Capcom dice que una brecha expuso 11,7 millones de registros de CAPCOM ID y permitió a un atacante cambiar 196 contraseñas

El 22 de octubre de 2026, Capcom publicó un aviso y una disculpa en los que confirmaba que un tercero había llegado a CAPCOM ID, la cuenta unificada que se usa para sus servicios web y que es obligatoria para jugar online a algunos de sus juegos. La empresa contó 11.774.247 registros afectados en todo el mundo. Lo filtrado fueron sobre todo direcciones de correo y metadatos de acceso: cuándo se creó una cuenta, cuándo se usó por última vez, cuántas veces se había usado y la dirección IP del cliente registrada en el último inicio de sesión. En 43 de esos registros se expusieron además fecha de nacimiento, sexo, país o región y apodo. En 196 cuentas, el intruso cambió la contraseña de acceso. Capcom las ha restablecido todas.

Lectura relacionada: La filial de internet de Sony en Japón dice que una brecha expuso 2,6 millones de registros · Quest Diagnostics restaura el sistema de laboratorio Quanum tras el acceso a historiales de pacientes.

Los datos de tarjetas de pago no estaban entre los afectados, según la empresa, y no se ha confirmado ningún compromiso de las contraseñas que los clientes eligen ellos mismos. Los servicios que usan CAPCOM ID siguen disponibles, y Capcom dijo que el incidente no afecta a la capacidad de nadie de acceder a sus juegos o jugarlos. BleepingComputer informó de que Capcom ha identificado el método de intrusión y ha puesto contramedidas, pero no ha revelado el vector de acceso inicial. Esa omisión es el mayor hueco del relato público.

El recuento de registros no es un recuento de personas

Los titulares redondearon la cifra a 11,7 millones, un número que SecurityWeek, PC Gamer, PCMag y otros repitieron. La cifra precisa es la que publicó Capcom, y cuenta registros, no personas. Capcom no ha dicho a cuántas personas pertenecen esos registros ni si alguno pertenece al mismo individuo. La diferencia importa para quien intente juzgar su propia exposición: la brecha es grande, pero «11,7 millones de personas» es una inferencia que la divulgación no hace.

CAPCOM ID no es una lista de correo de marketing. Capcom lo describe como una cuenta única que los usuarios emplean en varios servicios web y que hace falta para jugar online a ciertos títulos, así que su alcance va más allá de quienes solo han visitado la web de la empresa. Los campos afectados, en cambio, son del tipo que todo servicio guarda de cada cuenta que ha emitido, así que el recuento de registros es una mala aproximación al número de personas implicadas.

Qué obtuvo el atacante y cuánto vale

Tomado por separado, el conjunto de datos es de baja sensibilidad. Una dirección de correo ya la conoce cualquiera que haya recibido correo de su titular. Los recuentos de inicio de sesión y las marcas de tiempo del último acceso dicen algo sobre la actividad de una cuenta, y una IP de cliente puede señalar una ubicación aproximada o un proveedor de internet, pero nada de eso es una credencial. En conjunto, los campos describen una cuenta: cuántos años tiene, si sigue en uso y más o menos dónde se abrió por última vez. Help Net Security publicó la cifra de 11,7 millones de registros.

Los 43 registros están en otra categoría. Fecha de nacimiento, sexo, país o región y apodo forman juntos un pequeño perfil de identidad, y son las cuentas en las que la exposición va más allá del riesgo de spam.

Nada de eso hace inofensivo el resto. Una dirección que Capcom ha vinculado a una cuenta de CAPCOM ID es un objetivo confirmado para el phishing, y la empresa lo señaló ella misma. Su aviso dice que la información afectada podría usarse para enviar mensajes fraudulentos que suplanten a Capcom o a partes relacionadas, y pide a los clientes que no abran URL ni adjuntos en correos sospechosos.

Tres días desde la detección hasta el aviso público

La cronología que publicó Capcom es compacta. El 19 de octubre de 2026 la empresa detectó indicios de un acceso no autorizado sospechoso, bloqueó el acceso, empezó a investigar y confirmó la intrusión ese mismo día. Ahí arrancaron las contramedidas de emergencia. El 20 de octubre creó un grupo de trabajo interno, comprobó que parte de la información de clientes registrados se había filtrado y que algunas cuentas habían sufrido cambios de contraseña ilegítimos, y lo comunicó a su Comité Supervisor de Seguridad externo. El 21 de octubre denunció el incidente ante la policía y ante la Comisión de Protección de Información Personal de Japón. El aviso público llegó el 22 de octubre.

Capcom confirmó por tanto la brecha el día que la encontró y la divulgó tres días después. El relato muestra también que los cambios de contraseña se conocían internamente el 20 de octubre, dos días antes del aviso público.

La notificación llevará más tiempo que la divulgación. Capcom dijo que empezará a contactar con los clientes afectados y ha habilitado líneas de soporte por región, incluido un número gratuito en Japón. Para la mayoría de los titulares de cuentas, la primera comunicación directa llegará después del aviso público, no con él.

Los 196 cambios de contraseña importan más que 11,7 millones de correos

Una dirección de correo robada es una molestia. Una cuenta en la que otra persona puede poner la contraseña es una toma de control, y la divulgación dice que eso ocurrió 196 veces. Es la diferencia entre una exposición de metadatos y una intrusión con alcance operativo.

