CAPCOM confirma la filtración de datos de 11,7 millones de registros de CAPCOM ID
CAPCOM confirma acceso no autorizado a CAPCOM ID y la exposición de correos y metadatos de 11.774.247 registros; 196 cuentas sufrieron cambios de contraseña.
CAPCOM confirmó el 22 de octubre que un tercero accedió sin autorización al servicio común de cuentas CAPCOM ID y obtuvo información de clientes. La cifra comunicada es 11.774.247 registros de correo y datos asociados, no una medida de tarjetas de pago ni una confirmación de que todas las cuentas pudieran usarse para entrar en juegos. La empresa dijo que detectó la actividad el día 19 y que sigue investigando cómo se produjo el acceso y si queda algún impacto por determinar.
Qué información quedó expuesta
En esos registros figuraban las direcciones de correo y metadatos del servicio: fecha de creación de la cuenta, fecha y hora del último inicio de sesión, número de accesos y la IP cliente del último acceso. En 43 registros también aparecían fecha de nacimiento, género, país o región y apodo. CAPCOM confirmó además que en 196 cuentas se cambiaron contraseñas sin autorización; esas credenciales fueron restablecidas, pero la compañía no ha confirmado que las contraseñas originales se filtraran.
-SecureCrew dice: una IP de último acceso no es una contraseña, pero junto al correo puede volver mucho más convincente un mensaje de phishing.-
Es una diferencia importante para dimensionar el riesgo. Un atacante que conoce el último acceso o la actividad de una cuenta puede redactar avisos falsos que parezcan legítimos: una alerta de seguridad, un problema con una compra o una solicitud de verificación. Eso describe un uso posible de los datos, no una campaña observada ni una atribución del incidente; CAPCOM no ha publicado el método inicial de acceso ni evidencia de que esos datos ya se estén usando para engañar a clientes.
La cronología y lo que CAPCOM ha confirmado
CAPCOM sitúa el hallazgo de señales sospechosas y la confirmación del acceso no autorizado el 19 de octubre. El día siguiente constituyó un equipo interno de respuesta y confirmó que parte de la información registrada se había filtrado; el 21 comunicó el incidente a la policía y a la autoridad japonesa de protección de datos. El comunicado del 22 de octubre ofrece el primer desglose cuantificado que la empresa publica sobre el alcance.
Los servicios que usan CAPCOM ID siguen disponibles, y la empresa afirma que no hay impacto en la posibilidad de jugar a sus títulos. También indica que los datos de tarjetas de crédito no estaban incluidos. Son límites relevantes: un incidente de privacidad no equivale automáticamente a una interrupción del servicio ni demuestra acceso a sistemas de pago.
-SecureCrew dice: que el juego siga funcionando es buena noticia operativa; no convierte el correo filtrado en un dato inocuo.-
CAPCOM asegura que no ha confirmado exposición de las contraseñas que cada cliente había configurado, pero sí los cambios no autorizados en 196 cuentas. La investigación continúa, así que esa formulación debe leerse como el conocimiento publicado hasta ahora, no como una garantía de que todo vector o dato posible haya quedado descartado. La empresa dice que contactará a las personas afectadas de manera progresiva.
Qué conviene vigilar
Para quienes usan CAPCOM ID, la medida más útil es distinguir la notificación oficial de una imitación: conviene desconfiar de mensajes que pidan credenciales, códigos de acceso, pagos o que abran un enlace inesperado. BleepingComputer recoge esa advertencia y señala que la empresa habilitó canales regionales para las consultas. La cifra de registros no permite identificar por sí sola quién recibió la notificación; el criterio debe ser el mensaje individual de CAPCOM y sus canales conocidos.
Los equipos de seguridad que gestionen cuentas de clientes deberían vigilar intentos de restablecimiento no solicitados, cambios de correo y reutilización de contraseñas fuera del servicio. Si una cuenta está entre las 196 cuyo acceso fue alterado, CAPCOM dice que ya restableció la contraseña, pero eso no invalida una credencial reutilizada en otros sitios. La empresa no publicó una causa técnica, por lo que atribuir el incidente a una vulnerabilidad concreta, a phishing o a un proveedor sería especular.
-SecureCrew dice: la pregunta útil ahora no es quién encontró primero el comunicado, sino si los mensajes de soporte que lleguen después pueden verificarse por un canal conocido.-
El caso pone el foco en los metadatos de identidad que suelen acompañar a una dirección de correo. No sustituyen una contraseña ni un token, pero pueden servir para personalizar el engaño y para hacer más creíble una suplantación. Mientras la investigación siga abierta, lo responsable es mantener separados los hechos confirmados —qué servicio, qué categorías de información y qué cuentas— de las hipótesis sobre el punto de entrada y el uso posterior.
Diccionario de la Crew
IP de último acceso — dirección de red desde la que se registró la sesión más reciente de una cuenta; no identifica por sí sola a una persona.
Phishing — engaño que suplanta a un servicio o persona para conseguir credenciales, códigos u otra información.
Metadatos de identidad — datos que describen una cuenta o su actividad, aunque no sean su contraseña.
