Capcom confirma el robo de datos de 11,7 millones de cuentas CAPCOM ID: qué se ha filtrado y qué hacer

Capcom publicó el 22 de octubre un comunicado en el que reconoce un acceso no autorizado a CAPCOM ID, la cuenta única que usa para sus servicios web y que hace falta para jugar en línea a algunos de sus juegos. La compañía pide disculpas y asegura que ya ha cerrado la vía de entrada.

Qué datos se han llevado

Estas son las cifras que da Capcom, con datos a 22 de octubre:

Qué	Cuántos	Datos incluidos
Registros con correo	11.774.247 en todo el mundo	Correo electrónico, fecha de alta, fecha del último acceso, número de accesos e IP del último acceso
Registros con más datos	43 de ellos	Además, fecha de nacimiento, sexo, país o región y apodo
Cuentas con la contraseña cambiada	196 de ellas	Alguien cambió la contraseña sin permiso; Capcom ya la ha restablecido

Capcom dice que no ha visto que se hayan robado las contraseñas que pusieron los propios usuarios y que los datos de tarjetas no estaban entre la información afectada. Sí reconoce que sigue investigando el alcance, así que las cifras pueden cambiar.

Cómo lo detectaron

• 19 de octubre: detectan actividad sospechosa, empiezan a bloquearla y confirman el acceso no autorizado ese mismo día.
• 20 de octubre: crean un equipo de crisis y confirman que se ha accedido a datos de clientes y que se cambiaron contraseñas de algunas cuentas.
• 21 de octubre: lo denuncian ante la policía de Osaka y lo comunican a la Comisión de Protección de Datos Personales de Japón.

El comunicado solo menciona autoridades japonesas. No dice cuántas de las cuentas son de España o de la Unión Europea ni si lo ha comunicado a algún regulador europeo. El Reglamento General de Protección de Datos obliga a notificar una brecha a la autoridad de control en 72 horas, salvo que sea improbable que suponga un riesgo, y a avisar a los afectados si el riesgo es alto. Capcom dice que contactará con los clientes afectados, pero no cuándo.

Por qué importa que se filtre «solo» el correo

Un correo electrónico suelto parece poca cosa, pero aquí va acompañado de algo valioso para un estafador: la certeza de que esa persona juega a juegos de Capcom y de cuándo se conectó por última vez. Con eso se puede escribir un correo falso muy creíble, del tipo «tu cuenta será suspendida» o «recoge tu recompensa de Monster Hunter». Es lo que la propia Capcom teme: avisa de que los datos pueden usarse para enviar mensajes que se hagan pasar por ella o por empresas relacionadas.

Qué te recomendamos hacer

1. Desconfía de cualquier correo de Capcom en las próximas semanas. No pulses enlaces ni abras adjuntos. Si quieres comprobar algo de tu cuenta, entra tú escribiendo la dirección en el navegador.
2. Entra en tu CAPCOM ID y comprueba que tu contraseña sigue funcionando. Si no puedes entrar, puedes ser uno de los 196: escribe a soporte.
3. Si usabas esa misma contraseña en otros sitios, cámbiala allí. Capcom dice que no se la han llevado, pero sigue investigando y no cuesta nada.
4. Si tienes vinculadas cuentas de Steam, PlayStation, Xbox o Nintendo, revisa que no haya cambios que no reconozcas.

Para Europa, Oriente Medio y África, Capcom ha habilitado un formulario de soporte y la dirección feedback@capcom.com. Los juegos y los servicios que usan CAPCOM ID siguen funcionando con normalidad.

Si en los próximos días te llega un correo «de Capcom» con prisas, premios o amenazas de cierre, da por hecho que es falso hasta que compruebes lo contrario entrando tú en tu cuenta.