El correo con el que te diste de alta en CAPCOM ID, la hora de tu último inicio de sesión y la dirección IP desde la que entraste ya no están solo en manos de Capcom. La compañía reconoció el 22 de octubre de 2026 el acceso no autorizado con una cifra incómoda y una disculpa por escrito: 11.774.247 registros afectados en todo el mundo, según el aviso que publicó ese mismo día.
CAPCOM ID es la cuenta única con la que se entra a las webs de la compañía y a las funciones online de títulos como Resident Evil o Monster Hunter, y permite enlazarla con cuentas de plataformas como PlayStation, Xbox o Steam. Lo que se filtró no es una contraseña. Es el rastro que permite escribir un correo que parezca auténtico, con la fecha exacta de tu alta y la de tu último acceso.
El dato que cambia la lectura del incidente no es el número grande. En 196 cuentas alguien cambió la contraseña sin permiso del titular, y ese detalle separa una lectura de datos de una escritura sobre las cuentas. Capcom ya ha reiniciado esas claves, sostiene que sus juegos y servicios siguen operando con normalidad y afirma que no había datos de tarjeta entre lo expuesto.
El rastro que deja cada inicio de sesión
Capcom separa en su aviso del 22 de octubre tres bloques, y esa diferencia explica por qué habla de registros y no de personas. El primero es el correo junto a lo que el documento llama identificadores específicos del sistema: la fecha de alta, la del último acceso, el número de inicios de sesión y la IP del último.
El segundo bloque son 43 registros con fecha de nacimiento, sexo, país o región y alias. El tercero no es un dato leído, sino una acción: 196 contraseñas cambiadas sin permiso del titular. Capcom no ha confirmado el compromiso de las claves que eligieron los clientes, y los datos de pago no estaban entre lo afectado.
La tabla ordena los datos por volumen y por lo que cada uno le permite hacer a quien lo tenga en la mano, que es la pregunta que de verdad importa a un usuario.
| Dato expuesto |
Alcance |
Qué facilita a un atacante |
| Correo electrónico |
11.774.247 registros |
la lista de destinatarios y el gancho del mensaje |
| Metadatos de sesión (alta, último acceso, número de accesos, IP) |
11.774.247 registros |
un correo con detalles que solo un sistema interno conocería |
| Fecha de nacimiento, sexo, país y alias |
43 registros |
suplantación casi perfecta en un grupo reducido |
| Contraseñas elegidas por el cliente |
sin indicios de compromiso |
nada, mientras el titular no las reutilice |
| Datos de tarjeta |
no afectados |
nada |
Los 11,7 millones de registros no equivalen a 11,7 millones de personas: el número mide registros afectados y puede no representar a tantos usuarios distintos, porque la investigación sobre el alcance sigue abierta.
Con esos cuatro metadatos un desconocido puede escribir un correo que cite la fecha del alta y el número de accesos al perfil, y el destinatario lo leerá como una comunicación interna. Ese es el motivo por el que el aviso insiste en no abrir enlaces ni adjuntos de mensajes que suplanten a Capcom o a sus socios.
Las 196 cuentas que pesan más que la cifra
Un cambio de contraseña no autorizado es el único indicio del aviso que prueba escritura sobre las cuentas y no solo lectura. Leer una base de datos permite preparar un engaño; reescribir una credencial significa que alguien llegó a operar dentro del sistema de cuentas, y ahí el correo filtrado deja de ser la parte más incómoda del asunto.
Capcom ya ha reiniciado esas 196 claves y mantiene abierta la investigación sobre qué más ocurrió en esos perfiles. Ningún grupo ha reivindicado el ataque, y la compañía dice haber identificado y cerrado el método de entrada sin describirlo. Eso deja sin respuesta la pregunta que más interesa a un afectado: por dónde se entró y cuánto tiempo estuvo abierta la puerta.
La proporción invita a restarle importancia: 196 cuentas sobre 11,7 millones de registros son un 0,0017%. Ese porcentaje, sin embargo, es la prueba de que la intrusión tuvo capacidad de modificar datos, aunque fuera en un puñado de casos, y de que el sistema de cuentas no estaba protegido contra escritura.
