Capcom revela acesso não autorizado a 11,77 milhões de registros do CAPCOM ID

A Capcom informou, em um comunicado à imprensa de 22 de outubro de 2026, que terceiros tiveram acesso não autorizado a determinadas informações de clientes associadas ao CAPCOM ID, serviço de contas de associação online operado pela empresa. Ao todo, 11.774.247 registros foram afetados em todo o mundo. A empresa, sediada em Osaka, pediu desculpas aos clientes e a outras partes interessadas e informou que comunicou o incidente à Polícia da Prefeitura de Osaka e à Comissão de Proteção de Informações Pessoais do Japão.

O CAPCOM ID é uma conta unificada que os usuários podem usar para acessar vários serviços online da Capcom e que é necessária para jogar determinados jogos da Capcom online. A empresa informou que concluiu as medidas emergenciais necessárias e que os serviços que usam o CAPCOM ID continuam disponíveis. Segundo a Capcom, o incidente não afeta a capacidade dos jogadores de acessar ou jogar nenhum de seus jogos.

Registros afetados e situação das contas

O comunicado divide as informações afetadas em três categorias, com dados atualizados até 22 de outubro.

A principal categoria abrange registros de endereços de e-mail e informações de identificação específicas do sistema (data e hora de criação da conta, data e hora do último acesso, número de acessos e endereço IP do cliente usado no último acesso), totalizando 11.774.247 registros em todo o mundo. Desse total, 43 registros também continham data de nascimento, gênero, país ou região e apelido.

A Capcom também confirmou que as senhas de 196 contas desse total foram alteradas sem autorização. A empresa informou que as senhas associadas a essas contas já foram redefinidas e que não confirmou nenhuma violação das senhas de acesso às contas CAPCOM ID originalmente definidas pelos próprios clientes. A empresa afirmou que continua investigando a extensão de quaisquer impactos decorrentes do incidente.

As informações afetadas não incluíam dados de cartão de crédito, e a Capcom informou que notificará os clientes afetados pelo incidente.

Cronologia do incidente

Segundo o comunicado, a Capcom detectou atividade suspeita que indicava possível acesso não autorizado ao CAPCOM ID em 19 de outubro de 2026 e começou imediatamente a bloquear o acesso enquanto investigava a causa e a extensão do incidente. A empresa confirmou que houve acesso não autorizado no mesmo dia, adotou medidas emergenciais e deu início à identificação e à correção do método de ataque.

Em 20 de outubro de 2026, a Capcom criou uma estrutura interna de resposta a incidentes e prosseguiu com a coleta de informações e a adoção de medidas para evitar novos impactos. A investigação confirmou que terceiros tiveram acesso não autorizado a determinadas informações de clientes registradas no CAPCOM ID e que as senhas associadas a um número limitado de contas foram alteradas sem autorização. No mesmo dia, a empresa comunicou o caso ao Comitê de Supervisão de Segurança de Tecnologia da Informação, seu órgão consultivo externo.

Em 21 de outubro de 2026, a Capcom comunicou o incidente à Polícia da Prefeitura de Osaka e à Comissão de Proteção de Informações Pessoais do Japão. A empresa informou que continua monitorando a situação, investigando o incidente e avaliando a extensão total dos impactos.

Orientações aos clientes e canais de atendimento

Segundo a empresa, os endereços de e-mail registrados no CAPCOM ID podem continuar sendo usados sem interrupção. A Capcom alertou que as informações afetadas podem ser usadas indevidamente para enviar e-mails fraudulentos ou outras comunicações que se façam passar pela empresa ou por partes relacionadas. Recomendou que qualquer pessoa que receba um e-mail ou mensagem suspeita tenha cautela e não acesse nenhum URL incluído na mensagem nem abra arquivos anexados.

A empresa criou canais exclusivos de atendimento ao cliente para tratar do incidente. No Japão, uma linha telefônica gratuita, 0120-801-271, funciona das 10h às 20h, no horário JST. Clientes da América do Norte, Central e do Sul podem enviar um formulário de consulta online pela página de suporte ao cliente da Capcom USA. Clientes da Europa, do Oriente Médio e da África podem usar o formulário de consulta ou enviar um e-mail para [email protected], e clientes da Ásia, exceto Japão, e da Oceania podem entrar em contato com [email protected].

A Capcom já havia detalhado um incidente de segurança de dados distinto em um comunicado de 13 de abril de 2021, que apresentou os resultados finais de uma investigação externa. Segundo o comunicado, invasores obtiveram acesso não autorizado à rede interna da empresa em outubro de 2020, por meio de um ataque cibernético a um dispositivo VPN de backup antigo, mantido na subsidiária norte-americana Capcom U.S.A., Inc. Dispositivos nos escritórios da empresa nos Estados Unidos e no Japão foram posteriormente comprometidos. A partir do fim do dia 1º de novembro de 2020, um ransomware criptografou arquivos nos dispositivos afetados. Em 2 de novembro de 2020, a Capcom detectou problemas de conectividade e encontrou nos dispositivos afetados uma mensagem ameaçadora de um grupo que se identificava como Ragnar Locker.

O comunicado de 2021 informou que foi comprovado o comprometimento de dados de 15.649 pessoas nesse incidente. Segundo a empresa, nenhum dos dados em risco continha informações de cartão de crédito, pois as transações online eram processadas por um prestador de serviços terceirizado, em um sistema separado que não foi envolvido no ataque.

Após o incidente de 2020, a Capcom criou, na segunda metade de janeiro de 2021, o Comitê de Supervisão da Segurança da Tecnologia da Informação, para receber recomendações contínuas de especialistas externos. O comunicado de 2021 descreve quatro membros externos do comitê: dois professores universitários especialistas em cibersegurança, um advogado especializado em cibersegurança e na legislação de proteção de informações pessoais e um contador público certificado especialista em auditoria de sistemas de TI. Trata-se do mesmo órgão consultivo externo que, segundo o novo comunicado, recebeu o relatório da empresa sobre o incidente envolvendo o CAPCOM ID em 20 de outubro de 2026.

No comunicado, assinado pelo presidente e diretor de operações, Haruhiro Tsujimoto, a Capcom afirmou ter identificado e corrigido o método de ataque usado no incidente e levar o caso extremamente a sério. A empresa afirmou que continuará sua investigação detalhada e, com base nas conclusões, implementará medidas para evitar que o incidente se repita e reforçar ainda mais sua estrutura de segurança da informação. Também informou que divulgará atualizações prontamente em seu site oficial e por outros canais apropriados, caso sejam identificados fatos adicionais que exijam divulgação.