Dirigido a: cualquier persona con un CAPCOM ID (la cuenta común para los servicios web de Capcom y algunos juegos en línea), personas que juegan a juegos de Capcom fuera de Japón y cualquiera que gestione un servicio con cuentas de miembros. Este artículo se basa en el aviso oficial de Capcom Co., Ltd., la empresa japonesa de videojuegos, y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A 24 de octubre de 2026Aún no se sabe
- El método de ataque, la vía y cuándo comenzó el acceso (no divulgados)
- Cómo se almacenan las contraseñas (no se menciona)
- Cómo y cuándo se contactará a los clientes afectados
- A cuántas personas corresponde el número de registros
La empresa publicó un segundo aviso el 23 de octubre, en el que indica que, en 19 de las 196 cuentas cuyas contraseñas habían sido cambiadas, se filtraron los datos registrados en su tienda en línea e-Capcom. Dice que la investigación sobre el alcance del impacto ha concluido y que seguirá monitoreando CAPCOM ID y los servicios relacionados.
El método y la vía de ataque, así como cuándo comenzó el acceso, siguen sin divulgarse en el segundo aviso.
Qué deben hacer hoy los titulares de CAPCOM ID
Esté atento a correos, mensajes de texto y llamadas que digan ser de Capcom o de un juego
En su segundo aviso, la empresa advierte que los datos filtrados podrían usarse en mensajes de texto, llamadas, correos u otras comunicaciones fraudulentas que suplanten a Capcom o a partes relacionadas, y pide a los clientes que no accedan a las URL que contengan ni abran archivos adjuntos.
Si alguien por teléfono le pide confirmar su nombre o dirección, o le pide una contraseña o un código de verificación, no responda; cuelgue.
Aunque el asunto diga algo como "Su cuenta será suspendida", "Debe restablecer su contraseña" o "Compensación por objetos del juego" (ejemplos de este sitio), no inicie sesión a través del enlace. Abra el sitio oficial de CAPCOM ID desde un marcador o con su propia búsqueda. Los conceptos básicos para reconocer correos falsos están en Qué es el phishing.
Cambie la contraseña en cualquier otro servicio donde la reutilice
La empresa dice que no ha confirmado ninguna filtración de las contraseñas establecidas por los propios clientes y que no ha pedido a nadie que cambie su contraseña.
Sin embargo, el ID de inicio de sesión de CAPCOM ID es la dirección de correo. En general, los atacantes intentan iniciar sesión combinando direcciones de correo filtradas con contraseñas filtradas de otros sitios. Si usa la contraseña de CAPCOM ID en otros servicios, cámbielas para que cada una sea distinta. Este es un consejo general de este sitio, no de la empresa. Puede comprobar si sus contraseñas se han filtrado antes con Cómo comprobar si su contraseña se filtró.
Active la autenticación en dos pasos en CAPCOM ID
Según la página de soporte de la empresa, CAPCOM ID permite configurar la autenticación en dos pasos (un código de una aplicación de autenticación en el teléfono, además de la contraseña) desde la página de su cuenta.
Con ella activada, conocer su correo y su contraseña no basta para iniciar sesión. La empresa señala que hay que desactivar la autenticación en dos pasos antes de cambiar de teléfono. Cómo elegir un método se explica en Cómo elegir la autenticación multifactor.
Si usa e-Capcom, desconfíe de mensajes que mencionen su dirección o sus pedidos
Según el segundo aviso, en 19 de las 196 cuentas cuyas contraseñas habían sido cambiadas (en Japón), un tercero accedió a las páginas de cuenta de e-Capcom, la tienda en línea de la empresa en Japón, y se filtraron datos como nombre, número de teléfono, dirección, fecha de nacimiento, historial de compras, historial de consultas e información de la libreta de direcciones guardada. La empresa dice que se pondrá en contacto individualmente con estos clientes.
Un mensaje de texto o una llamada que mencione un producto que compró o un envío no prueba que sea auténtico. Si guardó en la libreta de direcciones las direcciones de entrega de familiares o amigos, conviene avisarles también de que desconfíen de contactos inesperados.
Si no puede iniciar sesión o sus datos han cambiado, contacte con el canal de atención
La empresa dice que confirmó que las contraseñas de 196 cuentas habían sido cambiadas sin autorización y que ya las restableció. Según el segundo aviso, se filtraron datos de e-Capcom en 19 de esas 196 cuentas; en las 177 restantes, no encontró información comprometida como resultado de los cambios de contraseña.