Cuatro días entre la detección y el comunicado
La cronología del aviso es más rápida que la de la mayoría de incidentes parecidos. Capcom detectó actividad sospechosa el 19 de octubre de 2026 y confirmó ese mismo día el acceso no autorizado mientras bloqueaba la entrada; el 20 montó un centro interno de respuesta y llevó el caso al Information Technology Security Oversight Committee, su órgano asesor externo; el 21 lo comunicó a la Policía Prefectural de Osaka y a la Comisión de Protección de Información Personal de Japón; el 22 publicó el comunicado y abrió canales de soporte por regiones.
El contraste con el episodio anterior de la compañía ayuda a medir el cambio. Hace seis años, un ataque de ransomware del grupo Ragnar Locker cifró datos en sus servidores y pudo afectar a hasta 350.000 clientes, socios y empleados. Entonces hubo un grupo con nombre y una extorsión; ahora hay un acceso silencioso que nadie se ha atribuido.
Capcom no fue la única empresa japonesa con un susto esta semana. GMO Internet apagó los servidores de Onamae Desktop Cloud tras encontrar programas ajenos en máquinas de clientes, con 26.739 equipos posiblemente expuestos, y también acudió a la policía el 22 de octubre.
Para quien tenga cuenta, el aviso deja una instrucción concreta y bastantes preguntas sin responder. Estas comprobaciones son las que cambian algo de verdad, ordenadas por lo que evita más daño con menos esfuerzo.
- Cambia la contraseña por una que no uses en ningún otro sitio y guárdala en un gestor, porque la reutilización convierte una filtración en cinco.
- Activa el doble factor con una aplicación de autenticación; Capcom propone Google Authenticator o Microsoft Authenticator.
- Entra en cid.capcom.com escribiendo la dirección a mano y revisa ahí los datos del perfil y las cuentas de plataforma enlazadas.
- Trata como sospechoso cualquier correo que anuncie un cambio de contraseña que no pediste o que meta prisa para que hagas clic.
- Si necesitas ayuda, usa los canales del aviso (la línea gratuita japonesa 0120-801-271 y los formularios por región) en lugar de un contacto que llegue por mensaje.
El doble factor merece un comentario aparte, porque es la única medida de la lista que sigue protegiendo cuando la contraseña ya circula por un foro. Con un código de aplicación en el móvil, quien tenga el correo y la IP del último acceso se queda igualmente fuera de la cuenta, y ese es justo el escenario que dibuja esta brecha.
Conviene mirar también las cuentas enlazadas, porque CAPCOM ID hace de puente con las tiendas y los servicios de las plataformas. Si alguien entra en el perfil de Capcom, ve qué cuentas externas cuelgan de él y con qué correo están asociadas, un mapa que ahorra trabajo a quien prepare un engaño con los datos de la tabla.
El ocio es la puerta más barata para el phishing
La cuenta de un videojuego no se protege como la del banco, y esa asimetría es exactamente lo que buscan quienes montan un fraude. Nadie reutiliza a sabiendas la clave de su entidad financiera; en cambio, millones de jugadores entran con la misma contraseña en portales de lanzamientos, foros y servicios de sus franquicias favoritas, y un correo que dice venir de Capcom se abre con menos desconfianza que uno del banco.
Lo que toca exigir a la industria tampoco es una revolución tecnológica. Notificar al usuario antes de que la filtración salga en la prensa, ofrecer el doble factor activado por defecto desde el primer registro y explicar el método del ataque cuando ya está cerrado son tres decisiones baratas que siguen siendo opcionales en buena parte del sector del ocio.
Mientras eso llega, el malware con el que se preparan estos golpes se sofistica sin pausa: Lazarus ya blinda el suyo con criptografía poscuántica. La parte que depende del jugador sigue siendo la más barata de arreglar, y también la única que puede quedar resuelta esta misma tarde.
