Capcom otkriva neovlašteni pristup 11,77 milijuna zapisa CAPCOM ID-a

Capcom je u priopćenju za javnost od 22. listopada 2026. objavio da je treća strana neovlašteno pristupila određenim podacima o korisnicima povezanima s uslugom CAPCOM ID, mrežnom uslugom za korisničke račune kojom upravlja, pri čemu je u cijelom svijetu bilo obuhvaćeno 11.774.247 zapisa. Tvrtka sa sjedištem u Osaki ispričala se korisnicima i drugim dionicima te navela da je o incidentu obavijestila Prefekturalnu policiju prefekture Osaka i Japansko povjerenstvo za zaštitu osobnih podataka.

CAPCOM ID jedinstveni je račun koji registriranim korisnicima omogućuje pristup raznim Capcomovim web-uslugama, a potreban je i za mrežno igranje određenih Capcomovih igara. Capcom je izjavio da je proveo potrebne hitne mjere odgovora te da su usluge koje koriste CAPCOM ID i dalje dostupne. Tvrtka je navela da incident ne utječe na mogućnost igrača da pristupe njezinim igrama ili ih igraju.

Obuhvaćeni zapisi i status računa

U priopćenju su obuhvaćeni podaci razvrstani u tri kategorije, a navedene brojke odnose se na stanje od 22. listopada.

Glavna kategorija obuhvaća zapise adresa e-pošte i podatke o identifikatorima specifičnima za sustav (datum i vrijeme izrade računa, datum i vrijeme posljednje prijave, broj prijava te IP adresu klijenta upotrijebljenu pri posljednjoj prijavi), ukupno 11.774.247 zapisa u cijelom svijetu. Od tog ukupnog broja, 43 zapisa sadržavala su i datum rođenja, spol, državu ili regiju te nadimak.

Capcom je potvrdio i da su lozinke na 196 računa iz istog ukupnog broja promijenjene bez ovlaštenja. Tvrtka je navela da su lozinke povezane s tim računima već poništene te da nije potvrdila da su kompromitirane lozinke za prijavu na račune CAPCOM ID-a koje su korisnici izvorno sami postavili. Dodala je da i dalje istražuje opseg mogućih posljedica incidenta.

Podaci o kreditnim karticama nisu bili među obuhvaćenim podacima, a Capcom je izjavio da će obavijestiti korisnike pogođene incidentom.

Vremenski slijed incidenta

Prema priopćenju, Capcom je 19. listopada 2026. otkrio sumnjivu aktivnost koja je upućivala na mogući neovlašteni pristup usluzi CAPCOM ID te je odmah počeo blokirati pristup, istodobno istražujući uzrok i opseg incidenta. Tvrtka je istoga dana potvrdila da je došlo do neovlaštenog pristupa, provela hitne mjere te nastavila utvrđivati i uklanjati način na koji je napad izveden.

Capcom je 20. listopada 2026. osnovao interno sjedište za odgovor na incident te nastavio prikupljati informacije i provoditi mjere za sprječavanje daljnjih posljedica. Istragom je potvrđeno da je određenim korisničkim podacima registriranima uz CAPCOM ID neovlašteno pristupljeno te da su lozinke povezane s ograničenim brojem računa promijenjene bez ovlaštenja. Tvrtka je istoga dana o slučaju izvijestila Odbor za nadzor sigurnosti informacijske tehnologije, svoje vanjsko savjetodavno tijelo.

Capcom je 21. listopada 2026. prijavio incident Prefekturalnoj policiji prefekture Osaka i Japanskom povjerenstvu za zaštitu osobnih podataka. Tvrtka je izjavila da i dalje prati situaciju, istražuje incident i procjenjuje puni opseg njegovih posljedica.

Obavijest korisnicima i kanali za podršku

Adrese e-pošte registrirane uz CAPCOM ID mogu se i dalje upotrebljavati bez prekida, navela je tvrtka. Upozorila je da bi se obuhvaćeni podaci mogli zloupotrijebiti za slanje lažnih poruka e-pošte ili drugih poruka u kojima se pošiljatelj lažno predstavlja kao Capcom ili povezane osobe te savjetovala svima koji prime sumnjivu poruku ili e-poštu da budu oprezni, da ne otvaraju URL-ove sadržane u poruci i da ne otvaraju privitke.

Tvrtka je za ovaj incident uspostavila posebne kanale korisničke podrške. U Japanu je besplatna telefonska linija za podršku 0120-801-271 dostupna od 10:00 do 20:00 JST. Korisnici u Sjevernoj, Srednjoj i Južnoj Americi mogu poslati mrežni obrazac za upit putem stranice korisničke podrške Capcom USA. Korisnici u Europi, na Bliskom istoku i u Africi mogu upotrijebiti obrazac za upit ili poslati e-poštu na [email protected], a korisnici u Aziji izvan Japana i u Oceaniji mogu se obratiti putem [email protected].

Capcom je prethodno u priopćenju od 13. travnja 2021., u kojem su predstavljeni konačni rezultati vanjske istrage, detaljno opisao zaseban incident povezan sa sigurnošću podataka. Prema tom priopćenju, napadači su u listopadu 2020. neovlašteno pristupili internoj mreži tvrtke kibernetičkim napadom na stariji pričuvni VPN uređaj koji se održavao u sjevernoameričkoj podružnici Capcom U.S.A., Inc. Nakon toga kompromitirani su uređaji u uredima tvrtke u SAD-u i Japanu. Ransomware je počeo šifrirati datoteke na pogođenim uređajima kasno 1. studenoga 2020., a Capcom je 2. studenoga 2020. otkrio probleme s povezivošću i na pogođenim uređajima pronašao prijeteću poruku skupine koja se naziva Ragnar Locker.

U priopćenju iz 2021. navedeno je da je u tom incidentu kompromitiranost podataka potvrđena za 15.649 osoba. U njemu je navedeno i da među podacima kojima je prijetio rizik nije bilo podataka o kreditnim karticama jer je internetske transakcije obrađivao pružatelj usluga treće strane u zasebnom sustavu koji nije bio uključen u napad.

Nakon incidenta iz 2020., Capcom je u drugoj polovici siječnja 2021. osnovao Odbor za nadzor sigurnosti informacijske tehnologije kako bi kontinuirano primao preporuke vanjskih stručnjaka. U priopćenju iz 2021. navode se četiri vanjska člana odbora: dva sveučilišna profesora, stručnjaka za kibernetičku sigurnost, odvjetnik specijaliziran za kibernetičku sigurnost i zakonodavstvo o zaštiti osobnih podataka te ovlašteni računovođa, stručnjak za reviziju IT sustava. Riječ je o istom vanjskom savjetodavnom tijelu koje je, prema novom priopćenju, 20. listopada 2026. primilo izvješće tvrtke o incidentu povezanom s CAPCOM ID-om.

U priopćenju koje je potpisao predsjednik i operativni direktor Haruhiro Tsujimoto, Capcom je naveo da je utvrdio i uklonio način napada korišten u incidentu te da cijelu stvar shvaća iznimno ozbiljno. Tvrtka je izjavila da će nastaviti detaljnu istragu i, na temelju njezinih nalaza, provesti mjere za sprječavanje ponavljanja incidenta te dodatno ojačati svoj okvir informacijske sigurnosti. Navela je da će bez odgode objaviti nove informacije na svojem službenom web-mjestu i putem drugih odgovarajućih kanala ako utvrdi dodatne činjenice koje treba objaviti.