Si no puede iniciar sesión o ve cambios que usted no hizo, contacte con el canal de atención de su región indicado en la página de avisos. En Japón es la línea de atención específica sobre el incidente de seguridad de datos de CAPCOM ID (llamada gratuita 0120-801-271, de 10:00 a 20:00 JST). Compruebe el número en la página de avisos en lugar de usar un número de un correo que haya recibido.
Para usuarios fuera de Japón
Los 11.774.247 registros son un total mundial. La empresa ha habilitado un canal de atención distinto para cada región.
| Región (según el aviso de la empresa) | Dónde consultar |
|---|---|
| Japón | Línea de atención específica sobre el incidente de seguridad de datos de CAPCOM ID (llamada gratuita 0120-801-271, de 10:00 a 20:00 JST) |
| América del Norte, Central y del Sur | Formulario de consultas del servicio de atención al cliente de Capcom USA |
| Europa, Oriente Medio y África | Formulario de consultas del servicio de atención al cliente de Capcom Europe, o correo electrónico |
| Asia (excepto Japón) y Oceanía | Correo electrónico del servicio de atención al cliente de Capcom Asia |
La URL del formulario y las direcciones de correo figuran en la página de avisos de Capcom (en japonés y en inglés). En la versión en inglés, la entrada de Asia y Oceanía aparece como "Capcom Europe Customer Support"; el original en japonés, que prevalece, lo llama Capcom Asia Customer Support. Compruebe los datos de contacto en la página de avisos, no en un correo que haya recibido.
Qué ocurrió (según el aviso de Capcom)
Capcom Co., Ltd. publicó el 22 de octubre de 2026 el aviso "Notice and Apology Regarding Customer Information Affected Through Unauthorized Access". El mismo documento se presentó ese día a las 17:00 JST en el sistema de divulgación oportuna de la Bolsa de Tokio (TDnet). Todo lo que sigue se basa en el aviso de la empresa y en el aviso del sitio de CAPCOM ID.
19 de octubre de 2026 (lun.)
La empresa encontró rastros que sugerían un acceso no autorizado a CAPCOM ID y comenzó de inmediato a bloquear el acceso y a investigar la causa y el alcance. Ese mismo día confirmó que se había producido un acceso no autorizado y tomó medidas de emergencia.20 de octubre (mar.)
La empresa creó una sede interna de respuesta al incidente. La investigación determinó que parte de la información de clientes registrada en CAPCOM ID se había filtrado y que las contraseñas de algunas cuentas habían sido cambiadas sin autorización. Ese mismo día informó del asunto a su órgano asesor externo, el Information Technology Security Oversight Committee.21 de octubre (mié.)
La empresa informó del incidente a la policía (la Policía de la Prefectura de Osaka, según la versión en inglés) y a la Comisión de Protección de Información Personal de Japón.22 de octubre (jue.)
Se publicó el aviso, que también se colocó en el sitio de CAPCOM ID. Indicaba que se contactaría individualmente a los clientes afectados y que se habilitarían canales de atención específicos.23 de octubre (vie.)
Se publicó el segundo aviso. En 19 de las 196 cuentas cuyas contraseñas habían sido cambiadas (en Japón), un tercero había accedido a las páginas de cuenta de e-Capcom, y se filtraron nombre, dirección, número de teléfono, historial de compras y otros datos. La empresa dijo que la investigación sobre el alcance del impacto estaba completa.
El aviso no indica cuándo comenzó el acceso no autorizado. El 19 de octubre es el día en que la empresa encontró los rastros.
- Empresa
- Capcom Co., Ltd.