«Capcom no ha confirmado ningún compromiso de las contraseñas de acceso de CAPCOM ID establecidas originalmente por los propios clientes. Sin embargo, la empresa ha confirmado que se cambiaron contraseñas sin autorización en 196 cuentas.» — Capcom, 22 de octubre de 2026

La redacción de Capcom deja abierta la mecánica. No ha dicho cómo se cambiaron las contraseñas, si el atacante inició sesión primero con una credencial o si el cambio pasó por un flujo de restablecimiento. Lo que ha dicho es más estrecho que «no se expuso ninguna contraseña», y la distancia entre ambas afirmaciones no es pedantería. Capcom dice que no tiene pruebas de que las contraseñas elegidas por los clientes salieran del sistema, al tiempo que confirma que 196 fueron sustituidas. No se aborda si el atacante pudo leer algo dentro de esas cuentas antes del restablecimiento.

Para todos los que están fuera de esas 196, el riesgo práctico es la reutilización de credenciales. Si la dirección de correo detrás de una CAPCOM ID también abre un buzón, una cuenta de tienda o un acceso de trabajo, esa dirección está ahora en una lista ligada a un servicio real y activo. Quien compre o recopile esas listas no necesita la contraseña de CAPCOM ID; necesita que la persona confíe en un mensaje que parece venir de Capcom. La advertencia del aviso sobre la suplantación es la parte de la divulgación dirigida a ese riesgo.

Hay también una pregunta sobre qué protege CAPCOM ID. Es la capa de cuenta para servicios web y para el juego online en ciertos títulos, así que una toma de control podría exponer más que una página de perfil, según a qué pueda llegar cada cuenta. Capcom no ha descrito a qué tenían acceso las 196 cuentas, y puede que aún no lo sepa.

Este no es el ataque de 2020

Capcom, que según BleepingComputer tiene unos 4.000 empleados y 1.240 millones de dólares de ingresos anuales, ya ha pasado por esto. En noviembre de 2020 reveló un ataque de ransomware Ragnar Locker. Los atacantes afirmaron haberse llevado 1 TB de datos, y Capcom advirtió después de que hasta 390.000 personas podrían estar afectadas. En abril de 2021 la empresa dijo que los atacantes habían entrado por un dispositivo VPN antiguo. Entre sus franquicias están Resident Evil, Monster Hunter y Street Fighter. La intrusión de 2020 llegó a sistemas internos y datos corporativos; esta ha llegado a la capa de cuenta que está delante de los clientes.

El incidente actual no tiene reclamación de ransomware, ni exigencia de extorsión, ni volcado de datos en el relato de Capcom. Es mayor en número de registros y menos sensible: correos y horas de acceso en lugar de un supuesto terabyte de datos corporativos. La diferencia de ritmo es más llamativa. El caso de 2020 tardó meses en fijar su alcance, con el detalle de la VPN llegando la primavera siguiente. Este pasó de la detección al aviso público en tres días, aunque siga faltando el vector de acceso.

Salvedades

Capcom no ha atribuido la intrusión a ningún grupo, y no ha dicho cómo entró el atacante ni cuál fue el punto de entrada. Las comunicaciones a la policía y al regulador de esa cronología son declaraciones de la propia Capcom, no confirmaciones independientes.

El recuento de registros no es un recuento de personas, y la cifra puede cambiar mientras avanza la investigación. Capcom no ha dicho si los registros afectados incluyen cuentas inactivas o cerradas. La divulgación tampoco explica cómo se seleccionaron los 43 registros con datos de identidad, ni si esos clientes recibirán un aviso aparte. La garantía de Capcom de que ningún juego está afectado es también su propia evaluación de sus servicios, no una conclusión independiente.

Léase la declaración sobre contraseñas exactamente como está escrita. «No confirmado» no es «no expuesto». Capcom no tiene pruebas de que las contraseñas fijadas por los clientes salieran del sistema, lo cual es una afirmación con sentido, y no es una garantía de que ninguna contraseña fuera leída.

Qué vigilar

Lo primero que hay que vigilar es si Capcom publica el vector de acceso y si acaba dando un recuento de personas en lugar de registros. La empresa dice haber identificado y atajado el método del ataque. Publicar aunque sea un resumen diría a otros operadores de cuentas si la debilidad era específica de Capcom o común a la forma en que se construyen las cuentas de videojuegos.

Lo segundo es si los 196 se mantienen. Un recuento de cambios de contraseña es fácil de enunciar y difícil de acotar con una investigación en marcha, y una cifra revisada cambiaría cómo debe leerse el incidente. Los 43 registros de identidad también podrían moverse.

Lo tercero es el regulador. La Comisión de Protección de Información Personal de Japón tiene ahora el caso, y su respuesta, o su silencio, dirá algo sobre cómo tratan las autoridades japonesas una brecha de esta forma: enorme en registros, escasa en campos sensibles.

Lo cuarto es el phishing. Las direcciones filtradas vinculadas a una cuenta de videojuegos activa son útiles para estafas que necesitan un pretexto creíble, y la propia brecha lo proporciona. Capcom ha dicho a los clientes qué hacer. La próxima prueba es si los mensajes que lleguen resultan lo bastante convincentes como para funcionar.

Imagen de portada: sede de Capcom en Osaka, foto de Tokumeigakarinoaoshima, Wikimedia Commons, CC BY-SA 4.0.