Capcom, la desarrolladora japonesa de videojuegos detrás de franquicias como Resident Evil y Street Fighter, sufrió una brecha de datos que expuso 11,7 millones de registros de usuarios a nivel global, según se informó el 23 de octubre de 2026. El incidente afectaría a jugadores registrados en plataformas de la compañía y plantea interrogantes sobre el manejo de datos personales en la industria del entretenimiento digital.
La información fue reportada por eSecurity Planet y señala que los registros comprometidos incluirían datos de clientes de distintas regiones, aunque el desglose geográfico exacto no fue confirmado de forma oficial al momento de la publicación. Capcom no emitió una declaración pública detallada sobre el alcance del incidente según las fuentes disponibles. Se desconoce si la compañía ya notificó a las autoridades de protección de datos en las jurisdicciones donde opera.
Datos confirmados sobre los 11,7 millones de registros
- Registros expuestos: 11,7 millones, según se informó
- Empresa afectada: Capcom Co., Ltd., con sede en Osaka, Japón
- Fecha de reporte: 23 de octubre de 2026
- Tipos de datos comprometidos: no detallados oficialmente al cierre de esta nota
- Estado de las notificaciones regulatorias: sin confirmar
Qué se sabe y qué falta confirmar
Lo confirmado es el volumen del incidente: 11,7 millones de registros representan una exposición de escala considerable para la industria del gaming. Lo que permanece sin verificación es el tipo exacto de datos involucrados —si incluyen credenciales, datos de pago o información de identificación personal—, el vector de ataque utilizado y si la exfiltración ya se materializó en mercados clandestinos. Tampoco está claro si Capcom activó sus protocolos de respuesta a incidentes conforme a las obligaciones del APPI (Ley de Protección de Información Personal) de Japón, que exige notificación a la Comisión de Protección de Información Personal en casos de brechas que superen los 1.000 registros.
Para usuarios en América Latina, la situación activa derechos concretos. En Brasil, la LGPD (Lei Geral de Proteção de Dados, Lei 13.709/2018) obliga a los titulares de datos a ser notificados en caso de incidentes que puedan acarrearles riesgo o daño, y la ANPD puede iniciar investigaciones de oficio. En Argentina, la Ley 25.326 y las disposiciones de la AAIP establecen un régimen similar. En México, el INAI ha actuado sobre empresas extranjeras con presencia en el país bajo la LFPDPPP. Si Capcom opera bases de datos con registros de usuarios latinoamericanos —lo cual es altamente probable dado el tamaño del mercado regional de videojuegos—, las obligaciones de notificación aplican independientemente de dónde resida el responsable del tratamiento.
El próximo hito crítico es la apertura de un plazo formal de notificación a autoridades: bajo LGPD, ese plazo es de 2 días hábiles desde que el controlador toma conocimiento del incidente; si Capcom no acredita haber cumplido esa ventana ante la ANPD, podría enfrentar una investigación formal en Brasil antes de fin de mes.
