Capcom hat bestätigt, dass ein Eindringen in das Mitgliedersystem CAPCOM ID Kontodaten von mehr als 11,7 Millionen Kunden erreicht hat. Unter den betroffenen Daten sind E-Mail-Adressen.
In der am 22. Oktober 2026 veröffentlichten Warnmeldung nennt das Unternehmen weitere betroffene Felder: das Datum, an dem jedes Konto angelegt wurde, den Zeitstempel der letzten Anmeldung, die Anzahl der Anmeldungen sowie die IP-Adresse, die bei dieser letzten Anmeldung erfasst wurde.
Zwei kleinere Gruppen waren tiefer betroffen. Bei 43 Konten wurden zusätzlich Geburtsdaten, Geschlecht, Spitznamen und Länder offengelegt. Bei 196 Konten änderten die Eindringlinge die Passwörter für die CAPCOM ID, offenbar um die Inhaber auszusperren. Capcom erklärte, diese Passwörter zurückgesetzt zu haben.
Laut dem Unternehmen waren die Passwörter aller übrigen registrierten Mitglieder nicht offengelegt, und Zahlungskartendaten blieben unberührt. Die CAPCOM ID ist die gemeinsame Anmeldung für die Webdienste von Capcom und für das Spielen einiger Online-Titel des Unternehmens.
Was Capcom über den Zeitablauf mitgeteilt hat
Wann das Eindringen selbst begann, hat das Unternehmen nicht ermittelt. Laut Capcom wurden verdächtige Aktivitäten am 19. Oktober entdeckt und ein unbefugter Zugriff bestätigt. Die Untersuchung begann sofort, und am folgenden Tag war klar, dass Kundendaten kompromittiert worden waren. Der Vorfall wurde am 21. Oktober der Polizei und der japanischen Datenschutzbehörde Personal Information Protection Commission gemeldet.
Laut Capcom hat die Untersuchung ergeben, wie die Angreifer eingedrungen sind, und es wurden Sicherheitsmaßnahmen eingeführt, um eine Wiederholung zu verhindern. Details zum ersten Zugriff hat das Unternehmen jedoch nicht mitgeteilt. Seine Online-Dienste seien nach eigenen Angaben nicht betroffen.
Betroffene Kunden werden laut dem Unternehmen stufenweise benachrichtigt, und für Supportanfragen wurden laut dem Unternehmen regionale Kanäle eingerichtet. Capcom forderte Kunden außerdem auf, bei unaufgeforderten Nachrichten vorsichtig zu sein, also bei E-Mails, die nach zusätzlichen Informationen fragen, und bei Nachrichten mit URLs oder Anhängen.
Capcom hatte sich bereits im November 2020 mit einem Ransomware-Angriff auseinanderzusetzen, den die Bande Ragnar Locker für sich reklamierte. Sie gab an, 1 TB Daten erbeutet zu haben. Das Unternehmen warnte später, dass bis zu 390.000 Menschen betroffen sein könnten, und im April 2021 teilte es mit, dass die Angreifer über ein altes VPN-Gerät eingedrungen waren.
