Capcom rivela l’accesso non autorizzato a 11,77 milioni di record CAPCOM ID

Capcom ha dichiarato in un comunicato stampa del 22 ottobre 2026 che alcune informazioni dei clienti associate a CAPCOM ID, il servizio di account per gli iscritti online gestito dall’azienda, sono state oggetto di accesso non autorizzato da parte di terzi, con 11.774.247 record coinvolti in tutto il mondo. L’azienda, con sede a Osaka, si è scusata con i clienti e le altre parti interessate e ha dichiarato di aver segnalato l’incidente alla Polizia prefettizia di Osaka e alla Commissione giapponese per la protezione delle informazioni personali.

CAPCOM ID è un account unificato che gli iscritti possono utilizzare per accedere a vari servizi web di Capcom e che è necessario per giocare online ad alcuni giochi Capcom. Capcom ha dichiarato di aver completato le misure di emergenza necessarie e che i servizi che utilizzano CAPCOM ID sono ancora disponibili. L’azienda ha precisato che l’incidente non impedisce ai giocatori di accedere ai suoi giochi né di giocarci.

Record interessati e stato degli account

Il comunicato suddivide le informazioni interessate in tre categorie, con dati aggiornati al 22 ottobre.

La categoria principale comprende gli indirizzi e-mail e le informazioni identificative specifiche del sistema (data e ora di creazione dell’account, data e ora dell’ultimo accesso, numero di accessi e indirizzo IP del client utilizzato durante l’ultimo accesso), per un totale mondiale di 11.774.247 record. Di questi, 43 contenevano anche la data di nascita, il genere, il Paese o la regione e il nickname.

Capcom ha inoltre confermato che le password di 196 account, compresi nello stesso totale, sono state modificate senza autorizzazione. L’azienda ha dichiarato che le password associate a tali account sono già state reimpostate e che non è stata accertata alcuna compromissione delle password di accesso agli account CAPCOM ID impostate originariamente dagli stessi clienti. Ha aggiunto che prosegue le indagini per determinare l’entità dell’eventuale impatto dell’incidente.

Le informazioni interessate non comprendevano dati delle carte di credito e Capcom ha dichiarato che informerà i clienti coinvolti nell’incidente.

Cronologia dell’incidente

Secondo il comunicato, il 19 ottobre 2026 Capcom ha rilevato attività sospette che indicavano un possibile accesso non autorizzato a CAPCOM ID e ha subito iniziato a bloccare l’accesso, indagando al contempo sulla causa e sulla portata dell’incidente. L’azienda ha confermato che quel giorno si era verificato un accesso non autorizzato, ha attuato misure di emergenza e ha proceduto a individuare e contrastare il metodo di attacco.

Il 20 ottobre 2026 Capcom ha istituito un’unità interna di gestione dell’incidente e ha proseguito la raccolta di informazioni e l’attuazione di misure per prevenire ulteriori conseguenze. Le indagini hanno confermato che alcune informazioni dei clienti registrate su CAPCOM ID erano state oggetto di accesso non autorizzato e che le password associate a un numero limitato di account erano state modificate senza autorizzazione. Lo stesso giorno, l’azienda ha segnalato l’accaduto al Comitato di supervisione della sicurezza informatica, il suo organo consultivo esterno.

Il 21 ottobre 2026 Capcom ha segnalato l’incidente alla Polizia prefettizia di Osaka e alla Commissione giapponese per la protezione delle informazioni personali. L’azienda ha dichiarato che continua a monitorare la situazione, a indagare sull’incidente e a valutare l’entità complessiva dell’impatto.

Avviso ai clienti e canali di assistenza

Gli indirizzi e-mail registrati su CAPCOM ID possono continuare a essere utilizzati senza interruzioni, ha dichiarato l’azienda. Ha avvertito che le informazioni interessate potrebbero essere usate per inviare e-mail fraudolente o altre comunicazioni che si spacciano per comunicazioni di Capcom o di soggetti collegati e ha consigliato a chiunque riceva un’e-mail o un messaggio sospetto di prestare attenzione, di non accedere agli URL contenuti nel messaggio e di non aprire eventuali allegati.

L’azienda ha attivato canali di assistenza dedicati all’incidente. In Giappone è disponibile il numero verde 0120-801-271, dalle 10:00 alle 20:00, ora standard giapponese (JST). I clienti in Nord America, America Centrale e Sud America possono inviare una richiesta online tramite la pagina dell’assistenza clienti di Capcom USA. I clienti in Europa, Medio Oriente e Africa possono utilizzare il modulo di richiesta o scrivere all’indirizzo [email protected], mentre quelli in Asia, escluso il Giappone, e in Oceania possono contattare [email protected].

In precedenza, Capcom aveva fornito dettagli su un distinto incidente di sicurezza dei dati in un comunicato del 13 aprile 2021, che presentava i risultati finali di un’indagine esterna. Secondo il comunicato, nell’ottobre 2020 gli aggressori avevano ottenuto accesso non autorizzato alla rete interna dell’azienda tramite un attacco informatico a un vecchio dispositivo VPN di backup gestito presso la filiale nordamericana Capcom U.S.A., Inc. In seguito erano stati compromessi dispositivi negli uffici dell’azienda negli Stati Uniti e in Giappone; a partire dalla tarda serata del 1º novembre 2020, un ransomware aveva cifrato i file sui dispositivi interessati. Il 2 novembre 2020 Capcom aveva rilevato problemi di connettività e trovato sui dispositivi interessati un messaggio minaccioso firmato da un gruppo che si faceva chiamare Ragnar Locker.

Nel comunicato del 2021, il numero delle persone per le quali era stato accertato che le informazioni fossero state compromesse nell’incidente era stimato in 15.649. Il comunicato specificava che nessuno dei dati a rischio comprendeva informazioni sulle carte di credito, poiché le transazioni online erano gestite da un fornitore di servizi terzo su un sistema separato, non coinvolto nell’attacco.

Dopo l’incidente del 2020, Capcom ha istituito nella seconda metà di gennaio 2021 il Comitato di supervisione della sicurezza informatica, per ricevere consulenze continuative da esperti esterni. Nel comunicato del 2021 si descrivono quattro membri esterni del comitato: due professori universitari esperti di sicurezza informatica, un avvocato specializzato in sicurezza informatica e nella legge sulla protezione dei dati personali e un commercialista abilitato specializzato nella revisione dei sistemi informatici. Si tratta dello stesso organo consultivo esterno che, secondo il nuovo comunicato, ha ricevuto la segnalazione dell’azienda sull’incidente relativo a CAPCOM ID il 20 ottobre 2026.

Nel comunicato, firmato dal presidente e direttore operativo Haruhiro Tsujimoto, Capcom ha dichiarato di aver individuato e risolto il problema legato al metodo di attacco utilizzato nell’incidente e di considerare la questione estremamente seria. L’azienda ha affermato che proseguirà le indagini approfondite e, sulla base dei risultati, adotterà misure per prevenire il ripetersi di simili episodi e rafforzare ulteriormente il proprio sistema di sicurezza informatica. Ha inoltre dichiarato che fornirà tempestivamente aggiornamenti sul proprio sito ufficiale e attraverso altri canali adeguati, qualora emergessero ulteriori fatti da rendere noti.