Capcom maakt ongeoorloofde toegang tot 11,77 miljoen CAPCOM ID-records bekend

Capcom meldde in een persbericht van 22 oktober 2026 dat bepaalde klantgegevens die verband houden met CAPCOM ID, de online accountdienst voor leden die het bedrijf beheert, zonder toestemming toegankelijk waren voor een derde partij. Wereldwijd zijn 11.774.247 records getroffen. Het in Osaka gevestigde bedrijf bood klanten en andere belanghebbenden zijn excuses aan en meldde dat het incident is gerapporteerd aan de politie van de prefectuur Osaka en de Japanse commissie voor de bescherming van persoonsgegevens.

CAPCOM ID is één account waarmee geregistreerde gebruikers toegang hebben tot verschillende webdiensten van Capcom. Het account is nodig om bepaalde Capcom-games online te spelen. Capcom meldde dat de noodzakelijke noodmaatregelen zijn afgerond en dat diensten die CAPCOM ID gebruiken beschikbaar blijven. Het incident heeft geen gevolgen voor de mogelijkheid van spelers om toegang te krijgen tot games van het bedrijf of deze te spelen, aldus Capcom.

Getroffen records en accountstatus

In het persbericht worden de getroffen gegevens onderverdeeld in drie categorieën, met cijfers die gelden op 22 oktober.

De grootste categorie omvat e-mailadressen en systeemspecifieke identificatiegegevens (de datum en het tijdstip waarop het account is aangemaakt, de datum en het tijdstip van de laatste aanmelding, het aantal aanmeldingen en het IP-adres van de client dat bij de laatste aanmelding is gebruikt). Wereldwijd gaat het in totaal om 11.774.247 records. Van dat totaal bevatten 43 records ook de geboortedatum, het geslacht, het land of de regio en de nickname.

Capcom bevestigde ook dat de wachtwoorden van 196 accounts binnen hetzelfde totaal zonder toestemming zijn gewijzigd. Het bedrijf meldde dat de wachtwoorden van die accounts inmiddels zijn gereset en dat het niet heeft vastgesteld dat de wachtwoorden voor het aanmelden bij CAPCOM ID die klanten zelf oorspronkelijk hadden ingesteld, zijn gecompromitteerd. Het bedrijf onderzoekt nog wat de omvang is van de eventuele gevolgen van het incident.

Creditcardgegevens maakten geen deel uit van de getroffen informatie. Capcom meldde dat het klanten die door het incident zijn getroffen, op de hoogte zal stellen.

Tijdlijn van het incident

Volgens het persbericht ontdekte Capcom op 19 oktober 2026 verdachte activiteiten die wezen op mogelijke ongeoorloofde toegang tot CAPCOM ID. Het bedrijf begon onmiddellijk de toegang te blokkeren en onderzocht tegelijkertijd de oorzaak en omvang van het incident. Diezelfde dag bevestigde het dat er ongeoorloofde toegang had plaatsgevonden, voerde het noodmaatregelen uit en ging het verder met het vaststellen en aanpakken van de aanvalsmethode.

Op 20 oktober 2026 richtte Capcom een intern hoofdkwartier voor de incidentrespons in en ging het door met het verzamelen van informatie en het nemen van maatregelen om verdere gevolgen te voorkomen. Uit het onderzoek bleek dat bepaalde klantgegevens die bij CAPCOM ID waren geregistreerd, zonder toestemming toegankelijk waren geweest en dat de wachtwoorden van een beperkt aantal accounts zonder toestemming waren gewijzigd. Het bedrijf meldde de kwestie diezelfde dag aan de Information Technology Security Oversight Committee, zijn externe adviesorgaan.

Op 21 oktober 2026 meldde Capcom het incident aan de politie van de prefectuur Osaka en de Japanse commissie voor de bescherming van persoonsgegevens. Het bedrijf zei de situatie te blijven volgen, het incident te onderzoeken en de volledige omvang van de gevolgen in kaart te brengen.

