Capcom révèle l’accès non autorisé à 11,77 millions d’enregistrements de CAPCOM ID

Dans un communiqué de presse du 22 octobre 2026, Capcom a indiqué que certaines informations sur les clients associées à CAPCOM ID, le service de compte en ligne qu’elle exploite, avaient fait l’objet d’un accès non autorisé par un tiers, touchant 11 774 247 enregistrements dans le monde. L’entreprise, dont le siège se trouve à Osaka, a présenté ses excuses aux clients et aux autres parties prenantes et a déclaré avoir signalé l’incident à la police préfectorale d’Osaka et à la Commission japonaise de protection des informations personnelles.

CAPCOM ID est un compte unique qui permet aux personnes inscrites d’accéder à différents services Web de Capcom et qui est nécessaire pour jouer en ligne à certains jeux Capcom. Capcom a indiqué avoir achevé les mesures d’urgence nécessaires et précisé que les services utilisant CAPCOM ID restent disponibles. Selon l’entreprise, l’incident n’a aucune incidence sur la capacité des joueurs à accéder à ses jeux ni à y jouer.

Enregistrements concernés et état des comptes

Le communiqué répartit les informations concernées en trois catégories, avec des chiffres arrêtés au 22 octobre.

La catégorie principale comprend les adresses e-mail et les informations d’identification propres au système (la date et l’heure de création du compte, la date et l’heure de la dernière connexion, le nombre de connexions et l’adresse IP du client utilisée lors de la dernière connexion), soit un total mondial de 11 774 247 enregistrements. Parmi ceux-ci, 43 comportaient également la date de naissance, le genre, le pays ou la région et le pseudonyme.

Capcom a également confirmé que les mots de passe de 196 comptes appartenant à ce même total avaient été modifiés sans autorisation. L’entreprise a indiqué que les mots de passe associés à ces comptes avaient déjà été réinitialisés et qu’elle n’avait confirmé aucune compromission des mots de passe de connexion aux comptes CAPCOM ID initialement définis par les clients eux-mêmes. Elle a précisé poursuivre son enquête afin d’évaluer l’étendue des répercussions de l’incident.

Les informations concernées ne comprenaient aucune donnée de carte bancaire, et Capcom a indiqué qu’elle informerait les clients touchés par l’incident.

Chronologie de l’incident

Selon le communiqué, Capcom a détecté le 19 octobre 2026 une activité suspecte laissant penser qu’un accès non autorisé à CAPCOM ID était possible et a immédiatement commencé à bloquer cet accès, tout en enquêtant sur la cause et l’étendue de l’incident. Le même jour, l’entreprise a confirmé qu’un accès non autorisé avait eu lieu, mis en œuvre des mesures d’urgence et entrepris d’identifier et de neutraliser le mode opératoire de l’attaque.

Le 20 octobre 2026, Capcom a mis en place une cellule de crise interne et poursuivi la collecte d’informations ainsi que les mesures visant à prévenir toute nouvelle répercussion. L’enquête a confirmé que certaines informations sur les clients enregistrées dans CAPCOM ID avaient fait l’objet d’un accès non autorisé et que les mots de passe d’un nombre limité de comptes avaient été modifiés sans autorisation. Le même jour, l’entreprise a signalé l’incident au Comité de supervision de la sécurité des technologies de l’information, son organe consultatif externe.

Le 21 octobre 2026, Capcom a signalé l’incident à la police préfectorale d’Osaka et à la Commission japonaise de protection des informations personnelles. L’entreprise a indiqué qu’elle continuait de surveiller la situation, d’enquêter sur l’incident et d’évaluer l’ampleur totale de ses répercussions.

Conseils aux clients et moyens de contacter l’assistance

Les adresses e-mail enregistrées dans CAPCOM ID peuvent continuer à être utilisées sans interruption, a indiqué l’entreprise. Elle a averti que les informations concernées pourraient être utilisées à mauvais escient pour envoyer des courriels frauduleux ou d’autres communications se faisant passer pour Capcom ou des parties liées, et a recommandé à toute personne recevant un courriel ou un message suspect de faire preuve de prudence, de ne pas consulter les URL qu’il contient et de ne pas ouvrir les pièces jointes.

L’entreprise a mis en place des moyens de contact dédiés aux clients au sujet de l’incident. Au Japon, une ligne d’assistance gratuite, le 0120-801-271, est ouverte de 10 h à 20 h, heure normale du Japon (JST). Les clients d’Amérique du Nord, d’Amérique centrale et d’Amérique du Sud peuvent envoyer une demande en ligne depuis la page d’assistance de Capcom USA. Les clients d’Europe, du Moyen-Orient et d’Afrique peuvent utiliser le formulaire de demande ou envoyer un e-mail à [email protected], tandis que ceux d’Asie hors Japon et d’Océanie peuvent contacter [email protected].

Capcom avait précédemment détaillé un autre incident de sécurité des données dans un communiqué du 13 avril 2021, qui présentait les résultats définitifs d’une enquête externe. Selon ce communiqué, des attaquants avaient accédé sans autorisation au réseau interne de l’entreprise en octobre 2020, à la suite d’une cyberattaque visant un ancien appareil VPN de sauvegarde géré par sa filiale nord-américaine Capcom U.S.A., Inc. Des appareils situés dans les bureaux américains et japonais de l’entreprise avaient ensuite été compromis. À partir de la fin de la journée du 1er novembre 2020, un rançongiciel avait chiffré des fichiers sur les appareils touchés. Le 2 novembre 2020, Capcom avait détecté des problèmes de connexion et trouvé sur les appareils concernés un message de menace émanant d’un groupe se faisant appeler Ragnar Locker.

Le communiqué de 2021 estimait à 15 649 le nombre de personnes dont les informations avaient été confirmées comme compromises lors de cet incident. Il précisait qu’aucune des données exposées à un risque ne comprenait d’informations de carte bancaire, car les transactions en ligne étaient prises en charge par un prestataire tiers, au moyen d’un système distinct qui n’avait pas été concerné par l’attaque.

À la suite de l’incident de 2020, Capcom a créé le Comité de supervision de la sécurité des technologies de l’information dans la seconde moitié de janvier 2021 afin de recevoir en continu les recommandations d’experts externes. Le communiqué de 2021 décrit quatre membres externes du comité : deux professeurs d’université spécialistes de la cybersécurité, un avocat spécialisé en cybersécurité et en droit de la protection des données personnelles, ainsi qu’un expert-comptable agréé spécialiste de l’audit des systèmes informatiques. Il s’agit du même organe consultatif externe qui, selon le nouveau communiqué, a reçu le rapport de l’entreprise sur l’incident lié aux CAPCOM ID le 20 octobre 2026.

Dans le communiqué signé par Haruhiro Tsujimoto, président et directeur des opérations, Capcom a déclaré avoir identifié et corrigé la méthode d’attaque utilisée lors de l’incident et prendre la situation très au sérieux. L’entreprise a indiqué qu’elle poursuivrait son enquête approfondie et qu’elle mettrait en place, sur la base des conclusions, des mesures pour prévenir toute récidive et renforcer davantage son dispositif de sécurité de l’information. Elle a précisé qu’elle communiquerait rapidement toute nouvelle information sur son site officiel et par d’autres canaux appropriés si d’autres faits devant être divulgués étaient identifiés.