- Servicio
- CAPCOM ID, la cuenta de membresía en línea que se usa en los servicios web de Capcom y que se necesita para algunos juegos en línea
- Datos filtrados
- Direcciones de correo electrónico e información de identificadores propios del sistema (fecha y hora de creación de la cuenta, fecha y hora del último inicio de sesión, número de inicios de sesión, dirección IP del cliente en el último inicio de sesión): 11.774.247 registros (total mundial)
- Filtrado en algunos casos
- Fecha de nacimiento, género, país o región, apodo: 43 de los registros anteriores
- Contraseñas
- No se confirmó ninguna filtración de contraseñas establecidas por los clientes. Las contraseñas de 196 de las cuentas anteriores habían sido cambiadas sin autorización y han sido restablecidas
- Impacto de los cambios de contraseña (segundo aviso)
- En 19 de las 196 cuentas (en Japón), un tercero accedió a las páginas de cuenta de la tienda en línea e-Capcom. Se filtraron nombre, nombre en caracteres fonéticos japoneses, número de teléfono, código postal, dirección, género, fecha de nacimiento, historial de compras, historial de consultas de e-Capcom e información de la libreta de direcciones guardada. En las 177 cuentas restantes de las 196, no se encontró información comprometida como resultado de los cambios de contraseña
- No incluido
- Información de tarjetas de crédito (tampoco en los 19 registros de e-Capcom)
- Causa
- Acceso no autorizado por parte de un tercero. La empresa dice que identificó y abordó el método de ataque. El método y la vía no se han divulgado
- Investigación del alcance
- Concluida (segundo aviso). Continúa el monitoreo de CAPCOM ID y los servicios relacionados
- Notificaciones
- Policía (Policía de la Prefectura de Osaka en la versión en inglés) y Comisión de Protección de Información Personal (21 de octubre); el Information Technology Security Oversight Committee externo de la empresa (20 de octubre)
- Servicios
- Los servicios que usan CAPCOM ID siguen disponibles. Ningún juego se ve afectado en su uso. Las direcciones de correo registradas pueden seguir usándose
- Contacto con los clientes
- Se contactará individualmente a los clientes afectados (método no indicado)
- Prevención
- La empresa dice que tomará medidas basadas en la causa identificada y reforzará su seguridad de la información. No da detalles
Qué se sabe y qué no
Este es el estado a 24 de octubre de 2026, incluido el segundo aviso del 23 de octubre. Cuando se publique un seguimiento, se actualizará la columna de estado.
| Aspecto | Qué dice el aviso | Estado |
|---|---|---|
| Descubrimiento e inicio del bloqueo | Rastros encontrados el 19 de octubre; la empresa comenzó de inmediato a bloquear el acceso y a investigar la causa y el alcance; acceso no autorizado confirmado ese mismo día | Confirmado (empresa) |
| Direcciones de correo y datos de identificadores | 11.774.247 registros (en todo el mundo). Identificadores: hora de creación, hora del último inicio de sesión, número de inicios de sesión, IP del cliente en el último inicio de sesión | Filtración confirmada (empresa) |
| Fecha de nacimiento, género, país o región, apodo | 43 de los registros anteriores | Filtración confirmada (empresa) |
| Cambios de contraseña no autorizados | 196 de las cuentas anteriores; restablecidas | Confirmado (empresa) |
| Datos registrados en e-Capcom (segundo aviso) | 19 de las 196 cuentas (en Japón). Nombre, nombre fonético, número de teléfono, código postal, dirección, género, fecha de nacimiento, historial de compras, historial de consultas, libreta de direcciones guardada | Filtración confirmada (empresa) |
| Impacto en las 177 cuentas restantes de las 196 | No se encontró información comprometida como resultado de los cambios de contraseña | No confirmado (empresa) |
| Contraseñas establecidas por los clientes | No se confirmó ninguna filtración | No confirmado (empresa) |
| Cómo se almacenan las contraseñas | No se indica | No se menciona |
| Información de tarjetas de crédito | No estaba entre los datos afectados (igual para los 19 registros de e-Capcom) | No incluida (empresa) |
| Nombre, dirección postal y teléfono en CAPCOM ID | No figuran entre los elementos filtrados de CAPCOM ID (los 19 registros anteriores provienen de las páginas de cuenta de e-Capcom) | No se menciona |
| Causa | Acceso no autorizado por parte de un tercero; método de ataque identificado y abordado; método y vía no indicados | Confirmado (empresa) / detalles no mencionados |
| Cuándo comenzó el acceso | No se indica | No se menciona |
| Investigación del alcance | Concluida (segundo aviso); el monitoreo continúa | Confirmado (empresa) |
| Cuántas personas | Se da como recuento de registros o cuentas, no de personas | No se menciona |
| Notificaciones a la policía y al regulador | Realizadas el 21 de octubre | Confirmado (empresa) |
| Contacto con los clientes afectados | Se contactará individualmente a los clientes afectados (método no indicado) | Previsto (empresa) |
| Servicios y juegos | Siguen disponibles; sin efecto en el juego | Confirmado (empresa) |
| Uso indebido de los datos filtrados | Advierte de que pueden enviarse mensajes de texto, llamadas y correos fraudulentos; no dice que se haya confirmado ningún uso indebido | No se menciona |
Nota de lectura: "no confirmado" frente a "no incluido"
El aviso dice que la información de tarjetas de crédito "no estaba incluida entre la información afectada". Sobre las contraseñas, dice solo que no se ha confirmado ninguna filtración, lo cual no es lo mismo que decir que las contraseñas quedaron fuera del alcance.
