El sistema japonés My Number, introducido en 2015, busca integrar servicios fiscales, de seguridad social y trámites administrativos. Sin embargo, múltiples incidentes recientes —incluyendo errores de vinculación de datos, fallos de configuración y el acceso no autorizado al sistema GSS— han revelado riesgos estructurales profundos en su diseño y operación.

Este informe analiza las debilidades del sistema My Number y las compara con los principales sistemas de identidad digital del mundo.

1. Debilidades estructurales del sistema My Number

1‑1. Arquitectura de datos fragmentada y sin gestión centralizada

A diferencia de sistemas como eID de Estonia o Aadhaar de India, My Number no utiliza una base de datos centralizada.

Los datos están distribuidos entre:

• Ministerios y agencias gubernamentales
• Gobiernos locales
• Empresas privadas (bancos, aseguradoras, telecomunicaciones, alquiler de vehículos, etc.)

Esto provoca:

• Estándares de seguridad inconsistentes
• Errores de vinculación entre sistemas
• Dificultad para detectar anomalías de forma transversal

Los incidentes de vinculación incorrecta en seguros médicos y pensiones (2023–2024) son una consecuencia directa de esta estructura fragmentada.

1‑2. Dependencia de procesos manuales y documentos físicos

Muchos procedimientos relacionados con My Number aún requieren:

• Entrada manual de datos
• Verificación humana
• Documentos en papel

Esto genera:

• Errores de entrada
• Vinculaciones incorrectas
• Riesgos humanos de seguridad
• Baja eficiencia administrativa

Los sistemas avanzados ya operan con verificación automatizada y autenticación cifrada.

1‑3. Gestión débil de identidad y acceso (IAM)

My Number involucra a:

• Organismos gubernamentales
• Gobiernos locales
• Empresas privadas
• Contratistas
• Integradores de sistemas

Los métodos de autenticación y gestión de permisos varían ampliamente entre instituciones.

Riesgos:

• Permisos excesivos
• Aplicación inconsistente de MFA
• Supervisión insuficiente de conexiones externas
• Falta de detección de anomalías en tiempo real

El incidente del sistema GSS (246,000 registros potencialmente filtrados) es un ejemplo claro de estas debilidades.

1‑4. Baja transparencia y retrasos en la divulgación de incidentes

Japón suele:

• Publicar incidentes con retraso
• Proporcionar pocos detalles técnicos
• Emitir informes posteriores limitados
• Compartir escasas lecciones entre organismos

Esto afecta la confianza pública y dificulta la mejora del sistema.

2. Por qué My Number es propenso a errores de configuración y filtraciones

2‑1. Integración compleja con empresas privadas

My Number se utiliza en:

• Apertura de cuentas bancarias
• Servicios de seguros
• Alquiler de vehículos (Times Car)
• Reservas de viaje (SkyTicket)
• Servicios de telecomunicaciones

Cada empresa tiene estándares de seguridad distintos, lo que genera riesgos desiguales en el ecosistema.

El incidente de Times Car (6.6 millones de registros filtrados) demuestra cómo las debilidades del sector privado afectan al sistema My Number.

2‑2. Cadena de subcontratación extensa y responsabilidad difusa

Los sistemas suelen involucrar:

• Contratistas principales
• Subcontratistas de segundo nivel
• Subcontratistas de tercer nivel

Esto provoca:

• Mayor riesgo de errores de configuración
• Corrección lenta de vulnerabilidades
• Ambigüedad en la responsabilidad

El incidente del GSS ocurrió porque una cuenta de mantenimiento externa fue explotada.

2‑3. Falta de adopción completa del modelo Zero Trust

Japón aún depende de defensas perimetrales tradicionales. Los sistemas modernos utilizan:

• Autenticación continua
• Monitoreo en tiempo real
• IAM centralizado
• Verificación cifrada

La coexistencia de sistemas antiguos y nuevos dificulta la adopción de Zero Trust.

3. Comparación internacional: cómo se posiciona Japón frente a otros sistemas de identidad

3‑1. Estonia eID: el modelo más avanzado del mundo

• Arquitectura centralizada
• Integridad garantizada por blockchain
• Autenticación cifrada obligatoria
• Monitoreo continuo
• Alta transparencia

Casi no existen errores de vinculación.

3‑2. India Aadhaar: enorme escala con autenticación fuerte

• Cobertura de 1.3 mil millones de personas
• Autenticación biométrica (huellas, iris)
• Base de datos centralizada
• Gobernanza estricta de API
• Divulgación rápida de incidentes

Aunque ha tenido filtraciones, su estructura facilita la respuesta.

3‑3. Estados Unidos SSN: alto riesgo por uso extendido en el sector privado

• No existe un sistema digital centralizado
• SSN se usa ampliamente en servicios privados
• Alto riesgo de robo de identidad
• Sin autenticación cifrada

My Number comparte algunos riesgos con SSN en su integración con empresas privadas.

3‑4. Japón My Number: sistema híbrido, fragmentado y complejo

• No centralizado
• Gestión distribuida
• Mezcla de sistemas antiguos y nuevos
• Alto riesgo de errores de configuración
• Adopción lenta de Zero Trust

En conjunto, Japón enfrenta riesgos mayores que otros países avanzados.

4. Riesgos futuros revelados por incidentes recientes

4‑1. Errores de vinculación muestran problemas de integridad de datos

Los incidentes en seguros médicos, pensiones y registros municipales no son casos aislados, sino síntomas estructurales.

4‑2. El incidente GSS revela debilidades en IAM gubernamental

• Cuenta externa explotada
• Vulnerabilidad en VPN
• 246,000 registros potencialmente filtrados

Indica fallas graves en la infraestructura digital del gobierno.

4‑3. El incidente de Times Car muestra riesgos del sector privado

• 6.6 millones de registros filtrados
• Imágenes de licencias comprometidas
• Gobernanza API insuficiente
• Estándares de seguridad inconsistentes

El ecosistema My Number depende de sistemas privados con seguridad desigual.

Conclusión

El sistema My Number enfrenta riesgos estructurales profundos:

• Arquitectura fragmentada
• IAM débil
• Procesos manuales
• Cadena de subcontratación compleja
• Baja transparencia
• Sistemas antiguos que dificultan la modernización

Los incidentes recientes (GSS, Times Car, errores de vinculación) son manifestaciones claras de estos problemas.