Filtración de datos de Capcom: 11,7 millones de registros de identificación de CAPCOM expuestos

Capcom confirmó el 22 de octubre de 2026 que un tercero obtuvo acceso no autorizado a CAPCOM ID, el servicio de cuentas para jugar en línea en Street Fighter 6 y Monster Hunter, y que 11.774.247 registros quedaron expuestos. El presidente y director de operaciones, Haruhiro Tsujimoto, firmó la disculpa, y la compañía afirma que el sistema de cuentas y todos los juegos asociados permanecieron en línea durante el incidente.

CAPCOM ID es el sistema de inicio de sesión unificado de la editora para sus servicios web y un requisito para jugar en línea en varios de sus juegos, por lo que la mayoría de las personas que han jugado en línea a un título de Capcom en los últimos años tienen una cuenta. El comunicado de prensa divide el daño en tres niveles. Los 11.774.247 registros contenían una dirección de correo electrónico y lo que Capcom denomina información de identificación específica del sistema. De estos, 43 también incluían fecha de nacimiento, género, país o región y un apodo. Se cambiaron contraseñas sin autorización en 196 cuentas, y Capcom ya las ha restablecido mientras investiga el alcance del acceso.

Los datos de identificación son más específicos de lo que sugiere la redacción: la hora de creación de la cuenta, la hora del último inicio de sesión, el número total de inicios de sesión y la dirección IP del cliente utilizada en ese último inicio de sesión. El aviso, detectado por RockPaperShotgun, indica que la empresa no ha confirmado ninguna filtración de las contraseñas que los clientes establecen.

En cuanto a los datos de pago, el aviso no deja lugar a dudas:

“La información de la tarjeta de crédito no estaba incluida entre la información afectada.”

— Capcom

El plazo es ajustado. Capcom detectó actividad sospechosa el 19 de octubre, bloqueó el acceso ese mismo día y confirmó la intrusión antes de que terminara el día. El 20 de octubre se activó un protocolo de respuesta interno, en el que la empresa verificó que se había accedido a datos de clientes registrados e informó a su Comité de Supervisión de Seguridad de Tecnologías de la Información externo. El 21 de octubre notificó a la Policía de la Prefectura de Osaka y a la Comisión de Protección de Datos Personales de Japón. Tres días desde la detección hasta la publicación de un aviso público con cifras concretas es más rápido que la mayoría de las editoriales, y prefiero eso a una declaración sobre una investigación en curso.

Esta es también la segunda revelación de este tipo por parte de la compañía. Un ataque de ransomware de Ragnar Locker en noviembre de 2020 dejó a unas 390 000 personas como potencialmente afectadas, de las cuales 16 415 fueron confirmadas, y su alcance requirió meses de informes de seguimiento para determinar su magnitud. El ataque afectó a sistemas internos y registros de socios, en lugar de a un servicio de cuentas, lo que convierte a esta en la primera vez que la propia base de jugadores de la editora ha sido el objetivo.

El riesgo práctico ahora reside en la bandeja de entrada. Capcom advierte que las direcciones expuestas podrían usarse para enviar correos electrónicos suplantando la identidad del editor o sus socios, y recomienda a los clientes que no abran archivos adjuntos ni hagan clic en enlaces sospechosos. En Japón, hay una línea de soporte dedicada disponible en el 0120-801-271 de 10:00 a 20:00 JST; en América y EMEA, se puede acceder a un formulario de consulta en capcom-support.com, y en Asia y Oceanía, la dirección de correo electrónico es [email protected].

Capcom afirma haber identificado y solucionado el método de ataque utilizado, que se pondrá en contacto directamente con los clientes afectados y que cualquier información adicional se publicará en su sitio web. Mientras tanto, las direcciones registradas seguirán funcionando con normalidad. No es posible desactivar el ataque para quienes juegan a estos juegos en línea, lo que hace que la advertencia de phishing sea más relevante que el típico aviso estándar.

Once millones de direcciones de correo electrónico de juegos con marcas de tiempo de inicio de sesión adjuntas conforman un kit de phishing funcional, y los correos electrónicos falsos de restablecimiento de contraseña disfrazados de avisos de identificación de CAPCOM no tardarán en aparecer. Los 196 cambios de contraseña no autorizados son el aspecto que me preocupa, ya que cambiar una contraseña requiere más acceso que leer una tabla de direcciones de correo electrónico.

CAPCOM ID gestiona tantas cuentas porque prácticamente todos los lanzamientos de la editora se realizan a través de ella. Resident Evil 2 vendió 20 millones de copias y se convirtió en el título más vendido de la franquicia, superando a Resident Evil 5 (19 millones) y Resident Evil 7 (18,4 millones). El analista Rhys Elliott, de Alinea Analytics, estimó los ingresos de Capcom en Steam en 617 millones de dólares, de los cuales 309 millones correspondieron a beneficios netos, y solo Requiem generó 200 millones de dólares en la plataforma.

El ritmo de ventas no ha disminuido este año. Onimusha: Way of the Sword vendió 1 millón de copias el día de su lanzamiento, el 4 de septiembre, y elevó el total de la serie a más de 10 millones. Resident Evil Requiem se convirtió en el juego de la franquicia que más rápido se ha vendido, con 8,5 millones de copias, y la nueva IP Pragmata alcanzó los 2,5 millones durante el verano.

En sus primeros borradores, Requiem tenía un aspecto muy diferente. El productor Masachika Kawata describió los planes iniciales de Resident Evil Requiem como un concepto online que el director Koshi Nakanishi exploró y que el equipo descartó, con Leon como único protagonista hasta que se añadió a Grace Ashcroft porque sus habilidades de combate dificultaban la consecución del terror.

El productor ejecutivo Jun Takeuchi ha estructurado la serie en dos líneas argumentales: entregas numeradas que narran la historia actual y remakes que abarcan el pasado, con un plan ya definido para el punto de encuentro entre ambas. Esta estructura ha generado especulaciones entre los fans sobre cuándo se lanzarán los remakes de Resident Evil 5 y Resident Evil 6, aunque la fuente interna Dusk Golem afirma que ninguno de los dos se encuentra en desarrollo activo actualmente.

El próximo lanzamiento confirmado es Resident Evil Veronica, el remake de Code Veronica de 2000, anunciado en el Summer Game Fest en junio. Un video promocional para la venta de Halloween muestra a los fans leyendo una camiseta de Hound Wolf Squad y una frase repetida del tráiler original, como adelanto de la presencia de Chris Redfield en Resident Evil Veronica, junto a Claire. El remake está programado para 2027, aunque algunos informes apuntan a la segunda mitad del año, y el DLC de la historia Requiem aún no tiene fecha de lanzamiento.