Los 196 "cambios de contraseña no autorizados" no significan que las contraseñas se hayan filtrado; significan que un tercero había cambiado las contraseñas de esas cuentas. El segundo aviso mostró que, en 19 de ellas, el tercero accedió además a las páginas de cuenta de e-Capcom. Mantenga estos aspectos separados, como hacen los avisos.
Para qué pueden usarse los datos filtrados
Lo siguiente describe lo que puede ocurrir en general, no lo que ha ocurrido en este caso. El aviso no dice que se haya confirmado ningún uso indebido.
Dirección de correo (indica que usa CAPCOM ID)
↓→
Correos falsos que dicen ser de Capcom o de un juego
→ No inicie sesión a través de enlaces; abra el sitio oficial desde un marcador
Dirección de correo = ID de inicio de sesión
↓→
Intentos de inicio de sesión con contraseñas filtradas de otros sitios
→ No reutilice contraseñas; active la autenticación en dos pasos
Hora de creación, hora del último inicio de sesión, número de inicios de sesión
↓→
Falsas alertas convincentes como "Detectamos un inicio de sesión el [fecha]"
→ Una fecha correcta no prueba que un mensaje sea auténtico
Nombre, dirección, teléfono, historial de compras (19 registros de e-Capcom)
↓→
Mensajes de texto o llamadas que mencionan pedidos o envíos reales
→ No dé datos personales por teléfono; vuelva a llamar usted mismo a la línea oficial
No incluido, o sin filtración confirmada, según el aviso
- Información de tarjetas de crédito (no incluida, tampoco en los 19 registros de e-Capcom)
- Contraseñas establecidas por los clientes (sin filtración confirmada)
- Filtraciones por cambios de contraseña en las 177 cuentas restantes de las 196 (no se encontró ninguna)
Datos que según el aviso se filtraron
- Dirección de correo (también ID de inicio de sesión)
- Hora de creación de la cuenta, hora del último inicio de sesión, número de inicios de sesión
- Dirección IP del cliente en el último inicio de sesión
- En 43 registros, fecha de nacimiento, género, país o región y apodo
- En 19 registros (Japón), nombre, dirección, teléfono, fecha de nacimiento, historial de compras, historial de consultas y libreta de direcciones guardada de e-Capcom (segundo aviso)
En los 19 registros, el nombre, la dirección y el teléfono se filtraron junto con el historial de compras. En general, esa combinación permite enviar mensajes de texto o hacer llamadas convincentes que se refieran a pedidos reales, por lo que debe tenerse con los mensajes de texto y las llamadas la misma cautela que con el correo.
A diferencia de una contraseña, una dirección de correo es difícil de cambiar con rapidez. En general, los correos falsos con otros pretextos pueden llegar a una dirección filtrada mucho después del suceso, así que conviene mantenerse alerta durante un tiempo.
Otros casos de octubre de 2026 centrados en direcciones de correo son la filtración de Lawson ID y la filtración de direcciones de correo de JR East, VIEW Card y JR Kyushu. La causa y el alcance difieren de un caso a otro, por lo que este no seguirá necesariamente el mismo curso.
Este es un incidente distinto del caso de Capcom de 2020
En noviembre de 2020, Capcom sufrió un ataque de ransomware y anunció que se habían filtrado datos personales (Ransomware de Capcom (2020)). El aviso actual se refiere a un incidente separado de acceso no autorizado a CAPCOM ID y no menciona ningún vínculo con el caso de 2020.
Para quienes gestionan servicios con cuentas de miembros
La empresa no ha divulgado el método de ataque, por lo que esta sección no dice cómo prevenirlo y no es una evaluación de la respuesta de la empresa. Lo que sí muestran los avisos es que se filtraron direcciones de correo que también son ID de inicio de sesión, que las contraseñas de algunas cuentas habían sido cambiadas y, según el segundo aviso, que en 19 de esas cuentas también se accedió sin autorización a las páginas de cuenta de la tienda en línea e-Capcom. Los pasos siguientes se centran en lo que se puede revisar de antemano a la luz de esos tres puntos.
Avise al titular de la cuenta cuando cambie una contraseña o una dirección de correo
En este caso, la empresa confirmó que las contraseñas de 196 cuentas habían sido cambiadas sin autorización. En general, notificar a los titulares los cambios de contraseña les permite detectar cambios que no hicieron.
