Brecha en Capcom expone 11,7 millones de correos de jugadores

Capcom ha confirmado que un intruso sustrajo datos de clientes de Capcom ID, la cuenta que utilizan los jugadores para acceder a los servicios web de la compañía y jugar en línea a algunos de sus títulos. El botín incluye más de once millones de direcciones de correo electrónico, cada una acompañada de la fecha de creación de la cuenta, la hora del último inicio de sesión, el número de veces que se ha iniciado sesión y la dirección IP utilizada en el último acceso. Esa combinación es lo que hace que la filtración resulte útil para los delincuentes: un estafador que conozca tu dirección, sepa que juegas a títulos de Capcom y tenga una idea aproximada de dónde te conectaste por última vez puede redactar un correo falso de atención al cliente muy convincente.

Para quienes se crearon una cuenta para jugar en línea al último Street Fighter o utilizar una web de Capcom, el riesgo práctico es una oleada de intentos de suplantación de identidad, no que les vacíen la cuenta bancaria. La compañía responsable de Resident Evil, Monster Hunter y Mega Man afirma que entre los datos afectados no había información de tarjetas de crédito y no ha confirmado que se hayan filtrado las contraseñas elegidas por los propios clientes. Su consejo es claro: si recibes un mensaje que diga proceder de Capcom o de una empresa relacionada, no abras sus enlaces ni sus archivos adjuntos.

La cifra exacta que aparece en el aviso de Capcom es de 11.774.247 registros en todo el mundo. Un grupo mucho más reducido salió peor parado. En 43 cuentas, los datos expuestos también incluyen la fecha de nacimiento, el género, el país o la región y el apodo. En 196 cuentas, los atacantes cambiaron la contraseña de acceso sin autorización, algo que BleepingComputer interpretó como un intento de impedir que sus titulares accedieran a ellas. Capcom afirma que ha restablecido esas contraseñas y que todos los servicios vinculados a Capcom ID, incluidos los juegos, siguen funcionando.

El aviso deja sin respuesta las preguntas más importantes. Capcom dice que ha identificado y neutralizado el método del ataque, pero no lo describe ni ha indicado cuánto tiempo tuvo acceso el intruso antes de que se detectara su actividad. Los cambios de contraseña también resultan difíciles de encajar con las garantías sobre las contraseñas: quien restableció las de esos 196 accesos tuvo alguna forma de entrar en los controles de las cuentas, aunque no viera las contraseñas originales. Según Help Net Security, ningún grupo ha reivindicado el ataque, y Capcom afirma que sigue investigando todo el alcance del incidente.

Los jugadores no tienen que abandonar su dirección de correo electrónico, ya que Capcom asegura que pueden seguir utilizando las direcciones registradas. Las medidas útiles son las de siempre, aunque esta filtración hace que sean más urgentes. Cambia la contraseña de Capcom ID si la reutilizas en otros servicios. Desconfía de cualquier mensaje que mencione el historial de tu cuenta, un inicio de sesión reciente o un problema de seguridad con tu perfil, porque ese contexto es precisamente lo que se ha filtrado. Entra directamente en las páginas de asistencia de Capcom, en lugar de seguir un enlace incluido en un correo electrónico.

Capcom afirma que detectó la actividad sospechosa el 19 de octubre y la bloqueó ese mismo día; el 20 de octubre estableció un centro interno de respuesta a incidentes y, el 21 de octubre, informó de la brecha a la Policía Prefectural de Osaka y a la Comisión de Protección de Información Personal de Japón, antes de publicar sus disculpas el 22 de octubre. La empresa se pondrá en contacto con los clientes afectados por fases, según BleepingComputer, y ha habilitado canales de asistencia específicos: una línea gratuita en Japón, formularios de consulta en línea para América y para Europa, Oriente Medio y África, y una dirección de correo electrónico para Asia y Oceanía.

La magnitud del incidente no tiene precedentes para Capcom. Su última brecha importante, un ataque de ransomware de Ragnar Locker en noviembre de 2020, afectó a la red interna de la compañía y pudo haber alcanzado a 390.000 personas, según Capcom, que más tarde atribuyó el acceso inicial a un dispositivo VPN antiguo. En aquella ocasión, el objetivo fueron los sistemas internos de la empresa. Esta vez, ha sido la cuenta que utilizan millones de jugadores para iniciar sesión.

Etiquetas: ciberseguridad, videojuegos, David Dastmalchian, Kali Reis, Street Fighter, Cody Rhodes, Callina Liang, Capcom, filtración de datos, phishing