Capcom y los 11,7 millones de correos: la partida guardada de una generación, en manos ajenas

Artículo original en inglés: Capcom confirms data breach affecting 11.7 million accounts, de Bill Toulas en BleepingComputer.

En los primeros Resident Evil se guardaba la partida en una máquina de escribir. Hacía falta una cinta de tinta, las cintas eran escasas y cada guardado era una pequeña decisión vital: aquí dejo constancia de lo que he avanzado. Treinta años después, la máquina de escribir se llama CAPCOM ID y la cinta es tu dirección de correo. Esta semana, Capcom ha confirmado que alguien entró en la sala de guardado y se llevó los datos de más de 11,7 millones de cuentas. No es la mansión Spencer, pero da el mismo escalofrío.

Qué había en la máquina de escribir

Según el comunicado recogido por Bill Toulas, los atacantes accedieron a los correos electrónicos de más de 11,7 millones de miembros de CAPCOM ID, el sistema de cuenta compartido para los servicios web de la compañía y algunos de sus juegos en línea. Junto al correo, la fecha de creación de la cuenta, la marca temporal del último acceso, el número de veces que el usuario ha iniciado sesión y la dirección IP utilizada en ese último login.

Hay dos grupos más pequeños y más expuestos. En 43 cuentas se filtraron además fecha de nacimiento, género, apodo y país. Y en 196 cuentas los intrusos fueron un paso más allá: cambiaron la contraseña para dejar fuera a sus dueños, aunque Capcom asegura haberlas restablecido. La empresa sostiene que las contraseñas del resto de miembros registrados no han sido expuestas y que los datos de tarjetas no se han visto afectados. Los servicios siguen operativos.

La cronología, con el reloj en la mano

La secuencia es rápida, lo cual juega a favor de Capcom. El 19 de octubre detectó actividad sospechosa y confirmó el acceso no autorizado. Al día siguiente ya sabía que había información de clientes comprometida. El 21 notificó a la policía japonesa y a la Comisión de Protección de Información Personal del país. El 22 lo contaba BleepingComputer. Cuatro días de la alarma al titular es un plazo razonable; muchas compañías tardan meses en reconocer lo evidente.

Lo que no sabemos es más interesante que lo que sabemos. Capcom afirma haber identificado el método de intrusión y haber aplicado medidas para evitar que se repita, pero no ha dicho cuál fue ese método. Tampoco ha precisado desde qué fecha estaban dentro. Entre “detectamos actividad sospechosa el 19” y “el ataque empezó el 19” hay un abismo que la nota de prensa prefiere no medir.

Umbrella ya había sido asaltada antes

Capcom no es nueva en esto. En noviembre de 2020, la banda de ransomware Ragnar Locker se coló en sus sistemas y presumió de haberse llevado un terabyte de datos; la compañía acabó advirtiendo de que hasta 390.000 personas podían verse afectadas. En abril de 2021 reconoció el punto de entrada: un viejo dispositivo VPN que seguía enchufado a la red. La puerta trasera de la mansión, literalmente.

Seis años después, el incidente es de otra naturaleza (no hay cifrado ni extorsión conocida, de momento), pero la escala se ha multiplicado por treinta. En 2020 la amenaza era que se publicaran documentos internos y datos de un puñado de clientes; en 2026 es la base de usuarios casi entera de una de las editoras más queridas del medio. Es el salto de un robo en la oficina a un robo en la casa de cada jugador.

Una cuenta de jugador no es una cuenta más: es el archivo de guardado de una vida entera frente a la pantalla, y nadie elige a quién se lo confía.

La identidad digital de una generación

Conviene detenerse en qué es hoy una cuenta de videojuegos. Para quien creció con Street Fighter II en los recreativos y hoy juega a Monster Hunter Wilds en el salón, la CAPCOM ID es el hilo que une treinta años de afición: logros, compras, amigos, el apodo que lleva usando desde el instituto. No es la cuenta del banco, pero probablemente sea más antigua que la del banco y, sobre todo, usa la misma dirección de correo que abre el resto de puertas de su vida digital.

Por eso la lista de datos filtrados, que a primera vista parece inofensiva (¿qué daño hace saber cuántas veces he iniciado sesión?), es oro para el phishing. Un correo que diga “Hemos detectado un acceso desde tu IP habitual el 14 de octubre, tu cuenta creada en 2019 corre peligro, verifica aquí” tiene una verosimilitud que ningún príncipe nigeriano soñó jamás. La IP del último acceso, además, sitúa al usuario en una ciudad concreta con poco margen de error. El propio Toulas recoge la única recomendación de Capcom: estar alerta ante comunicaciones no solicitadas, peticiones de información adicional y mensajes con enlaces o adjuntos. Correcto, pero escaso.

Qué hacer si juegas desde España

Primero, cambiar la contraseña de CAPCOM ID aunque la empresa diga que no se ha filtrado. “No ha sido expuesta” es una afirmación sobre lo que Capcom sabe hoy, no una garantía sobre lo que descubrirá mañana. Segundo, activar la verificación en dos pasos si no lo estaba y, sobre todo, cambiar esa misma contraseña en cualquier otro servicio donde se haya reutilizado, que es el pecado original de toda brecha. Tercero, desconfiar durante meses de cualquier correo con el logo de Capcom, por legítimo que parezca: la notificación oficial, según la compañía, llegará por fases y a través de canales regionales. Si el mensaje tiene prisa, probablemente no es de Capcom.

Y cuarto, recordar que un usuario europeo tiene derechos que un usuario japonés no tiene exactamente igual. Capcom opera en la UE a través de su filial europea y está sujeta al RGPD: tiene 72 horas para notificar a la autoridad de control y la obligación de informar a los afectados sin dilación indebida si el riesgo es alto. Si la comunicación no llega o llega vaga, cabe ejercer el derecho de acceso para saber exactamente qué datos tuyos se vieron afectados, y reclamar ante la Agencia Española de Protección de Datos si la respuesta no convence. No es paranoia; es tener el mando en la mano.

La lección que la industria no termina de guardar

Lo más inquietante del caso no es la cifra sino la rutina. Cada pocos meses una gran editora (Sony, Rockstar, Insomniac, ahora Capcom por segunda vez) confirma una brecha, promete medidas y la industria sigue tratando las cuentas de jugador como un servicio secundario, un trámite para acceder al juego. Mientras tanto, esas cuentas acumulan más historial personal que muchas redes sociales. En Resident Evil las cintas de tinta eran limitadas precisamente para que cada guardado importara. Quizá la industria debería tratar así nuestros datos: como algo escaso que no se recupera una vez perdido.