Capcom ujawnia nieuprawniony dostęp do 11,77 mln rekordów CAPCOM ID

Capcom poinformował w komunikacie prasowym z 22 października 2026 r., że osoba trzecia uzyskała nieuprawniony dostęp do niektórych danych klientów powiązanych z CAPCOM ID, prowadzoną przez firmę usługą kont członkowskich online. Na całym świecie incydent objął 11 774 247 rekordów. Firma z siedzibą w Osace przeprosiła klientów i inne zainteresowane strony oraz poinformowała, że zgłosiła incydent Policji Prefektury Osaka i japońskiej Komisji Ochrony Danych Osobowych.

CAPCOM ID to ujednolicone konto, za pomocą którego zarejestrowani użytkownicy mogą korzystać z różnych usług internetowych Capcom. Jest ono także wymagane do gry online w niektóre gry Capcom. Firma poinformowała, że zakończyła niezbędne działania interwencyjne i że usługi korzystające z CAPCOM ID są nadal dostępne. Incydent nie wpływa na możliwość uzyskiwania przez graczy dostępu do żadnej z gier firmy ani grania w nie, jak podała Capcom.

Rekordy objęte incydentem i stan kont

W komunikacie podzielono objęte incydentem informacje na trzy kategorie; podane dane są aktualne na 22 października.

Główna kategoria obejmuje rekordy adresów e-mail oraz informacje o identyfikatorach specyficznych dla systemu (datę i godzinę utworzenia konta, datę i godzinę ostatniego logowania, liczbę logowań oraz adres IP klienta użyty podczas ostatniego logowania). Łącznie na całym świecie dotyczy to 11 774 247 rekordów. W 43 z nich znajdowały się również data urodzenia, płeć, kraj lub region oraz pseudonim.

Capcom potwierdził również, że w przypadku 196 kont spośród tej samej puli haseł zmieniono bez upoważnienia. Firma poinformowała, że hasła powiązane z tymi kontami zostały już zresetowane, a także że nie potwierdziła naruszenia haseł logowania do kont CAPCOM ID, które pierwotnie ustawili sami klienci. Dodała, że nadal bada zakres ewentualnych skutków incydentu.

Wśród informacji objętych incydentem nie było danych kart płatniczych, a Capcom poinformował, że powiadomi klientów, których dotyczy incydent.

Oś czasu incydentu

Jak wynika z komunikatu, 19 października 2026 r. Capcom wykrył podejrzaną aktywność wskazującą na możliwość nieuprawnionego dostępu do CAPCOM ID i natychmiast rozpoczął blokowanie dostępu, jednocześnie badając przyczynę i zakres incydentu. Tego samego dnia firma potwierdziła, że doszło do nieuprawnionego dostępu, wdrożyła działania interwencyjne i przystąpiła do ustalenia oraz usunięcia przyczyny ataku.

20 października 2026 r. Capcom powołał wewnętrzny sztab reagowania na incydent i kontynuował gromadzenie informacji oraz działania mające zapobiec dalszym skutkom. W toku dochodzenia potwierdzono, że niektóre dane klientów zarejestrowane w CAPCOM ID zostały objęte nieuprawnionym dostępem, a hasła powiązane z ograniczoną liczbą kont zmieniono bez upoważnienia. Tego samego dnia firma zgłosiła sprawę Komitetowi Nadzoru nad Bezpieczeństwem Technologii Informacyjnych, swojemu zewnętrznemu organowi doradczemu.

21 października 2026 r. Capcom zgłosił incydent Policji Prefektury Osaka i japońskiej Komisji Ochrony Danych Osobowych. Firma poinformowała, że nadal monitoruje sytuację, bada incydent i ocenia pełny zakres jego skutków.

