Capcom paljastaa luvattoman pääsyn 11,77 miljoonaan CAPCOM ID -tietueeseen

Capcom kertoi 22. lokakuuta 2026 julkaistussa tiedotteessa, että kolmas osapuoli oli päässyt luvatta käsiksi tiettyihin sen ylläpitämään CAPCOM ID -verkkopalveluun liittyviin asiakastietoihin. Tapauksessa vaarantui yhteensä 11 774 247 tietuetta eri puolilla maailmaa. Osakalaisyhtiö pyysi anteeksi asiakkailta ja muilta sidosryhmiltä ja kertoi ilmoittaneensa tapauksesta Osakan prefektuurin poliisille ja Japanin henkilötietosuojakomissiolle.

CAPCOM ID on yhtenäinen käyttäjätili, jonka avulla rekisteröityneet käyttäjät voivat käyttää Capcomin eri verkkopalveluja ja jota tarvitaan joidenkin Capcom-pelien pelaamiseen verkossa. Capcom kertoi saaneensa päätökseen tarvittavat kiireelliset torjuntatoimet ja että CAPCOM ID:tä käyttävät palvelut ovat edelleen käytettävissä. Yhtiön mukaan tapaus ei vaikuta pelaajien mahdollisuuteen käyttää sen pelejä tai pelata niitä.

Vaikutuksen kohteena olevat tietueet ja tilien tila

Tiedotteessa vaikutuksen kohteena olevat tiedot jaetaan kolmeen luokkaan. Luvut ovat tilanteen mukaiset 22. lokakuuta.

Suurin luokka sisältää sähköpostiosoitteita ja järjestelmäkohtaisia tunnistetietoja (tilin luontipäivän ja -ajan, viimeisimmän kirjautumisen päivämäärän ja kellonajan, kirjautumisten määrän sekä viimeisimmässä kirjautumisessa käytetyn asiakas-IP-osoitteen). Näitä tietueita oli maailmanlaajuisesti yhteensä 11 774 247. Näistä 43 sisälsi lisäksi syntymäajan, sukupuolen, maan tai alueen ja nimimerkin.

Capcom vahvisti myös, että 196:llä tähän kokonaismäärään sisältyvällä tilillä oli vaihdettu salasana luvatta. Yhtiön mukaan kyseisten tilien salasanat on jo palautettu, eikä se ole vahvistanut, että asiakkaiden itse alun perin asettamia CAPCOM ID -tilien kirjautumissalasanoja olisi vaarantunut. Yhtiö kertoi jatkavansa tapauksen mahdollisten vaikutusten laajuuden selvittämistä.

Luottokorttitiedot eivät sisältyneet vaarantuneisiin tietoihin, ja Capcom kertoi ilmoittavansa tapauksesta kärsineille asiakkaille.

Tapahtumien aikajana

Tiedotteen mukaan Capcom havaitsi 19. lokakuuta 2026 epäilyttävää toimintaa, joka viittasi mahdolliseen luvattomaan pääsyyn CAPCOM ID:hen, ja ryhtyi heti estämään pääsyä selvittäessään tapauksen syytä ja laajuutta. Yhtiö vahvisti samana päivänä, että luvatonta pääsyä oli tapahtunut, käynnisti kiireelliset torjuntatoimet ja ryhtyi selvittämään ja torjumaan hyökkäystapaa.

Capcom perusti 20. lokakuuta 2026 sisäisen kriisiryhmän ja jatkoi tietojen keräämistä sekä toimia lisävahinkojen ehkäisemiseksi. Tutkinnassa vahvistui, että tiettyihin CAPCOM ID:hen rekisteröityihin asiakastietoihin oli päästy luvatta käsiksi ja että rajallisen määrän tileihin liittyviä salasanoja oli vaihdettu luvatta. Yhtiö ilmoitti asiasta samana päivänä ulkoiselle neuvonantoelimelleen, tietotekniikan tietoturvan valvontakomitealle.

Capcom ilmoitti tapauksesta 21. lokakuuta 2026 Osakan prefektuurin poliisille ja Japanin henkilötietosuojakomissiolle. Yhtiö kertoi seuraavansa tilannetta, tutkivansa tapausta ja arvioivansa vaikutusten koko laajuutta.

