Capcom: brecha en CAPCOM ID, 11,7 millones de registros expuestos

Capcom, la editora japonesa de videojuegos conocida por Resident Evil, Street Fighter y Monster Hunter, ha confirmado un acceso no autorizado a CAPCOM ID, el sistema de cuenta única con el que los jugadores entran en los servicios web de la empresa y juegan en línea a algunos títulos. Según el aviso publicado el 22 de octubre de 2026, recogido por BleepingComputer, SecurityWeek, Help Net Security, Infosecurity Magazine y Security Affairs, se sustrajeron 11.774.247 registros con dirección de email y datos de sistema de las cuentas (total mundial).

Qué ha pasado

La secuencia, reconstruida por las fuentes a partir del aviso de Capcom:

• 19 de octubre: la empresa detecta actividad sospechosa en CAPCOM ID, bloquea el acceso y confirma la intrusión; pone en marcha medidas de emergencia y el análisis del método de ataque;
• 20 de octubre: crea una unidad interna de respuesta al incidente, constata la fuga de datos de clientes e informa a su comité externo de asesoramiento en seguridad informática;
• 21 de octubre: completa las medidas de emergencia, afirma haber identificado y neutralizado el método de ataque y presenta denuncia ante la policía de la prefectura de Osaka y notificación a la Personal Information Protection Commission, la autoridad japonesa de protección de datos.

El método de acceso no se ha revelado, y tampoco está claro desde cuándo estaban los atacantes en el sistema. Según Help Net Security, en el momento de la publicación ningún grupo había reivindicado el ataque. Los servicios que usan CAPCOM ID, juegos incluidos, siguen disponibles.

Datos afectados

Según el aviso, a 22 de octubre están expuestos:

• 11.774.247 registros con dirección de email y datos de sistema de la cuenta: fecha y hora de creación, fecha y hora del último acceso, número de accesos, dirección IP usada en el último acceso;
• 43 registros que incluyen además fecha de nacimiento, género, país o región y apodo.

Capcom declara que no ha encontrado pruebas de que las contraseñas elegidas por los clientes se vieran comprometidas y que los datos de las tarjetas de pago no están afectados. Sin embargo, los atacantes cambiaron sin autorización la contraseña de 196 cuentas, que la empresa ha restablecido. Según BleepingComputer, el objetivo era dejar a los titulares fuera de sus cuentas; Capcom no ha dado ninguna explicación.

SecurityWeek habla de 11,77 millones de personas, las demás fuentes de registros: los registros corresponden a cuentas, no necesariamente a personas distintas.

Detalles técnicos

No se han declarado CVE ni malware. Dos elementos interesan a quien gestiona sistemas de identidad para clientes:

• los cambios de contraseña: quien atacó no se limitó a leer la base de datos, también actuó sobre las cuentas. Con lo que se sabe, el comportamiento encaja en la técnica MITRE ATT&CK Account Access Removal (T1531); no está claro si los cambios se hicieron mediante las funciones de la aplicación o directamente en la base de datos;
• los datos de sistema: fecha de creación, número de accesos e IP del último acceso permiten saber qué cuentas están activas y desde qué país o red se conectan. Junto con el email, hacen el phishing más dirigido y creíble.

Es precisamente el riesgo principal que señala Capcom: emails y mensajes fraudulentos en nombre de la empresa o de entidades relacionadas. La empresa pide no abrir enlaces ni adjuntos en los mensajes sospechosos. Las direcciones expuestas también pueden usarse en intentos de credential stuffing contra otros servicios (técnica T1110.004), donde los usuarios hayan reutilizado contraseñas ya filtradas en otras brechas. No se han publicado indicadores de compromiso.

Incidentes anteriores

No es el primer ataque a Capcom. En noviembre de 2020 la empresa sufrió un ransomware reivindicado por el grupo Ragnar Locker, que afirmó haber robado 1 TB de datos. Las fuentes dan estimaciones distintas de las personas potencialmente afectadas entonces: hasta 390.000 según BleepingComputer y Security Affairs, hasta 350.000 según Help Net Security. Según BleepingComputer, en abril de 2021 Capcom explicó que los atacantes habían entrado a través de un antiguo dispositivo VPN. No hay elementos que relacionen aquel episodio con el incidente actual.

Impacto para las empresas europeas e italianas

La cifra es un total mundial y Capcom ha abierto canales de asistencia específicos también para Europa, Oriente Medio y África, además de un número gratuito en Japón y un formulario para América: entre los afectados hay, por tanto, usuarios europeos. Muchos pueden haber registrado CAPCOM ID con su email del trabajo, que se convierte en objetivo de phishing sobre videojuegos, tarjetas regalo o problemas con la cuenta.

Para quien gestiona cuentas de clientes, el caso confirma que también los metadatos de acceso son datos personales: según el RGPD, la dirección IP del último acceso asociada a un email identifica a una persona, y un acceso no autorizado debe evaluarse para su notificación a la autoridad de control en 72 horas. Para las entidades NIS2 (en Italia, el decreto legislativo 138/2024), el control de accesos, la autenticación multifactor y la gestión de incidentes figuran entre las medidas de gestión del riesgo previstas.

Qué hacer ya

1. Avisa al personal: en los próximos días son probables emails en nombre de Capcom; ni enlaces ni adjuntos, y la cuenta se revisa solo desde la web o el juego oficial.
2. Refuerza los filtros del correo: comprueba SPF, DKIM y DMARC en los mensajes entrantes y pon en cuarentena los que lleguen de dominios parecidos a los de Capcom.
3. Protege las cuentas corporativas del credential stuffing: autenticación multifactor resistente al phishing, bloqueo de contraseñas ya aparecidas en brechas conocidas, alertas ante series de accesos fallidos.
4. Si gestionas un sistema de cuentas de clientes: pide una nueva autenticación para cambiar contraseña o email, avisa siempre a la dirección anterior, señala los cambios masivos y conserva las IP de acceso solo el tiempo necesario.
5. Vigila los accesos a la base de datos de usuarios: consultas o exportaciones masivas, cuentas técnicas que se conectan desde orígenes nuevos, actividad fuera de horario.
6. Prepara la notificación a los usuarios: textos, canales por zona geográfica y plazos, listos antes de un incidente.

Cómo ayuda ARXDOME

ARX Expose señala las cuentas corporativas implicadas en brechas conocidas y los dominios parecidos al tuyo registrados por otros, útiles para quien prepara campañas de phishing. ARX Sentry recoge logs y eventos de ordenadores, servidores y firewalls y los agrupa en familias como accesos fallidos y cambios en las cuentas. ARX Retain conserva los logs para reconstruir, en caso de investigación, quién tuvo acceso y cuándo.

Última actualización: 24 de octubre de 2026