Informacje dla klientów i kanały kontaktu

Jak poinformowała firma, adresy e-mail zarejestrowane w CAPCOM ID mogą być nadal używane bez zakłóceń. Ostrzegła, że objęte incydentem informacje mogą zostać wykorzystane do wysyłania fałszywych wiadomości e-mail lub innych komunikatów podszywających się pod Capcom lub podmioty z nią powiązane. Osobom, które otrzymają podejrzaną wiadomość e-mail lub inny komunikat, zaleciła ostrożność oraz powstrzymanie się od otwierania zawartych w nim adresów URL i załączonych plików.

Firma uruchomiła specjalne kanały obsługi klienta związane z incydentem. W Japonii bezpłatna infolinia 0120-801-271 działa od 10:00 do 20:00 czasu JST. Klienci w Ameryce Północnej, Środkowej i Południowej mogą przesłać formularz zapytania online za pośrednictwem strony obsługi klienta Capcom USA. Klienci w Europie, na Bliskim Wschodzie i w Afryce mogą skorzystać z formularza zapytania lub napisać na adres [email protected], a klienci w Azji poza Japonią i w Oceanii mogą skontaktować się z [email protected].

Capcom opisał wcześniej odrębny incydent związany z bezpieczeństwem danych w komunikacie z 13 kwietnia 2021 r., w którym przedstawiono końcowe wyniki zewnętrznego dochodzenia. Zgodnie z tym komunikatem w październiku 2020 r. napastnicy uzyskali nieuprawniony dostęp do wewnętrznej sieci firmy w wyniku cyberataku na starsze urządzenie VPN do tworzenia kopii zapasowych, utrzymywane w północnoamerykańskiej spółce zależnej Capcom U.S.A., Inc. Następnie naruszono bezpieczeństwo urządzeń w amerykańskich i japońskich biurach firmy. Od późnych godzin 1 listopada 2020 r. oprogramowanie ransomware szyfrowało pliki na zaatakowanych urządzeniach. 2 listopada 2020 r. Capcom wykrył problemy z łącznością i znalazł na zaatakowanych urządzeniach groźbę pozostawioną przez grupę podającą się za Ragnar Locker.

W komunikacie z 2021 r. podano, że potwierdzono naruszenie bezpieczeństwa danych 15 649 osób. Zaznaczono, że żadne z zagrożonych danych nie obejmowały informacji o kartach płatniczych, ponieważ transakcje online obsługiwał zewnętrzny usługodawca za pośrednictwem odrębnego systemu, którego atak nie dotyczył.

Po incydencie z 2020 roku, w drugiej połowie stycznia 2021 roku Capcom powołała Komitet Nadzoru nad Bezpieczeństwem Technologii Informacyjnych, który miał regularnie otrzymywać rekomendacje od zewnętrznych ekspertów. W komunikacie z 2021 roku opisano czterech zewnętrznych członków komitetu: dwóch profesorów uniwersyteckich specjalizujących się w cyberbezpieczeństwie, prawnika specjalizującego się w cyberbezpieczeństwie i ochronie danych osobowych oraz biegłego rewidenta specjalizującego się w audycie systemów informatycznych. Jest to to samo zewnętrzne ciało doradcze, które — jak wynika z najnowszego komunikatu — 20 października 2026 roku otrzymało od firmy raport dotyczący incydentu związanego z CAPCOM ID.

W komunikacie podpisanym przez prezesa i dyrektora operacyjnego Haruhiro Tsujimoto Capcom poinformowała, że zidentyfikowała i wyeliminowała metodę ataku wykorzystaną w tym incydencie oraz traktuje sprawę niezwykle poważnie. Firma zapowiedziała, że będzie kontynuować szczegółowe dochodzenie, a na podstawie jego wyników wdroży środki zapobiegające ponownemu wystąpieniu podobnego zdarzenia i jeszcze bardziej wzmocni swoje ramy bezpieczeństwa informacji. Poinformowała, że będzie niezwłocznie przekazywać aktualizacje za pośrednictwem oficjalnej strony internetowej i innych odpowiednich kanałów, jeśli zostaną ustalone dodatkowe fakty wymagające ujawnienia.