Capcom confirma el robo de datos de 11,7 millones de registros de CAPCOM ID y el acceso a 19 cuentas de su tienda

Capcom ha completado la investigación sobre el alcance de los cambios de contraseña detectados tras el acceso no autorizado a CAPCOM ID. De las 196 cuentas afectadas por esas modificaciones, un tercero entró en la página personal de 19 usuarios de la tienda japonesa e-Capcom y obtuvo información adicional. La actualización, publicada el 23 de octubre, amplía el primer aviso de la compañía, que ya había confirmado la exposición de 11.774.247 registros en todo el mundo.

Los correos electrónicos y datos de acceso de 11.774.247 registros quedaron expuestos

CAPCOM ID es la cuenta común que permite acceder a servicios web de la compañía y jugar en línea a determinados títulos. Según el primer comunicado, publicado el 22 de octubre, el acceso no autorizado expuso 11.774.247 registros de direcciones de correo electrónico y datos asociados al funcionamiento de las cuentas. Es una cifra mundial de registros afectados; el aviso no ofrece un desglose por países ni precisa cuántas personas distintas representan.

Junto al correo electrónico quedaron expuestas la fecha y hora de creación de la cuenta, la fecha y hora del último inicio de sesión, el número de accesos y la dirección IP utilizada en el más reciente. Estos datos pueden ayudar a que un mensaje fraudulento dirigido al titular parezca más convincente.

La empresa identificó otros 43 registros, incluidos en la cifra general, en los que también figuraban fecha de nacimiento, sexo, país o región y apodo. El comunicado no detalla si estos 43 registros coinciden con algunas de las cuentas cuya contraseña fue alterada o con las 19 vinculadas a e-Capcom. Por eso, las cantidades deben leerse como distintos niveles de información afectada y no como grupos independientes que puedan sumarse.

Cambiaron sin permiso 196 contraseñas y accedieron a 19 cuentas de la tienda

La investigación detectó que un tercero cambió sin autorización la contraseña de 196 cuentas CAPCOM ID. Capcom ya ha restablecido las credenciales de esas cuentas. La compañía no ha confirmado que se filtraran las contraseñas originales elegidas por sus titulares. El cambio indebido de una contraseña demuestra una alteración de la cuenta, pero no permite concluir por sí solo que los atacantes conocieran la clave anterior.

El segundo aviso concreta el efecto que tuvieron esos cambios. De las 196 cuentas, 19 fueron utilizadas para entrar en la sección «Mi página» de e-Capcom, la tienda en línea de la empresa. Esos 19 casos corresponden a Japón. Allí quedaron expuestos el nombre y su transcripción en kana, el número de teléfono, el código postal, la dirección, el sexo, la fecha de nacimiento, el historial de compras, las consultas realizadas a e-Capcom y las direcciones guardadas en la libreta de la cuenta.

Según la compañía, la investigación sobre los efectos de los cambios de contraseña ha terminado y no se ha detectado una filtración de información provocada por esas modificaciones en las demás cuentas.

Capcom detectó el acceso el 19 de octubre y mantiene operativos sus juegos

Capcom encontró indicios de actividad sospechosa el 19 de octubre. Ese mismo día comenzó a bloquear el acceso y confirmó que se había producido una entrada no autorizada. El 20 de octubre constituyó un equipo interno para investigar el incidente y comprobó tanto la exposición de datos de CAPCOM ID como las alteraciones de contraseñas. El 21 comunicó el caso a la Policía de la prefectura de Osaka y a la Comisión de Protección de Información Personal de Japón.

La empresa afirma que ha identificado y atendido el método de ataque y que ha completado las medidas urgentes. No ha explicado públicamente cómo consiguió entrar el tercero, de modo que atribuir la intrusión a una vulnerabilidad concreta, a contraseñas reutilizadas o a una técnica determinada sería especulativo. Tras cerrar la investigación del impacto de los cambios de contraseña, Capcom mantiene la vigilancia de CAPCOM ID y de los servicios relacionados.

Las cuentas de CAPCOM ID siguen disponibles y la compañía asegura que el incidente no impide jugar a ninguno de sus títulos. Capcom ha indicado que contactará individualmente con los afectados y ha habilitado canales de atención. La continuidad del servicio no revierte la exposición de información ya producida.

La advertencia principal de la empresa se refiere a comunicaciones que suplanten su identidad o la de entidades relacionadas. El segundo aviso menciona expresamente mensajes de texto, llamadas telefónicas y correos electrónicos. La empresa pide no abrir archivos adjuntos ni acceder a enlaces incluidos en mensajes sospechosos. Si llega una notificación sobre la cuenta, conviene entrar directamente en la web oficial en vez de usar el enlace del mensaje. Los usuarios europeos pueden acudir a los canales de soporte de Capcom indicados en su aviso oficial para verificar cualquier duda sobre su caso.

Fin del Artículo. ¡Cuéntanos algo en los Comentarios!