Asiakastiedote ja tukikanavat

Yhtiön mukaan CAPCOM ID:hen rekisteröityjä sähköpostiosoitteita voi edelleen käyttää keskeytyksettä. Se varoitti, että vaarantuneita tietoja voidaan käyttää vilpillisten sähköpostien tai muiden viestien lähettämiseen Capcomin tai siihen liittyvien tahojen nimissä. Epäilyttävän sähköpostin tai viestin saaneita kehotettiin olemaan varovaisia sekä välttämään viestissä olevien URL-osoitteiden avaamista ja liitetiedostojen avaamista.

Yhtiö on perustanut tapausta varten erilliset asiakastuen yhteydenottokanavat. Japanissa maksuton tukipuhelin 0120-801-271 palvelee kello 10.00–20.00 JST-aikaa. Pohjois-, Keski- ja Etelä-Amerikassa asiakkaat voivat lähettää verkkolomakkeen Capcom USA:n asiakastukisivun kautta. Euroopassa, Lähi-idässä ja Afrikassa asiakkaat voivat käyttää yhteydenottolomaketta tai lähettää sähköpostia osoitteeseen [email protected], ja Japanin ulkopuolisessa Aasiassa sekä Oseaniassa asiakkaat voivat ottaa yhteyttä osoitteeseen [email protected].

Capcom käsitteli erillistä tietoturvaloukkausta aiemmin 13. huhtikuuta 2021 julkaistussa tiedotteessa, jossa esiteltiin ulkoisen tutkinnan lopulliset tulokset. Tiedotteen mukaan hyökkääjät pääsivät lokakuussa 2020 luvatta yhtiön sisäiseen verkkoon kyberhyökkäyksellä, joka kohdistui sen Pohjois-Amerikan tytäryhtiön Capcom U.S.A., Inc.:n ylläpitämään vanhempaan varmuuskopioinnissa käytettyyn VPN-laitteeseen. Tämän jälkeen yhtiön Yhdysvaltojen ja Japanin toimistojen laitteita vaarantui. Kiristyshaittaohjelma salasi vaarantuneiden laitteiden tiedostoja 1. marraskuuta 2020 myöhäisillasta alkaen. Capcom havaitsi yhteysongelmia 2. marraskuuta 2020 ja löysi vaarantuneista laitteista uhkaavan viestin ryhmältä, joka kutsui itseään Ragnar Lockeriksi.

Vuoden 2021 tiedotteen mukaan kyseisessä tapauksessa vaarantuneeksi vahvistettua tietoa koski 15 649 ihmistä. Tiedotteen mukaan vaarassa olleisiin tietoihin ei sisältynyt luottokorttitietoja, sillä verkkomaksut käsitteli kolmannen osapuolen palveluntarjoaja erillisessä järjestelmässä, joka ei ollut osallisena hyökkäyksessä.

Vuoden 2020 tapauksen jälkeen Capcom perusti tammikuun 2021 jälkipuoliskolla tietotekniikan tietoturvan valvontakomitean, jotta se saisi jatkuvasti suosituksia ulkopuolisilta asiantuntijoilta. Vuoden 2021 tiedotteessa kuvataan komitean neljä ulkopuolista jäsentä: kaksi kyberturvallisuuteen erikoistunutta yliopistoprofessoria, kyberturvallisuuteen ja henkilötietojen suojaa koskevaan lainsäädäntöön erikoistunut juristi sekä auktorisoitu tilintarkastaja, joka on erikoistunut IT-järjestelmien auditointiin. Kyseessä on sama ulkopuolinen neuvonantajaelin, jolle yhtiö uuden tiedotteen mukaan kertoi CAPCOM ID -tapauksesta 20. lokakuuta 2026.

Yhtiön toimitusjohtajan ja operatiivisen johtajan Haruhiro Tsujimoton allekirjoittamassa tiedotteessa Capcom kertoi tunnistaneensa ja korjanneensa tapauksessa käytetyn hyökkäysmenetelmän ja suhtautuvansa asiaan erittäin vakavasti. Yhtiö kertoi jatkavansa perusteellista tutkintaa ja toteuttavansa havaintojen perusteella toimenpiteitä, joilla estetään vastaavien tapausten toistuminen ja vahvistetaan entisestään sen tietoturvan hallintajärjestelmää. Yhtiö kertoi tiedottavansa uusista tiedoista viipymättä virallisella verkkosivustollaan ja muissa asianmukaisissa kanavissa, jos tutkinnassa ilmenee muita julkistamista edellyttäviä seikkoja.