Capcom Mengungkap Akses Tanpa Izin terhadap 11,77 Juta Catatan CAPCOM ID

Capcom menyatakan dalam siaran pers tanggal 22 Oktober 2026 bahwa pihak ketiga telah mengakses tanpa izin sejumlah informasi pelanggan yang terkait dengan CAPCOM ID, layanan akun keanggotaan daring yang dioperasikannya. Sebanyak 11.774.247 catatan terdampak di seluruh dunia. Perusahaan yang berbasis di Osaka itu meminta maaf kepada pelanggan dan pemangku kepentingan lainnya serta menyatakan telah melaporkan insiden tersebut kepada Kepolisian Prefektur Osaka dan Komisi Perlindungan Informasi Pribadi Jepang.

CAPCOM ID adalah akun terpadu yang dapat digunakan pendaftar untuk mengakses berbagai layanan web Capcom dan diperlukan untuk memainkan gim Capcom tertentu secara daring. Capcom menyatakan telah menyelesaikan langkah-langkah tanggap darurat yang diperlukan dan layanan yang menggunakan CAPCOM ID tetap tersedia. Menurut perusahaan, insiden ini tidak memengaruhi kemampuan pemain untuk mengakses atau memainkan gimnya.

Catatan Terdampak dan Status Akun

Siaran pers tersebut membagi informasi yang terdampak ke dalam tiga kategori, dengan angka per 22 Oktober.

Kategori utama mencakup catatan alamat email dan informasi pengenal khusus sistem (tanggal dan waktu pembuatan akun, tanggal dan waktu login terakhir, jumlah login, serta alamat IP klien yang digunakan saat login terakhir), dengan total 11.774.247 catatan di seluruh dunia. Dari jumlah tersebut, 43 catatan juga memuat tanggal lahir, jenis kelamin, negara atau wilayah, dan nama panggilan.

Capcom juga mengonfirmasi bahwa kata sandi pada 196 akun dalam jumlah tersebut telah diubah tanpa izin. Perusahaan menyatakan bahwa kata sandi yang terkait dengan akun-akun itu telah diatur ulang dan pihaknya belum mengonfirmasi adanya pembobolan kata sandi login akun CAPCOM ID yang awalnya ditetapkan sendiri oleh pelanggan. Capcom menyatakan bahwa penyelidikan masih berlangsung untuk mengetahui cakupan dampak yang ditimbulkan oleh insiden tersebut.

Informasi kartu kredit tidak termasuk dalam informasi yang terdampak, dan Capcom menyatakan akan memberi tahu pelanggan yang terkena dampak insiden tersebut.

Kronologi Insiden

Menurut siaran pers tersebut, Capcom mendeteksi aktivitas mencurigakan yang mengindikasikan kemungkinan akses tanpa izin ke CAPCOM ID pada 19 Oktober 2026 dan segera mulai memblokir akses tersebut sambil menyelidiki penyebab serta cakupan insiden. Pada hari yang sama, perusahaan mengonfirmasi bahwa akses tanpa izin telah terjadi, menerapkan langkah-langkah darurat, lalu melanjutkan upaya mengidentifikasi dan menangani metode serangan.

Pada 20 Oktober 2026, Capcom membentuk pusat tanggap insiden internal dan melanjutkan pengumpulan informasi serta penerapan langkah-langkah untuk mencegah dampak lebih lanjut. Penyelidikan mengonfirmasi bahwa sejumlah informasi pelanggan yang terdaftar di CAPCOM ID telah diakses tanpa izin dan kata sandi yang terkait dengan sejumlah kecil akun telah diubah tanpa izin. Pada hari yang sama, perusahaan melaporkan kejadian tersebut kepada Komite Pengawasan Keamanan Teknologi Informasi, badan penasihat eksternalnya.

Pada 21 Oktober 2026, Capcom melaporkan insiden tersebut kepada Kepolisian Prefektur Osaka dan Komisi Perlindungan Informasi Pribadi Jepang. Perusahaan menyatakan bahwa pihaknya terus memantau situasi, menyelidiki insiden, dan menilai keseluruhan cakupan dampaknya.

