Capcom Co., Ltd. confirmó que un tercero accedió sin autorización a la información de clientes vinculada a CAPCOM ID, según un aviso publicado en su sitio de relaciones con inversores. La compañía indicó que las medidas de respuesta de emergencia ya están completas y que los servicios que funcionan con CAPCOM ID siguen disponibles. El incidente no afecta la posibilidad de acceder a los juegos de Capcom ni de jugarlos, señala el aviso.
CAPCOM ID es una cuenta unificada obligatoria para varios servicios y juegos en línea de Capcom. Ese sistema sostiene las funciones online de títulos como Street Fighter 6 y Monster Hunter Rise. El aviso no enumera todos los juegos afectados, pero el peso de esta cuenta dentro del catálogo online de Capcom implica que una vulneración en esta capa alcanza a varios juegos a la vez.
Datos confirmados: 11,774,247 registros y dos subconjuntos menores
El aviso reparte la información afectada en tres categorías. La más grande abarca 11,774,247 registros en todo el mundo con direcciones de correo electrónico e información de identificadores propios del sistema. Esos identificadores incluyen la fecha y hora de creación de la cuenta, la fecha y hora del último inicio de sesión, la cantidad de inicios de sesión y la dirección IP del cliente usada en ese último acceso. En conjunto, esos campos permiten reconstruir cuándo y con qué frecuencia se usó una cuenta: detalle suficiente para que un mensaje fraudulento parezca hecho a la medida.
Un subconjunto mucho más pequeño, de 43 registros dentro de ese mismo total, contenía además fecha de nacimiento, género, país o región y apodo. Una tercera categoría abarca 196 cuentas cuyas contraseñas de inicio de sesión fueron cambiadas sin autorización; esas contraseñas ya fueron restablecidas. Los dos subconjuntos menores provienen del mismo total mundial de 11,774,247 registros.
El aviso añade que no se ha confirmado la vulneración de las contraseñas de CAPCOM ID fijadas originalmente por los clientes y que la información de tarjetas de crédito no figuraba entre los datos afectados.
Lo confirmado y lo que no se detalla
El aviso no identifica el método del ataque, al atacante ni la fecha en que comenzó la intrusión. Tampoco precisa si los datos expuestos fueron publicados o usados indebidamente más allá de los 196 cambios de contraseña, ni ofrece un desglose por país de los 11,774,247 registros. Por eso, con el aviso en la mano, los jugadores no pueden saber si su región resultó más afectada.
Cronología de tres días: Capcom contuvo el incidente antes de hacerlo público
Capcom detectó la intrusión el 19 de octubre de 2026, cuando identificó actividad sospechosa que apuntaba a un posible acceso no autorizado a CAPCOM ID y comenzó de inmediato a bloquear ese acceso. Ese mismo día confirmó que el acceso no autorizado había ocurrido, aplicó medidas de emergencia y empezó a determinar el método del ataque. Al día siguiente, el 20 de octubre, creó un centro interno de respuesta a incidentes y reportó el asunto a su Comité Externo de Supervisión de Seguridad de Tecnología de la Información. También confirmó ese día que se había accedido a información de clientes registrada en CAPCOM ID y que se habían cambiado contraseñas sin autorización en un número limitado de cuentas.
El 21 de octubre, Capcom reportó el incidente a la Policía Prefectural de Osaka y a la Comisión de Protección de Información Personal de Japón. El aviso se hizo público al día siguiente, el 22 de octubre, tres días después de la detección. La empresa detuvo el acceso y confirmó el alcance antes de informar al público, y las notificaciones a la policía y al regulador del 21 de octubre ya estaban hechas cuando salió el aviso.
11.7 millones de correos: el riesgo de largo plazo
Los 43 registros de perfil y los 196 cambios de contraseña tienen un alcance limitado. Las direcciones de correo siguen vigentes durante años y Capcom no puede restablecerlas como hace con la contraseña de una cuenta. Una lista de 11,774,247 direcciones es justo el tipo de dato que se usa en campañas de phishing y en ataques de relleno de credenciales. Quien tenga esas direcciones puede enviar mensajes que suplanten a Capcom o a una parte relacionada, con la intención de que el jugador haga clic en un enlace o abra un archivo adjunto. La misma lista también puede usarse en ataques de relleno de credenciales, en los que se prueban en otros servicios combinaciones de correo y contraseña filtradas anteriormente; así, una contraseña de CAPCOM ID compartida con otro sitio convierte este incidente en un riesgo para sus cuentas en otros servicios. El phishing no necesita una contraseña reutilizada, de modo que cada dirección de la lista es un objetivo potencial.
Los metadatos de inicio de sesión incluyen también la dirección IP del cliente usada en el último acceso. Esa información a veces puede revelar la ubicación aproximada o el proveedor de internet. Combinada con una dirección de correo, hace más convincente un mensaje fraudulento. Las direcciones afectadas pueden seguir usándose sin interrupción, pero existe la posibilidad de que los datos se aprovechen para enviar correos fraudulentos u otras comunicaciones. Capcom pidió a los clientes que no accedan a enlaces incluidos en mensajes sospechosos ni abran archivos adjuntos, porque un correo de soporte falso sobre esta brecha puede parecer real.
Si una contraseña de CAPCOM ID se reutilizó en cualquier otro servicio, cámbiala ahora en esos otros servicios. Los jugadores también pueden revisar su cuenta en busca de cambios que no hicieron, como una contraseña alterada, una dirección de correo modificada o una plataforma vinculada que no reconocen. Los 196 cambios no autorizados de contraseña ocurrieron sin una filtración confirmada de las contraseñas fijadas por los clientes. Capcom no ha revelado cómo se llevó a cabo el ataque, pero cambiar una contraseña exige acceso de escritura a una cuenta, así que el atacante pudo modificar registros de cuenta. Capcom restableció las 196 contraseñas cambiadas, pero no ha detallado qué más se hizo en esas cuentas, de modo que ese grupo enfrenta la mayor incertidumbre. Los jugadores deberían restablecer cualquier contraseña de CAPCOM ID reutilizada y tratar como sospechoso todo correo de Capcom que no hayan solicitado. Capcom se pondrá en contacto directo con los clientes afectados, así que un aviso oficial sobre este incidente también debería poder verificarse en el sitio de la compañía.
Canales de soporte y siguientes pasos
Capcom planea empezar a contactar a los clientes afectados y habilitó canales de soporte dedicados. En Japón funciona una línea gratuita (0120-801-271) de 10:00 a.m. a 8:00 p.m. JST. Los jugadores de Norte, Centro y Sudamérica deben dirigirse a la página de soporte al cliente de Capcom USA, mientras que los de Europa, Medio Oriente y África pueden escribir al soporte de Capcom Europe a feedback@capcom.com. Asia fuera de Japón y Oceanía tiene un contacto aparte: info-asia@capcom.com.
La compañía implementará medidas para evitar que el incidente se repita y publicará cualquier dato adicional en su sitio web oficial y en otros canales apropiados. El aviso en inglés es una traducción del original en japonés, que según Capcom prevalece en caso de discrepancia. Los jugadores deben seguir el sitio oficial de Capcom para conocer más detalles.
