El editor japonés de videojuegos Capcom ha revelado una grave brecha de seguridad que afecta a su servicio de membresía CAPCOM ID, exponiendo información asociada a más de 11,7 millones de cuentas en todo el mundo. El incidente también permitió a los atacantes cambiar contraseñas en casi 200 cuentas, aunque la compañía afirma que las contraseñas originales de los clientes y la información de las tarjetas de crédito no fueron comprometidas.
La plataforma afectada ofrece un sistema de cuentas compartidas para los servicios online de Capcom y ciertos juegos, incluido Street Fighter 6. Según el anuncio de la compañía del 22 de octubre, el acceso no autorizado resultó en la exposición de 11.774.247 direcciones de correo electrónico junto con información relacionada con la cuenta.
Los registros comprometidos incluían fechas de creación de cuentas, marcas de tiempo del último inicio de sesión, recuentos de acceso y direcciones IP utilizadas durante el inicio de sesión más reciente. Un grupo más pequeño de 43 cuentas expuso tenía datos personales adicionales, incluyendo fechas de nacimiento, género, país o región, y apodos.
Los investigadores también descubrieron que los atacantes habían cambiado las contraseñas de acceso de 196 cuentas sin autorización. Capcom ha restablecido esas contraseñas y ha recalcado que su investigación no ha encontrado pruebas de que las contraseñas creadas originalmente por los clientes fueran robadas.
La empresa detectó por primera vez actividad sospechosa relacionada con el ID de CAPCOM el 19 de octubre de 2026. Tras confirmar el acceso no autorizado, bloqueó la actividad y comenzó a investigar cómo se produjo la intrusión y qué información se había visto afectada.
Al día siguiente se estableció un equipo de respuesta interno, cuando los investigadores confirmaron la exposición de información de los clientes e identificaron los cambios no autorizados de contraseña. El 21 de octubre, Capcom informó del incidente a la policía japonesa y a la Comisión de Protección de Información Personal del país.
Capcom afirma que se han completado las medidas de seguridad de emergencia y que los servicios que utilizan CAPCOM ID siguen disponibles. La compañía también afirmó que el incidente no ha interrumpido la jugabilidad en sus títulos.
Aunque no se implicó información de pago, la exposición de millones de direcciones de correo electrónico presenta riesgos potenciales de phishing. Los delincuentes podrían utilizar los datos de contacto filtrados para enviar mensajes convincentes suplantando a Capcom, dirigiendo a los destinatarios a sitios web fraudulentos o archivos adjuntos maliciosos.
El editor ha comenzado a notificar individualmente a los clientes afectados y ha establecido canales de soporte dedicados para preguntas sobre la brecha. También ha aconsejado a los usuarios que sean cautelosos al recibir correos electrónicos inesperados que afirmen proceder de Capcom o servicios relacionados.