Imbauan kepada Pelanggan dan Saluran Dukungan

Alamat email yang terdaftar di CAPCOM ID dapat terus digunakan tanpa gangguan, menurut perusahaan. Capcom memperingatkan bahwa informasi yang terdampak dapat disalahgunakan untuk mengirim email penipuan atau komunikasi lain yang mengatasnamakan Capcom maupun pihak terkait, serta mengimbau siapa pun yang menerima email atau pesan mencurigakan agar berhati-hati, tidak mengakses URL yang tercantum dalam pesan, dan tidak membuka lampiran apa pun.

Perusahaan telah menyediakan saluran dukungan pelanggan khusus untuk menangani insiden ini. Di Jepang, layanan dukungan bebas pulsa 0120-801-271 beroperasi pukul 10.00 hingga 20.00 JST. Pelanggan di Amerika Utara, Amerika Tengah, dan Amerika Selatan dapat mengirimkan formulir pertanyaan daring melalui halaman dukungan pelanggan Capcom USA. Pelanggan di Eropa, Timur Tengah, dan Afrika dapat menggunakan formulir pertanyaan atau mengirim email ke [email protected], sedangkan pelanggan di Asia di luar Jepang dan di Oseania dapat menghubungi [email protected].

Capcom sebelumnya menguraikan insiden keamanan data terpisah dalam siaran pers tanggal 13 April 2021 yang memaparkan hasil akhir penyelidikan eksternal. Menurut siaran pers tersebut, penyerang memperoleh akses tanpa izin ke jaringan internal perusahaan pada Oktober 2020 melalui serangan siber terhadap perangkat VPN cadangan lama yang dikelola oleh anak perusahaan di Amerika Utara, Capcom U.S.A., Inc. Perangkat di kantor perusahaan di Amerika Serikat dan Jepang kemudian dibobol. Ransomware mengenkripsi berkas pada perangkat yang terdampak mulai larut malam 1 November 2020, dan Capcom mendeteksi masalah konektivitas pada 2 November 2020 serta menemukan pesan ancaman di perangkat yang terdampak dari kelompok yang menyebut dirinya Ragnar Locker.

Siaran pers tahun 2021 menyebutkan bahwa informasi yang dipastikan telah dibobol dalam insiden tersebut berkaitan dengan 15.649 orang. Disebutkan bahwa tidak ada data berisiko yang memuat informasi kartu kredit, karena transaksi daring ditangani oleh penyedia layanan pihak ketiga melalui sistem terpisah yang tidak terlibat dalam serangan tersebut.

Setelah insiden 2020, Capcom membentuk Komite Pengawasan Keamanan Teknologi Informasi pada paruh kedua Januari 2021 untuk menerima rekomendasi secara berkelanjutan dari para pakar eksternal. Rilis tahun 2021 tersebut menyebutkan empat anggota komite eksternal: dua profesor universitas yang merupakan pakar keamanan siber, seorang pengacara yang berspesialisasi dalam keamanan siber dan hukum perlindungan informasi pribadi, serta seorang akuntan publik bersertifikat yang merupakan spesialis audit sistem TI. Menurut rilis terbaru, badan penasihat eksternal yang sama ini menerima laporan perusahaan mengenai insiden CAPCOM ID pada 20 Oktober 2026.

Dalam rilis yang ditandatangani oleh Presiden dan COO Haruhiro Tsujimoto, Capcom mengatakan bahwa pihaknya telah mengidentifikasi dan menangani metode serangan yang digunakan dalam insiden tersebut serta menganggap masalah ini sangat serius. Perusahaan mengatakan akan melanjutkan penyelidikan secara terperinci dan, berdasarkan temuannya, menerapkan langkah-langkah untuk mencegah terulangnya insiden serta semakin memperkuat kerangka kerja keamanan informasinya. Perusahaan juga mengatakan akan segera menyampaikan perkembangan melalui situs web resminya dan saluran lain yang sesuai jika ditemukan fakta tambahan yang perlu diungkapkan.