Capcom uppger att 11,77 miljoner CAPCOM ID-poster har utsatts för obehörig åtkomst

Capcom uppgav i ett pressmeddelande den 22 oktober 2026 att en tredje part hade fått obehörig åtkomst till vissa kunduppgifter kopplade till CAPCOM ID, den onlinetjänst för medlemskonton som företaget driver. Totalt berördes 11 774 247 poster världen över. Det Osaka-baserade företaget bad kunder och andra intressenter om ursäkt och uppgav att incidenten hade rapporterats till Osakas prefekturpolis och Japans kommission för skydd av personuppgifter.

CAPCOM ID är ett samlat konto som registrerade användare kan använda för att få tillgång till olika webbtjänster från Capcom och som krävs för att spela vissa Capcom-spel online. Capcom uppgav att företaget har genomfört de nödvändiga akuta åtgärderna och att tjänster som använder CAPCOM ID fortfarande är tillgängliga. Incidenten påverkar inte spelarnas möjlighet att komma åt eller spela något av företagets spel, uppgav Capcom.

Berörda poster och kontostatus

I pressmeddelandet delas de berörda uppgifterna in i tre kategorier, med siffror som gäller den 22 oktober.

Den största kategorin omfattar e-postadressposter och systemspecifik identifierarinformation (datum och tid då kontot skapades, datum och tid för den senaste inloggningen, antal inloggningar samt klientens IP-adress vid den senaste inloggningen). Totalt rör det sig om 11 774 247 poster världen över. Av dessa innehöll 43 poster även födelsedatum, kön, land eller region och smeknamn.

Capcom bekräftade också att lösenorden för 196 konton hade ändrats utan tillstånd. Företaget uppgav att lösenorden för dessa konton redan har återställts och att det inte har bekräftat att inloggningslösenord till CAPCOM ID-konton som kunderna själva ursprungligen valt har röjts. Företaget uppgav att det fortsätter att utreda incidentens eventuella konsekvenser och omfattning.

Kreditkortsinformation ingick inte bland de berörda uppgifterna, och Capcom uppgav att företaget kommer att informera de kunder som har drabbats av incidenten.

Tidslinje för incidenten

Enligt pressmeddelandet upptäckte Capcom den 19 oktober 2026 misstänkt aktivitet som tydde på möjlig obehörig åtkomst till CAPCOM ID. Företaget började omedelbart blockera åtkomsten samtidigt som det utredde incidentens orsak och omfattning. Samma dag bekräftade företaget att obehörig åtkomst hade förekommit, vidtog akuta åtgärder och gick vidare med att identifiera och åtgärda angreppsmetoden.

Den 20 oktober 2026 inrättade Capcom en intern incidentledningsgrupp och fortsatte att samla in information och vidta åtgärder för att förhindra ytterligare konsekvenser. Utredningen bekräftade att vissa kunduppgifter registrerade med CAPCOM ID hade blivit föremål för obehörig åtkomst och att lösenorden för ett begränsat antal konton hade ändrats utan tillstånd. Samma dag rapporterade företaget händelsen till den externa rådgivande kommittén Information Technology Security Oversight Committee.

Den 21 oktober 2026 rapporterade Capcom incidenten till Osakas prefekturpolis och Japans kommission för skydd av personuppgifter. Företaget uppgav att det fortsätter att bevaka läget, utreda incidenten och bedöma den fullständiga omfattningen av konsekvenserna.

Information till kunder och supportkanaler

E-postadresser som är registrerade med CAPCOM ID kan fortsätta att användas utan avbrott, uppgav företaget. Det varnade för att de berörda uppgifterna kan missbrukas för att skicka bedrägliga e-postmeddelanden eller annan kommunikation där avsändaren utger sig för att vara Capcom eller en närstående part. Företaget uppmanade alla som får ett misstänkt e-postmeddelande eller meddelande att vara försiktiga och att inte öppna några webbadresser som ingår i meddelandet eller några bifogade filer.

Företaget har inrättat särskilda supportkanaler för kunder med anledning av incidenten. I Japan är ett avgiftsfritt supportnummer, 0120-801-271, öppet från kl. 10.00 till 20.00 japansk standardtid (JST). Kunder i Nord-, Central- och Sydamerika kan skicka in ett onlineformulär via Capcom USAs kundsupportsida. Kunder i Europa, Mellanöstern och Afrika kan använda kontaktformuläret eller skicka e-post till [email protected], och kunder i Asien utanför Japan och i Oceanien kan kontakta [email protected].

Capcom redogjorde tidigare för en separat datasäkerhetsincident i ett pressmeddelande den 13 april 2021, där de slutliga resultaten av en extern utredning presenterades. Enligt pressmeddelandet fick angripare obehörig åtkomst till företagets interna nätverk i oktober 2020 genom en cyberattack mot en äldre VPN-enhet för säkerhetskopiering som underhölls av det nordamerikanska dotterbolaget Capcom U.S.A., Inc. Enheter vid företagets kontor i USA och Japan utsattes därefter för intrång. Från sent på kvällen den 1 november 2020 krypterade utpressningsprogramvara filer på de drabbade enheterna. Den 2 november 2020 upptäckte Capcom anslutningsproblem och hittade ett hotfullt meddelande på de drabbade enheterna från en grupp som kallade sig Ragnar Locker.

I pressmeddelandet från 2021 uppgavs att 15 649 personer hade fått sina uppgifter bekräftat röjda i incidenten. Inga av de riskutsatta uppgifterna innehöll kreditkortsinformation, eftersom onlinetransaktioner hanterades av en extern tjänsteleverantör i ett separat system som inte berördes av angreppet.

Efter incidenten 2020 inrättade Capcom under andra halvan av januari 2021 en kommitté för tillsyn över IT-säkerhet, med uppgift att fortlöpande ta emot rekommendationer från externa experter. I ett pressmeddelande från 2021 beskrivs kommitténs fyra externa ledamöter: två universitetsprofessorer med expertis inom cybersäkerhet, en jurist med inriktning på cybersäkerhet och lagstiftning om skydd av personuppgifter samt en auktoriserad revisor med specialistkompetens inom revision av IT-system. Det är samma externa rådgivande organ som enligt det nya pressmeddelandet tog emot företagets rapport om incidenten med CAPCOM ID den 20 oktober 2026.

I pressmeddelandet, som undertecknats av presidenten och operativa chefen Haruhiro Tsujimoto, uppgav Capcom att företaget har identifierat och åtgärdat den angreppsmetod som användes vid incidenten och ser mycket allvarligt på saken. Företaget uppgav att det kommer att fortsätta sin ingående utredning och, utifrån resultaten, vidta åtgärder för att förhindra att något liknande händer igen och ytterligare stärka sitt ramverk för informationssäkerhet. Företaget uppgav att det skyndsamt kommer att lämna uppdateringar på sin officiella webbplats och via andra lämpliga kanaler om ytterligare uppgifter som behöver offentliggöras framkommer.