Capcom pierde 11,7 millones de cuentas y los ID de videojuegos siguen sin tomarse en serio

Si un banco perdiera 11,7 millones de registros de clientes, nadie diría «bueno, al menos solo eran correos». Cuando lo hace una editora de videojuegos, la reacción se parece más a un encogerse de hombros. Esa diferencia en cómo reaccionamos es, a nuestro juicio, la verdadera historia de la filtración de Capcom.

Capcom ha confirmado que unos hackers vulneraron CAPCOM ID, el sistema de cuentas compartido que hay detrás de sus servicios web y de algunos juegos online. La compañía detectó actividad sospechosa y confirmó el acceso no autorizado el 19 de octubre. Según Help Net Security, los atacantes obtuvieron 11.774.247 registros con direcciones de correo electrónico, la fecha de creación de la cuenta, la hora del último inicio de sesión, el número de inicios de sesión y la dirección IP del acceso más reciente.

Un grupo mucho menor salió peor parado. En 43 registros se expusieron además la fecha de nacimiento, el género, el apodo y el país o región. Los atacantes cambiaron las contraseñas de 196 cuentas y, en una actualización posterior, Capcom indicó que llegaron a las páginas de la tienda e-Capcom de 19 de ellas, con nombres, números de teléfono, direcciones e historiales de compras. Capcom asegura que no se ha confirmado que las contraseñas establecidas por los clientes se hayan visto comprometidas y que los datos de las tarjetas no se vieron afectados. No ha explicado cómo entraron los atacantes.

«Solo correos» es una mala forma de leerlo

La propia versión de Capcom, y buena parte de la cobertura, se apoya en lo que no se llevaron: ni contraseñas ni tarjetas. Es una buena noticia y no queremos quitarle importancia. Pero un correo electrónico asociado a una editora concreta, una IP del último acceso y un contador de inicios de sesión son una lista de objetivos ya preparada. Como señala TechRadar, un correo por sí solo no basta para un ataque serio, pero es un buen punto de partida para un mensaje de phishing a medida. La propia Capcom advirtió a los usuarios de mensajes convincentes que se hacen pasar por la compañía.

Los 196 cambios de contraseña forzados son, para nosotros, el detalle más revelador. Alguien no se limitó a copiar datos: actuó sobre las cuentas, al parecer para dejar fuera a sus dueños. Eso no es lo que parece una fuga pasiva. Sugiere que los atacantes podían hacer más que leer, y eso debería preocupar a cualquiera que vea el ID de juegos como un acceso desechable.

El patrón importa más que la cifra

No es el primer incidente de Capcom. En noviembre de 2020 sufrió un ataque de ransomware que, según la crónica de BleepingComputer, se rastreó después hasta un viejo dispositivo VPN. Otras fuentes apuntan además a un año movido para el sector: Rockstar Games confirmó un ataque en abril y Valve avisó en agosto a los clientes europeos de Steam tras un ataque a un socio logístico.

Hay que ser prudentes: se desconoce el punto de entrada y sería especular decir que es el mismo tipo de fallo que en 2020. Pero el patrón es lo bastante claro para una opinión. Las editoras acumulan identidades a la escala de una gran plataforma de consumo, y el mercado parece seguir premiándolas por tratar esos datos como un efecto secundario de vender juegos. Una sola cuenta que abarca a millones de jugadores es un activo concentrado, y debería defenderse como tal.

Capcom debería contar más, guardar menos, y los jugadores confiar menos

Primero, la transparencia. Capcom actuó con rapidez según la cronología conocida: detección el 19 de octubre, aviso a la policía y al regulador el 21 y comunicado público el 22. Es razonable. Pero decir que identificó y abordó el método del ataque sin contar nada sobre cuál fue deja a los jugadores sin poder valorar su propio riesgo. Creemos que reguladores y clientes deberían esperar más franqueza técnica, y no menos, cuando termine la investigación.

Segundo, la minimización de datos. Si un sistema de acceso solo necesita un correo para funcionar, ¿por qué conservar el recuento de inicios de sesión y el historial de IP de cada cuenta? Cada campo adicional es algo que se puede perder.

Tercero, un consejo práctico para los jugadores: desconfía de cualquier correo que mencione a Capcom, no pulses enlaces ni abras archivos adjuntos y usa una contraseña distinta para cada servicio en el que te registres. Capcom dice que las direcciones de correo registradas en CAPCOM ID se pueden seguir utilizando.

Nuestro veredicto: esta filtración no es la más dañina que hemos visto y la respuesta de Capcom parece razonablemente rápida. Pero la idea de que las cuentas de videojuegos valen poco es justo lo que facilita descuidarlas. Con 11,7 millones de registros, una editora es una plataforma de consumo y debe ser juzgada como tal.