Capcom oplyser om uautoriseret adgang til 11,77 millioner CAPCOM ID-poster

Capcom oplyste i en pressemeddelelse af 22. oktober 2026, at visse kundeoplysninger knyttet til CAPCOM ID, den onlinetjeneste til medlemskonti, som virksomheden driver, havde været udsat for uautoriseret adgang fra en tredjepart. I alt var 11.774.247 poster berørt på verdensplan. Den Osaka-baserede virksomhed undskyldte over for kunder og andre interessenter og oplyste, at den havde indberettet hændelsen til politiet i Osaka-præfekturet og Japans kommission for beskyttelse af personoplysninger.

CAPCOM ID er en samlet konto, som brugere kan benytte til at få adgang til forskellige Capcom-webtjenester, og som er nødvendig for at spille visse Capcom-spil online. Capcom oplyste, at virksomheden har gennemført de nødvendige akutte foranstaltninger, og at tjenester, der bruger CAPCOM ID, fortsat er tilgængelige. Hændelsen påvirker ikke spillernes mulighed for at få adgang til eller spille nogen af virksomhedens spil, oplyste Capcom.

Berørte poster og kontostatus

Pressemeddelelsen opdeler de berørte oplysninger i tre kategorier med tal opgjort pr. 22. oktober.

Hovedkategorien omfatter e-mailadresser og systemspecifikke identifikationsoplysninger (dato og tidspunkt for oprettelse af kontoen, dato og tidspunkt for seneste login, antal logins samt klientens IP-adresse ved seneste login). Kategorien omfatter i alt 11.774.247 poster på verdensplan. Af disse indeholdt 43 poster også fødselsdato, køn, land eller region og kaldenavn.

Capcom bekræftede også, at adgangskoder til 196 konti i det samlede antal var blevet ændret uden tilladelse. Virksomheden oplyste, at adgangskoderne til disse konti allerede er blevet nulstillet, og at den ikke har bekræftet, at CAPCOM ID-konti er blevet kompromitteret ved, at loginadgangskoder, som kunderne selv oprindeligt havde oprettet, er blevet tilgået. Capcom oplyste, at virksomheden fortsat undersøger omfanget af eventuelle konsekvenser af hændelsen.

Kreditkortoplysninger var ikke blandt de berørte oplysninger, og Capcom oplyste, at virksomheden vil underrette de kunder, der er berørt af hændelsen.

Tidslinje for hændelsen

Ifølge pressemeddelelsen opdagede Capcom den 19. oktober 2026 mistænkelig aktivitet, der tydede på mulig uautoriseret adgang til CAPCOM ID, og begyndte straks at blokere adgangen, mens virksomheden undersøgte årsagen til og omfanget af hændelsen. Samme dag bekræftede virksomheden, at der havde fundet uautoriseret adgang sted, iværksatte akutte foranstaltninger og fortsatte arbejdet med at identificere og håndtere angrebsmetoden.

Den 20. oktober 2026 etablerede Capcom en intern krisestab til håndtering af hændelsen og fortsatte indsamlingen af oplysninger og arbejdet med at forhindre yderligere konsekvenser. Undersøgelsen bekræftede, at visse kundeoplysninger registreret med CAPCOM ID havde været udsat for uautoriseret adgang, og at adgangskoder til et begrænset antal konti var blevet ændret uden tilladelse. Samme dag indberettede virksomheden sagen til Informationssikkerhedsudvalget, dens eksterne rådgivende organ.

Den 21. oktober 2026 indberettede Capcom hændelsen til politiet i Osaka-præfekturet og Japans kommission for beskyttelse af personoplysninger. Virksomheden oplyste, at den fortsat overvåger situationen, undersøger hændelsen og vurderer konsekvensernes fulde omfang.

Information til kunder og supportkanaler

E-mailadresser, der er registreret med CAPCOM ID, kan fortsat bruges uden afbrydelser, oplyste virksomheden. Den advarede om, at de berørte oplysninger kan blive misbrugt til at sende svigagtige e-mails eller andre meddelelser, hvor afsenderen udgiver sig for at være Capcom eller en part med tilknytning til virksomheden. Alle, der modtager en mistænkelig e-mail eller besked, blev rådet til at være forsigtige og undlade at åbne eventuelle URL-adresser i beskeden eller filer, der er vedhæftet den.

Virksomheden har oprettet særlige supportkanaler for kunder i forbindelse med hændelsen. I Japan er der en gratis supportlinje på 0120-801-271, som er åben fra kl. 10.00 til 20.00 JST. Kunder i Nord-, Central- og Sydamerika kan sende en onlineforespørgsel via Capcom USAs kundesupportside. Kunder i Europa, Mellemøsten og Afrika kan bruge forespørgselsformularen eller sende en e-mail til [email protected], og kunder i Asien uden for Japan samt i Oceanien kan kontakte [email protected].

Capcom beskrev tidligere en separat datasikkerhedshændelse i en pressemeddelelse af 13. april 2021, der fremlagde de endelige resultater af en ekstern undersøgelse. Ifølge pressemeddelelsen fik angribere uautoriseret adgang til virksomhedens interne netværk i oktober 2020 gennem et cyberangreb på en ældre VPN-enhed til sikkerhedskopiering, som blev vedligeholdt hos det nordamerikanske datterselskab Capcom U.S.A., Inc. Enheder på virksomhedens kontorer i USA og Japan blev efterfølgende kompromitteret. Ransomware krypterede filer på de berørte enheder fra sent den 1. november 2020, og Capcom opdagede forbindelsesproblemer den 2. november 2020. På de berørte enheder fandt virksomheden en truende besked fra en gruppe, der kaldte sig Ragnar Locker.

I pressemeddelelsen fra 2021 blev antallet af personer, hvis oplysninger med sikkerhed var blevet kompromitteret i hændelsen, opgjort til 15.649. Ifølge meddelelsen indeholdt ingen af de data, der var i fare, kreditkortoplysninger, fordi onlinetransaktioner blev håndteret af en tredjepartsleverandør på et separat system, som ikke var omfattet af angrebet.

Efter hændelsen i 2020 nedsatte Capcom i anden halvdel af januar 2021 Informationssikkerhedsudvalget for IT med henblik på løbende at modtage anbefalinger fra eksterne eksperter. I meddelelsen fra 2021 beskrives fire eksterne medlemmer af udvalget: to universitetsprofessorer med ekspertise inden for cybersikkerhed, en advokat med speciale i cybersikkerhed og lovgivning om beskyttelse af personoplysninger samt en certificeret revisor med speciale i revision af IT-systemer. Det er det samme eksterne rådgivende organ, som ifølge den nye meddelelse modtog virksomhedens rapport om hændelsen med CAPCOM ID den 20. oktober 2026.

I meddelelsen, der er underskrevet af præsident og driftsdirektør Haruhiro Tsujimoto, oplyste Capcom, at virksomheden har identificeret og håndteret den angrebsmetode, der blev anvendt ved hændelsen, og tager sagen yderst alvorligt. Virksomheden oplyste, at den vil fortsætte den grundige undersøgelse og på baggrund af resultaterne iværksætte tiltag for at forhindre gentagelser og yderligere styrke sine rammer for informationssikkerhed. Den oplyste, at den hurtigt vil offentliggøre opdateringer på sit officielle website og via andre relevante kanaler, hvis der identificeres yderligere oplysninger, som skal offentliggøres.