, la empresa señaló: “Nos esforzaremos por evitar que esto se repita reforzando aún más nuestro sistema de gestión de seguridad, incluida la gestión de la seguridad de la información, para que nuestros miembros puedan utilizar nuestros servicios con total tranquilidad”.

Durante el interrogatorio, el chico admitió los cargos y dijo a los investigadores que “no guardaba rencor contra las empresas víctimas”, sugiriendo que el ataque pudo haber sido motivado por curiosidad técnica o una demostración de capacidad, más que por beneficio económico o malicia dirigida.

Este incidente subraya dos preocupaciones crecientes en el panorama de amenazas: la accesibilidad de las herramientas de IA generativa para crear scripts de explotación y la vulnerabilidad de las plataformas de streaming ante ataques de toma de control de cuentas a gran escala.

Tú y tu equipo de seguridad deberíais tratar la eliminación masiva no autorizada de cuentas o el abuso de credenciales como un riesgo serio de continuidad del negocio, no solo como un problema de privacidad de datos, ya que puede forzar interrupciones totales del servicio incluso sin que haya una exfiltración de datos confirmada.

Si gestionas plataformas basadas en membresías, deberías auditar la limitación de tasa de autenticación, monitorear acciones masivas anómalas en las cuentas y considerar la detección conductual para solicitudes de eliminación automatizadas, especialmente a medida que las herramientas asistidas por IA continúan bajando el umbral de habilidad para tales ataques.