Capcom sufre una brecha que expone correos de 11,7 millones de cuentas Capcom ID

Capcom informó que un acceso no autorizado afectó a 11.774.247 cuentas de Capcom ID en todo el mundo. La intrusión, detectada el lunes 19 de octubre, permitió consultar direcciones de correo electrónico y datos asociados con la actividad de los perfiles, aunque la desarrolladora aseguró que no encontró indicios de una filtración de tarjetas de crédito ni de las contraseñas establecidas originalmente por los usuarios.

Capcom ID es una membresía digital gratuita utilizada para entrar a servicios web, partidas en línea y funciones multijugador de títulos como Street Fighter 6, Exoprimal y Monster Hunter Wilds. Pese al alcance del incidente, el servicio continúa operativo y los usuarios pueden mantener sus cuentas activas.

Qué información quedó expuesta

El grupo responsable obtuvo acceso a 11.774.247 registros de correo electrónico. Junto con esas direcciones quedaron expuestas la fecha y hora de creación de cada cuenta, la fecha y hora de la última sesión, la dirección IP empleada para conectarse y el número de accesos registrados.

Una dirección IP identifica la conexión desde la cual un dispositivo entra a internet. Aunque no equivale a una dirección física exacta, puede aportar información sobre la red utilizada y una ubicación aproximada. Combinada con un correo electrónico y horarios de actividad, puede servir para crear mensajes fraudulentos más creíbles.

El alcance fue mayor en un grupo muy reducido. En 43 cuentas, los atacantes también accedieron a la fecha de nacimiento, el país o región, el género y el alias registrado. Capcom indicó que contactará directamente a los usuarios afectados por los casos que requieren medidas específicas.

Según la información publicada, los datos de pago no quedaron comprometidos. Tampoco se detectó que los responsables hubieran obtenido las claves originales de acceso, una diferencia importante frente a incidentes en los que las credenciales completas terminan disponibles para su venta o reutilización en otros servicios.

Contraseñas, respuesta y autoridades

Aunque Capcom no encontró una filtración general de contraseñas, sí identificó cambios de clave sin autorización en 196 cuentas. Ante esa situación, reinició esas credenciales para impedir que terceros conservaran el control de los perfiles y anunció que se comunicará con sus propietarios.

Desde que detectó la intrusión, Capcom aplicó medidas de emergencia y abrió una investigación para determinar cómo ocurrió el acceso. El caso también fue notificado a la policía de la prefectura de Osaka y a la Comisión de Protección de Datos Personales de Japón, el organismo encargado de supervisar el tratamiento de información privada en el país.

La desarrolladora no detalló qué método utilizaron los atacantes, durante cuánto tiempo pudieron consultar los sistemas ni si existe una persona o grupo identificado. Tampoco informó de interrupciones en los juegos vinculados con Capcom ID. Las cuentas pueden seguir utilizándose con normalidad mientras avanza la investigación.

La situación presenta una diferencia entre el alcance general y los daños directos detectados: casi 12 millones de correos quedaron expuestos, pero los cambios no autorizados de contraseña se limitaron a 196 perfiles y los datos personales adicionales aparecieron en 43 registros.

El riesgo de correos falsos

La principal advertencia de Capcom está relacionada con posibles campañas de phishing. Este tipo de fraude utiliza mensajes que imitan las comunicaciones de una organización legítima para conseguir contraseñas, datos personales o información financiera.

Los atacantes podrían aprovechar las direcciones obtenidas para enviar correos que aparenten proceder de Capcom, especialmente avisos falsos sobre problemas de seguridad, cambios de contraseña o verificaciones de cuenta. El hecho de que los destinatarios tengan un Capcom ID puede hacer que esos mensajes resulten más convincentes.

“Si recibes algún correo electrónico o mensaje sospechoso, rogamos que actúe con precaución y se abstenga de acceder a cualquier URL que contenga o de abrir cualquier archivo adjunto”, señaló Capcom en su comunicado. La recomendación se extiende a enlaces que pidan iniciar sesión o entregar información privada fuera de los canales oficiales.

Capcom también aconsejó utilizar contraseñas diferentes para cada servicio. Esta práctica reduce el riesgo de que una clave obtenida en una plataforma permita acceder a otras cuentas donde el usuario haya repetido las mismas credenciales.

La investigación sigue abierta. Capcom indicó que, si identifica nuevos datos que deban hacerse públicos, difundirá actualizaciones inmediatas mediante su sitio web oficial y sus otros canales de comunicación.