Advies aan klanten en ondersteuningskanalen

De e-mailadressen die bij CAPCOM ID zijn geregistreerd, kunnen zonder onderbreking in gebruik blijven, aldus het bedrijf. Het waarschuwde dat de getroffen informatie misbruikt kan worden om frauduleuze e-mails of andere berichten te versturen waarin afzenders zich voordoen als Capcom of aanverwante partijen. Wie een verdachte e-mail of ander bericht ontvangt, wordt geadviseerd voorzichtig te zijn en geen URL’s in het bericht te openen en geen bijgevoegde bestanden te openen.

Het bedrijf heeft speciale ondersteuningskanalen voor klanten ingericht naar aanleiding van het incident. In Japan is de gratis hulplijn 0120-801-271 bereikbaar van 10.00 tot 20.00 uur JST. Klanten in Noord-, Midden- en Zuid-Amerika kunnen online een aanvraagformulier invullen via de klantenservicepagina van Capcom USA. Klanten in Europa, het Midden-Oosten en Afrika kunnen het aanvraagformulier gebruiken of een e-mail sturen naar [email protected], en klanten in Azië buiten Japan en in Oceanië kunnen contact opnemen via [email protected].

Capcom lichtte eerder een afzonderlijk incident met betrekking tot gegevensbeveiliging toe in een persbericht van 13 april 2021, waarin de definitieve resultaten van een extern onderzoek werden gepresenteerd. Volgens dat persbericht kregen aanvallers in oktober 2020 ongeoorloofde toegang tot het interne netwerk van het bedrijf via een cyberaanval op een ouder VPN-back-upapparaat dat werd beheerd door de Noord-Amerikaanse dochteronderneming Capcom U.S.A., Inc. Vervolgens werden apparaten op de Amerikaanse en Japanse kantoren van het bedrijf gecompromitteerd. Ransomware versleutelde vanaf laat op 1 november 2020 bestanden op getroffen apparaten. Op 2 november 2020 ontdekte Capcom verbindingsproblemen en trof het op de getroffen apparaten een dreigend bericht aan van een groep die zichzelf Ragnar Locker noemde.

In het persbericht uit 2021 werd het aantal personen van wie in dat incident was vastgesteld dat hun gegevens waren gecompromitteerd, op 15.649 gesteld. Volgens het bericht bevatte geen van de gegevens die risico liepen creditcardgegevens, omdat online transacties werden afgehandeld door een externe dienstverlener via een afzonderlijk systeem dat niet bij de aanval betrokken was.

Na het incident in 2020 richtte Capcom in de tweede helft van januari 2021 het Comité voor toezicht op de IT-beveiliging op, om doorlopend advies van externe deskundigen in te winnen. In de publicatie uit 2021 worden vier externe commissieleden genoemd: twee hoogleraren die deskundig zijn op het gebied van cyberbeveiliging, een advocaat gespecialiseerd in cyberbeveiliging en de bescherming van persoonsgegevens, en een registeraccountant die gespecialiseerd is in audits van IT-systemen. Dit is hetzelfde externe adviesorgaan dat volgens de nieuwe publicatie op 20 oktober 2026 het rapport van het bedrijf over het CAPCOM ID-incident ontving.

In de publicatie, ondertekend door president en COO Haruhiro Tsujimoto, zei Capcom dat het de bij het incident gebruikte aanvalsmethode had vastgesteld en aangepakt, en dat het de zaak uiterst serieus neemt. Het bedrijf zei dat het het gedetailleerde onderzoek zal voortzetten en op basis van de bevindingen maatregelen zal nemen om herhaling te voorkomen en zijn informatiebeveiligingskader verder te versterken. Ook zei het dat het eventuele aanvullende feiten die openbaar moeten worden gemaakt, zo snel mogelijk zal melden via zijn officiële website en andere geschikte kanalen.