Enviar la notificación a los datos de contacto registrados antes del cambio hace que siga llegando al verdadero titular si alguien los ha sustituido. Si la notificación dice "si no fue usted", explique cómo comprobarlo en el sitio oficial en lugar de incluir un enlace, para que sea más fácil distinguirla de las alertas falsas.
Decida durante cuánto tiempo conservar los campos del historial de inicio de sesión
Entre los datos filtrados están la hora del último inicio de sesión, el número de inicios de sesión y la dirección IP del cliente en el último inicio de sesión. Ayudan a detectar inicios de sesión no autorizados, pero si se filtran revelan cómo se usa una cuenta.
Decidir qué historial conservar junto al registro de la cuenta y durante cuánto tiempo mantiene el alcance más reducido si ocurre una filtración. Los registros usados para vigilar inicios de sesión no autorizados también pueden conservarse por separado, con una finalidad y un plazo de conservación definidos.
Ofrezca la autenticación en dos pasos de modo que la gente la use de verdad
CAPCOM ID ofrece autenticación en dos pasos (página de soporte de la empresa). En general, la autenticación en dos pasos que solo está disponible tiende a usarse poco y protege solo a quienes la activan.
Invitar a los usuarios a configurarla en la pantalla de inicio de sesión o antes de acciones importantes, y admitir passkeys, puede aumentar su adopción. Las diferencias se explican en Qué es la autenticación en dos pasos y Qué es una passkey.
Fuentes (registro público)
Los hechos de este artículo se basan en la información pública siguiente. El método y la vía de ataque no divulgados no se especulan.
- Capcom Co., Ltd., "不正アクセスによるお客様情報漏えいのお詫びとお知らせ" (original en japonés, 22 de octubre de 2026) — capcom.co.jp (PDF: capcom.co.jp)
- Capcom Co., Ltd., "Notice and Apology Regarding Customer Information Affected Through Unauthorized Access" (inglés, 22 de octubre de 2026) — capcom.co.jp (PDF: capcom.co.jp)
- Capcom Co., Ltd., "Update to Notice and Apology Regarding Customer Information Affected Through Unauthorized Access" (inglés, 23 de octubre de 2026) — capcom.co.jp (PDF: capcom.co.jp; original en japonés: capcom.co.jp)
- Servicio de divulgación oportuna de la Bolsa de Tokio (TDnet), presentación a las 17:00 JST del 22 de octubre de 2026 (consultada el 23 de octubre) — release.tdnet.info
- CAPCOM ID, aviso sobre el acceso no autorizado y la información de clientes (sección de avisos, 22 de octubre de 2026) — cid.capcom.com
- CAPCOM ID, "Support" (inicio de sesión y autenticación en dos pasos, consultada el 23 de octubre) — cid.capcom.com
- Lista de noticias de IR de Capcom Co., Ltd. (consultada el 24 de octubre) — capcom.co.jp
- BleepingComputer, "Capcom confirms data breach affecting 11.7 million accounts" (23 de octubre de 2026, noticia) — bleepingcomputer.com
Historial de actualizaciones
2026-10-23: Primera versión, basada en el aviso de Capcom del 22 de octubre (en japonés y en inglés), la presentación en TDnet y el aviso y la página de soporte de CAPCOM ID (consultados a las 11:00 JST del 23 de octubre).
2026-10-24: Actualizado con el segundo aviso del 23 de octubre: en 19 de las 196 cuentas cuyas contraseñas habían sido cambiadas (en Japón), se filtraron nombre, dirección, número de teléfono, historial de compras y otros datos de las páginas de cuenta de e-Capcom; no se encontró ninguna filtración en las 177 cuentas restantes de las 196; la investigación del alcance ha concluido; y la advertencia ahora incluye los mensajes de texto y las llamadas. Se retiraron de los puntos pendientes "resultados de la investigación del alcance" y "qué se hizo en las 196 cuentas".
Lea a continuación
- El caso separado de Capcom de 2020: Ransomware de Capcom (2020)
- Casos del mismo periodo: Filtración de Lawson ID / Filtración de Carsensor.net y C-MATCH / Acceso no autorizado a Nikkei (unos 1,83 millones de registros)
- Prepararse ante correos falsos: Qué es el phishing / Spam desde su propia dirección de correo
- Proteger las cuentas: Cómo elegir un gestor de contraseñas / Cómo elegir la autenticación multifactor
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026 (Japón y el mundo)