La compañía japonesa informó que la filtración incluye correos electrónicos y datos de inicio de sesión, que 196 cuentas sufrieron cambios de contraseña no autorizados y que no se vio comprometida información de tarjetas de crédito.
Capcom confirmó que un tercero accedió sin autorización a información de clientes vinculada a CAPCOM ID, el servicio de cuentas que la empresa utiliza para sus plataformas web y que es necesario para jugar en línea algunos de sus títulos. En un comunicado publicado el 22 de octubre, la desarrolladora de Resident Evil, Street Fighter y Monster Hunter informó que el incidente afectó 11,774,247 registros en todo el mundo y ofreció una disculpa a sus clientes y socios.
De acuerdo con la empresa, todos esos registros contienen la dirección de correo electrónico de la cuenta y datos del sistema: la fecha y hora de creación, la fecha y hora del último inicio de sesión, el número de accesos y la dirección IP desde la que se ingresó por última vez. En 43 casos, la información expuesta incluye además fecha de nacimiento, género, país o región y apodo. Capcom aseguró que los datos de tarjetas de crédito no forman parte de la filtración y que no ha confirmado que las contraseñas originales de los usuarios se hayan visto comprometidas.
Sí detectó, en cambio, que las contraseñas de 196 cuentas fueron modificadas sin autorización. La compañía las restableció y mantiene abierta la investigación para determinar el alcance del daño en esos casos.
Cronología del incidente
Según el comunicado, Capcom detectó actividad sospechosa el 19 de octubre y ese mismo día confirmó el acceso no autorizado y comenzó a bloquearlo. Al día siguiente instaló un comité interno de respuesta, verificó que se había accedido a información de clientes e informó del caso a su comité externo de supervisión de seguridad informática. El 21 de octubre notificó a la Policía de la Prefectura de Osaka y a la Comisión de Protección de Información Personal de Japón.
La empresa no detalló cómo se produjo el ataque, aunque afirmó que ya identificó el método utilizado y tomó medidas para contenerlo. Hasta ahora, ningún grupo se ha atribuido la intrusión. Capcom indicó que CAPCOM ID y sus juegos siguen funcionando con normalidad, que los usuarios pueden seguir usando el correo registrado y que se comunicará directamente con los clientes afectados.
El principal riesgo para los usuarios es el uso de esos correos en campañas de fraude. La compañía pidió desconfiar de mensajes que se hagan pasar por Capcom o empresas relacionadas y no abrir enlaces ni archivos adjuntos sospechosos. Para dudas, los usuarios de América pueden recurrir al formulario de atención de Capcom USA en el sitio de soporte de la empresa.
No es la primera vez que la compañía enfrenta un incidente de este tipo. En noviembre de 2020, Capcom sufrió un ataque de ransomware atribuido al grupo Ragnar Locker; en su primera estimación, la empresa calculó que podían haber quedado expuestos datos de hasta 350,000 clientes, socios comerciales y empleados, aunque la cifra confirmada en su investigación posterior fue considerablemente menor. Aquel ataque comprometió también documentos internos de la compañía.
Capcom señaló que trabajará para evitar que el incidente se repita y reforzar su seguridad informática, y que actualizará la información en su sitio web si surgen nuevos datos.