Capcom revela un acceso no autorizado a 11,77 millones de registros de CAPCOM ID

Capcom informó en un comunicado de prensa del 22 de octubre de 2026 que cierta información de clientes asociada a CAPCOM ID, el servicio de cuentas de membresía en línea que opera, fue objeto de acceso no autorizado por parte de un tercero. El incidente afectó a 11.774.247 registros en todo el mundo. La empresa, con sede en Osaka, pidió disculpas a sus clientes y otras partes interesadas, y señaló que había informado del incidente a la Policía de la Prefectura de Osaka y a la Comisión de Protección de Información Personal de Japón.

CAPCOM ID es una cuenta unificada que permite a los usuarios registrados acceder a diversos servicios web de Capcom y que se necesita para jugar en línea a algunos juegos de Capcom. La empresa señaló que completó las medidas de emergencia necesarias y que los servicios que utilizan CAPCOM ID siguen disponibles. Según Capcom, el incidente no afecta la posibilidad de acceder a ninguno de sus juegos ni de jugar a ellos.

Registros afectados y estado de las cuentas

El comunicado divide la información afectada en tres categorías, con cifras actualizadas al 22 de octubre.

La categoría principal comprende registros de direcciones de correo electrónico e información de identificadores específicos del sistema (la fecha y hora de creación de la cuenta, la fecha y hora del último inicio de sesión, el número de inicios de sesión y la dirección IP del cliente utilizada durante el último inicio de sesión), con un total de 11.774.247 registros en todo el mundo. De ese total, 43 registros también incluían la fecha de nacimiento, el género, el país o la región y el apodo.

Capcom también confirmó que se cambiaron sin autorización las contraseñas de 196 cuentas incluidas en ese mismo total. La empresa señaló que las contraseñas asociadas a esas cuentas ya se restablecieron y que no ha confirmado que se hayan vulnerado las contraseñas de inicio de sesión de CAPCOM ID que los propios clientes establecieron originalmente. Añadió que sigue investigando el alcance de cualquier impacto derivado del incidente.

La información afectada no incluía datos de tarjetas de crédito, y Capcom señaló que notificará a los clientes afectados por el incidente.

Cronología del incidente

Según el comunicado, Capcom detectó el 19 de octubre de 2026 actividad sospechosa que indicaba un posible acceso no autorizado a CAPCOM ID e inició de inmediato el bloqueo del acceso mientras investigaba la causa y el alcance del incidente. Ese mismo día, la empresa confirmó que se había producido un acceso no autorizado, aplicó medidas de emergencia y procedió a identificar y abordar el método del ataque.

El 20 de octubre de 2026, Capcom estableció un centro interno de respuesta a incidentes y continuó recopilando información y tomando medidas para evitar nuevas repercusiones. La investigación confirmó que se había accedido sin autorización a cierta información de clientes registrada en CAPCOM ID y que se habían cambiado sin autorización las contraseñas de un número limitado de cuentas. Ese mismo día, la empresa informó del asunto al Comité de Supervisión de Seguridad de Tecnología de la Información, su órgano asesor externo.

El 21 de octubre de 2026, Capcom informó del incidente a la Policía de la Prefectura de Osaka y a la Comisión de Protección de Información Personal de Japón. La empresa señaló que sigue supervisando la situación, investigando el incidente y evaluando el alcance total de sus repercusiones.

Aviso a los clientes y canales de asistencia

La empresa señaló que las direcciones de correo electrónico registradas en CAPCOM ID pueden seguir utilizándose sin interrupción. Advirtió que la información afectada podría utilizarse indebidamente para enviar correos electrónicos fraudulentos u otras comunicaciones que suplanten la identidad de Capcom o de partes relacionadas, y recomendó a cualquier persona que reciba un correo electrónico o mensaje sospechoso que actúe con cautela, no acceda a las URL incluidas en el mensaje ni abra los archivos adjuntos.

La empresa ha habilitado canales de atención al cliente específicos para este incidente. En Japón, hay una línea gratuita de asistencia, 0120-801-271, disponible de 10:00 a 20:00, hora estándar de Japón (JST). Los clientes de América del Norte, Central y del Sur pueden enviar un formulario de consulta en línea a través de la página de atención al cliente de Capcom USA. Los clientes de Europa, Oriente Medio y África pueden utilizar el formulario de consulta o escribir a [email protected], y los clientes de Asia, excepto Japón, y de Oceanía pueden ponerse en contacto con [email protected].

Capcom había detallado anteriormente otro incidente de seguridad de datos en un comunicado del 13 de abril de 2021, que presentó los resultados finales de una investigación externa. Según ese comunicado, en octubre de 2020 unos atacantes accedieron sin autorización a la red interna de la empresa mediante un ciberataque contra un dispositivo VPN de respaldo antiguo que mantenía Capcom U.S.A., Inc., filial norteamericana de la compañía. Posteriormente, se vieron comprometidos dispositivos de las oficinas de la empresa en Estados Unidos y Japón. El ransomware cifró archivos de los dispositivos afectados a última hora del 1 de noviembre de 2020. El 2 de noviembre de 2020, Capcom detectó problemas de conectividad y encontró en los dispositivos afectados un mensaje amenazante de un grupo que se hacía llamar Ragnar Locker.

En el comunicado de 2021, la empresa cifró en 15.649 el número de personas cuya información se había verificado como comprometida en aquel incidente. Señaló que ninguno de los datos en riesgo contenía información de tarjetas de crédito, ya que las transacciones en línea eran gestionadas por un proveedor de servicios externo en un sistema independiente que no se vio involucrado en el ataque.

Tras el incidente de 2020, Capcom creó el Comité de Supervisión de la Seguridad de las Tecnologías de la Información en la segunda mitad de enero de 2021 para recibir recomendaciones continuas de expertos externos. El comunicado de 2021 describe a cuatro miembros externos del comité: dos profesores universitarios expertos en ciberseguridad, un abogado especializado en ciberseguridad y en la ley de protección de datos personales, y un contador público certificado especializado en auditoría de sistemas de TI. Se trata del mismo órgano consultivo externo que, según el nuevo comunicado, recibió el informe de la empresa sobre el incidente de CAPCOM ID el 20 de octubre de 2026.

En el comunicado, firmado por Haruhiro Tsujimoto, presidente y director de operaciones, Capcom afirmó que identificó y neutralizó el método de ataque utilizado en el incidente y que se toma el asunto muy en serio. La empresa señaló que continuará con su investigación detallada y que, a partir de los resultados, implementará medidas para evitar que vuelva a ocurrir y reforzar aún más su marco de seguridad de la información. También indicó que informará oportunamente de cualquier otro hecho que deba divulgarse a través de su sitio web oficial y otros canales adecuados.