Capcom a confirmé qu'une intrusion dans son système d'adhésion CAPCOM ID a permis d'accéder aux données de comptes appartenant à plus de 11,7 millions de clients, dont les adresses e-mail.
Dans l'alerte publiée le 22 octobre 2026, l'entreprise indique que les autres champs exposés sont la date de création de chaque compte, l'horodatage de sa dernière connexion, le nombre de connexions effectuées et l'adresse IP enregistrée lors de cette dernière connexion.
Deux groupes plus restreints ont été touchés plus profondément. Pour 43 comptes, les dates de naissance, le genre, les pseudonymes et les pays ont également été exposés. Sur 196 comptes, les intrus ont modifié les mots de passe de connexion à CAPCOM ID dans le but d'empêcher leurs titulaires d'y accéder, et Capcom indique les avoir réinitialisés.
Selon l'entreprise, les mots de passe de tous les autres membres inscrits n'ont pas été exposés, et les informations relatives aux cartes de paiement n'ont pas été touchées. CAPCOM ID est l'identifiant unique utilisé pour accéder aux services web de Capcom et jouer à certains de ses jeux en ligne.
Ce que Capcom a déclaré sur la chronologie
L'entreprise n'a pas établi à quel moment l'intrusion a commencé. Elle indique que des activités suspectes ont été détectées et qu'un accès non autorisé a été confirmé le 19 octobre. Une enquête a été ouverte immédiatement et, dès le lendemain, il était clair que des informations sur les clients avaient été compromises. L'incident a été signalé à la police et à la Commission japonaise de protection des informations personnelles le 21 octobre.
Capcom affirme que l'enquête a permis d'établir comment les intrus se sont introduits et que des mesures de sécurité ont été mises en place pour éviter qu'un tel incident se reproduise, mais elle n'a pas communiqué de détails sur l'accès initial. Ses services en ligne, précise-t-elle, ne sont pas affectés.
Les clients concernés seront informés en plusieurs vagues, et des canaux régionaux ont été mis en place pour les demandes d'assistance, selon l'entreprise. Capcom a également invité ses clients à se méfier des communications non sollicitées : courriels demandant des informations supplémentaires et messages contenant des URL ou des pièces jointes.
Capcom avait déjà subi, en novembre 2020, une attaque par rançongiciel revendiquée par le gang Ragnar Locker, qui affirmait avoir dérobé 1 To de données. L'entreprise a ensuite averti que jusqu'à 390 000 personnes pouvaient être concernées et, en avril 2021, elle a révélé que les attaquants étaient entrés par un ancien équipement VPN.
