La empresa japonesa de videojuegos Capcom ha confirmado que unos atacantes lograron vulnerar su servicio de membresía CAPCOM ID y accedieron a más de 11,7 millones de direcciones de correo electrónico de clientes junto con información vinculada a esas cuentas.
Además de los correos, los datos expuestos incluyen la fecha de creación de la cuenta, la marca temporal del último inicio de sesión, el número de accesos y la dirección IP utilizada en la última conexión.
La compañía detectó que en un grupo reducido de 43 cuentas también quedaron al descubierto la fecha de nacimiento, el género, los apodos y los países de los usuarios. En otro subconjunto de 196 cuentas, los atacantes modificaron las contraseñas de acceso a CAPCOM ID con la intención de bloquear a sus titulares, aunque la empresa intervino y las restableció.
En un aviso publicado hoy, la compañía señala que las contraseñas del resto de miembros registrados no se han visto comprometidas y que la información de tarjetas de crédito no se vio afectada.
Capcom es una desarrolladora y editora japonesa de videojuegos conocida por franquicias como Resident Evil, Monster Hunter, Street Fighter y Mega Man. Cuenta con 4.000 empleados y unos ingresos anuales de 1.240 millones de dólares.
CAPCOM ID es el sistema de cuentas compartido de la empresa, utilizado para acceder a sus servicios web y jugar a algunos de sus títulos en línea.
Aunque el momento exacto de la intrusión sigue sin aclararse, Capcom indicó que detectó actividad sospechosa y confirmó el acceso no autorizado el 19 de octubre. Se puso en marcha una investigación de inmediato y al día siguiente quedó claro que la información de los clientes había quedado comprometida. El 21 de octubre, la empresa denunció el incidente ante la policía y ante la Comisión de Protección de la Información Personal de Japón.
Capcom afirmó que sus servicios en línea siguen operativos, pero advirtió a los usuarios de que extremen la precaución ante comunicaciones no solicitadas, correos que pidan información adicional o mensajes con enlaces y archivos adjuntos.
Durante la investigación, la empresa identificó el método de intrusión e implantó medidas de seguridad para evitar incidentes similares, aunque no ha compartido detalles sobre el acceso inicial. También señaló que notificará a los clientes afectados por fases, probablemente debido al elevado volumen de cuentas, y que ha habilitado canales de comunicación específicos por región para presentar solicitudes de soporte.
En noviembre de 2020, Capcom sufrió un ataque reivindicado por el grupo de ransomware Ragnar Locker, en el que los atacantes aseguraron haber robado 1 TB de datos. La compañía advirtió posteriormente de que hasta 390.000 personas podrían verse afectadas. En abril de 2021, Capcom reveló que los atacantes habían accedido a través de un dispositivo VPN antiguo.
Una vez que los atacantes tienen credenciales válidas, solo se bloquea el 37% de sus acciones
Las puntuaciones globales de prevención pueden ocultar lo que ocurre después del acceso inicial. Cuando los atacantes operan con credenciales válidas, la prevención cae de forma acusada. El informe Blue Report 2026 mide las defensas técnica por técnica a partir de 338 millones de simulaciones ejecutadas en entornos de producción de clientes.
Deja una respuesta