Alerta en el mundo gamer

Capcom, la compañía japonesa detrás de Resident Evil, Street Fighter y Monster Hunter, ha confirmado que un tercero accedió sin autorización a CAPCOM ID, su sistema de cuentas unificado. La notificación, publicada el 22 de octubre, cifra el impacto en 11.774.247 registros con direcciones de correo electrónico e identificadores del sistema, más 43 registros con datos demográficos.

Los jugadores usan CAPCOM ID para acceder en línea a los títulos con licencia de la compañía y a varios servicios web. El sistema también puede vincularse a cuentas de PlayStation, Xbox, Steam, Epic Games y Nintendo.

La desarrolladora no ha confirmado que las contraseñas fijadas originalmente por los clientes se hayan visto comprometidas, pero detectó cambios no autorizados de contraseña en 196 cuentas, cuyas contraseñas ya han sido restablecidas. La investigación sobre el alcance continúa. La empresa añade que la información de tarjetas de crédito no se ha visto afectada.

Qué datos quedaron expuestos

Dentro del volumen total hay dos conjuntos bien diferenciados. El más reducido, con 43 registros, contiene fecha de nacimiento, género, país o región y apodo. El otro, formado por 11.774.247 registros, reúne direcciones de correo electrónico e identificadores técnicos, como la fecha y hora de creación de la cuenta, la fecha y hora del último inicio de sesión, el número de inicios de sesión y la dirección IP utilizada en el último acceso.

Eso no significa que haya 11,7 millones de usuarios afectados: la cifra se refiere a registros. La investigación sigue abierta para determinar cómo se cambiaron las contraseñas en esas 196 cuentas y si hubo otra actividad no autorizada en ellas.

Cronología de la respuesta

La actividad sospechosa en el sistema de cuentas se detectó el 19 de octubre de 2026, tres días antes de la publicación del aviso. Ese mismo día, la compañía bloqueó el acceso, confirmó que se había producido un acceso no autorizado y comenzó a investigar la causa y el alcance.

Al día siguiente, el 20 de octubre, constituyó un centro interno de respuesta a incidentes para coordinar la investigación y evitar un mayor impacto. Fue entonces cuando se confirmó que cierta información registrada en CAPCOM ID había sido accedida sin permiso y que un número limitado de contraseñas se había cambiado sin autorización.

El 21 de octubre, después de completar las medidas de emergencia y abordar el método de ataque, Capcom reportó el caso a la Policía de la Prefectura de Osaka y a la Comisión de Protección de Datos Personales de Japón, además de informar a su Comité Externo de Supervisión de Seguridad de TI. Los servicios que dependen de CAPCOM ID, incluidos los juegos, siguen disponibles.

Ojo con el phishing

Capcom advierte de que la información expuesta podría emplearse en correos fraudulentos o en comunicaciones que suplanten a la compañía o a entidades relacionadas. Por eso pide a los clientes extremar las precauciones ante mensajes sospechosos y evitar hacer clic en enlaces o abrir archivos adjuntos.

La firma de seguridad Malwarebytes recomienda a los usuarios de CAPCOM ID activar la verificación en dos pasos, revisar su cuenta y las plataformas vinculadas si reciben un aviso inesperado de cambio de contraseña y acudir a los canales de soporte oficiales en lugar de confiar en los datos de contacto de un mensaje inesperado. La propia Capcom sugiere Google Authenticator o Microsoft Authenticator como aplicación autenticadora.

Mientras tanto, la empresa tiene previsto notificar a los afectados y continúa con la investigación.