Capcom opplyser om uautorisert tilgang til 11,77 millioner CAPCOM ID-oppføringer

Capcom opplyste i en pressemelding 22. oktober 2026 at en tredjepart hadde fått uautorisert tilgang til visse kundeopplysninger knyttet til CAPCOM ID, tjenesten for nettkontoer som selskapet driver, og at 11 774 247 oppføringer var berørt på verdensbasis. Det Osaka-baserte selskapet beklaget overfor kundene og andre interessenter og opplyste at det hadde rapportert hendelsen til politiet i Osaka prefektur og Japans personopplysningskommisjon.

CAPCOM ID er en felles konto som registrerte brukere kan bruke for å få tilgang til ulike Capcom-nettjenester, og som er nødvendig for å spille enkelte Capcom-spill på nett. Capcom opplyste at selskapet har gjennomført de nødvendige akutte tiltakene, og at tjenestene som bruker CAPCOM ID, fortsatt er tilgjengelige. Hendelsen påvirker ikke spillernes mulighet til å få tilgang til eller spille noen av selskapets spill, opplyste selskapet.

Berørte oppføringer og kontostatus

I pressemeldingen deles de berørte opplysningene inn i tre kategorier, med tall per 22. oktober.

Hovedkategorien omfatter e-postadresseoppføringer og systemspesifikk identifikatorinformasjon (dato og klokkeslett for opprettelse av kontoen, dato og klokkeslett for siste innlogging, antall innlogginger og klientens IP-adresse ved siste innlogging), til sammen 11 774 247 oppføringer på verdensbasis. Av disse inneholdt 43 oppføringer også fødselsdato, kjønn, land eller region og kallenavn.

Capcom bekreftet også at passordene til 196 kontoer i samme total var blitt endret uten autorisasjon. Selskapet opplyste at passordene for disse kontoene allerede er tilbakestilt, og at det ikke har bekreftet at passordene kundene selv opprinnelig valgte for å logge inn på CAPCOM ID-kontoene, er blitt kompromittert. Selskapet opplyste at det fortsetter å undersøke omfanget av eventuelle konsekvenser av hendelsen.

Kredittkortopplysninger var ikke blant de berørte opplysningene, og Capcom opplyste at selskapet vil varsle kundene som er berørt av hendelsen.

Tidslinje for hendelsen

Ifølge pressemeldingen oppdaget Capcom 19. oktober 2026 mistenkelig aktivitet som tydet på mulig uautorisert tilgang til CAPCOM ID, og begynte umiddelbart å blokkere tilgangen mens selskapet undersøkte årsaken til og omfanget av hendelsen. Selskapet bekreftet samme dag at uautorisert tilgang hadde funnet sted, iverksatte akutte tiltak og fortsatte arbeidet med å identifisere og håndtere angrepsmetoden.

20. oktober 2026 opprettet Capcom et internt hovedkvarter for håndtering av hendelsen og fortsatte å samle inn informasjon og iverksette tiltak for å hindre ytterligere konsekvenser. Undersøkelsen bekreftet at enkelte kundeopplysninger som var registrert med CAPCOM ID, hadde vært utsatt for uautorisert tilgang, og at passord knyttet til et begrenset antall kontoer var blitt endret uten autorisasjon. Selskapet rapporterte saken samme dag til komiteen for tilsyn med IT-sikkerhet, sitt eksterne rådgivende organ.

21. oktober 2026 rapporterte Capcom hendelsen til politiet i Osaka prefektur og Japans personopplysningskommisjon. Selskapet opplyste at det fortsetter å overvåke situasjonen, undersøke hendelsen og kartlegge det fulle omfanget av konsekvensene.

Informasjon til kunder og kontaktkanaler

E-postadressene som er registrert med CAPCOM ID, kan fortsatt brukes uten avbrudd, opplyste selskapet. Det advarte om at de berørte opplysningene kan misbrukes til å sende falske e-poster eller andre meldinger der avsenderen utgir seg for å være Capcom eller tilknyttede parter. Selskapet rådet alle som mottar en mistenkelig e-post eller melding, til å være forsiktige og la være å åpne nettadresser i meldingen eller vedlegg.

Selskapet har opprettet egne kontaktkanaler for kunder som gjelder hendelsen. I Japan er en gratis støttetelefon, 0120-801-271, åpen fra kl. 10.00 til 20.00 JST. Kunder i Nord-, Mellom- og Sør-Amerika kan sende inn et digitalt kontaktskjema via Capcom USAs kundestøtteside. Kunder i Europa, Midtøsten og Afrika kan bruke kontaktskjemaet eller sende e-post til [email protected], og kunder i Asia utenfor Japan og i Oseania kan kontakte [email protected].

Capcom redegjorde tidligere for en separat datasikkerhetshendelse i en pressemelding 13. april 2021, der de endelige resultatene fra en ekstern undersøkelse ble presentert. Ifølge pressemeldingen fikk angripere i oktober 2020 uautorisert tilgang til selskapets interne nettverk gjennom et dataangrep mot en eldre VPN-enhet for sikkerhetskopiering som ble vedlikeholdt ved det nordamerikanske datterselskapet Capcom U.S.A., Inc. Enheter ved selskapets kontorer i USA og Japan ble deretter kompromittert, og løsepengevirus krypterte filer på de berørte enhetene fra sent 1. november 2020. Capcom oppdaget tilkoblingsproblemer 2. november 2020 og fant en truende melding fra en gruppe som kalte seg Ragnar Locker, på de berørte enhetene.

I pressemeldingen fra 2021 ble det opplyst at informasjon som var bekreftet kompromittert i hendelsen, gjaldt 15 649 personer. Ingen av dataene som kunne være utsatt, inneholdt kredittkortopplysninger, ettersom netttransaksjoner ble håndtert av en tredjepartsleverandør på et separat system som ikke var berørt av angrepet.

Etter hendelsen i 2020 opprettet Capcom i siste halvdel av januar 2021 komiteen for tilsyn med IT-sikkerhet, som skulle motta løpende anbefalinger fra eksterne eksperter. I kunngjøringen fra 2021 beskrives fire eksterne komitémedlemmer: to universitetsprofessorer med ekspertise innen cybersikkerhet, en advokat med spesialisering i cybersikkerhet og lovgivning om beskyttelse av personopplysninger, og en statsautorisert revisor med spesialisering i revisjon av IT-systemer. Ifølge den nye kunngjøringen er dette det samme eksterne rådgivende organet som mottok selskapets rapport om CAPCOM ID-hendelsen 20. oktober 2026.

I kunngjøringen, som er signert av president og operativ direktør Haruhiro Tsujimoto, sa Capcom at selskapet har identifisert og håndtert angrepsmetoden som ble brukt i hendelsen, og at det tar saken svært alvorlig. Selskapet sa at det vil fortsette den grundige undersøkelsen og, basert på funnene, innføre tiltak for å hindre at dette skjer igjen og styrke informasjonssikkerheten ytterligere. Det sa at det raskt vil komme med oppdateringer på det offisielle nettstedet og gjennom andre egnede kanaler dersom det blir avdekket flere opplysninger som må offentliggjøres.