Capcom, 11,77 Milyon CAPCOM ID Kaydına Yetkisiz Erişimi Açıkladı

Capcom, işlettiği çevrim içi üyelik hesabı hizmeti CAPCOM ID ile ilişkili bazı müşteri bilgilerine üçüncü bir tarafça yetkisiz erişildiğini ve dünya genelinde 11.774.247 kaydın etkilendiğini 22 Ekim 2026 tarihli bir basın açıklamasında bildirdi. Osaka merkezli şirket, müşterilerinden ve diğer paydaşlardan özür dilediğini, olayı Osaka Eyalet Polisi ile Japonya Kişisel Bilgileri Koruma Komisyonuna bildirdiğini söyledi.

CAPCOM ID, kayıtlı kullanıcıların çeşitli Capcom web hizmetlerine erişmek için kullanabildiği ve bazı Capcom oyunlarını çevrim içi oynamak için gereken birleşik bir hesaptır. Capcom, gerekli acil müdahale önlemlerini tamamladığını ve CAPCOM ID kullanan hizmetlerin erişilebilir durumda olduğunu söyledi. Şirket, olayın oyuncuların oyunlarından herhangi birine erişme veya oyunları oynama olanağını etkilemediğini belirtti.

Etkilenen Kayıtlar ve Hesapların Durumu

Açıklamada, etkilenen bilgiler 22 Ekim itibarıyla geçerli rakamlarla üç kategoriye ayrılıyor.

Ana kategori; e-posta adresi kayıtlarını ve sisteme özgü tanımlayıcı bilgileri (hesabın oluşturulduğu tarih ve saat, son giriş tarihi ve saati, giriş sayısı ve son girişte kullanılan istemci IP adresi) kapsıyor. Dünya genelindeki toplam kayıt sayısı 11.774.247. Bu toplamın içindeki 43 kayıtta ayrıca doğum tarihi, cinsiyet, ülke veya bölge ve takma ad bilgileri de bulunuyordu.

Capcom, aynı toplam içindeki 196 hesabın parolalarının da yetkisiz şekilde değiştirildiğini doğruladı. Şirket, bu hesaplarla ilişkili parolaların sıfırlandığını ve müşterilerin kendilerinin belirlediği CAPCOM ID hesap giriş parolalarının ele geçirildiğine ilişkin herhangi bir durumu doğrulamadığını söyledi. Olayın yol açmış olabileceği etkinin kapsamını araştırmayı sürdürdüğünü belirtti.

Etkilenen bilgiler arasında kredi kartı bilgileri yer almıyordu. Capcom, olaydan etkilenen müşterileri bilgilendireceğini söyledi.

Olayın Zaman Çizelgesi

Açıklamaya göre Capcom, 19 Ekim 2026’da CAPCOM ID’ye olası yetkisiz erişime işaret eden şüpheli faaliyetleri tespit etti ve olayın nedenini ve kapsamını araştırırken erişimi derhal engellemeye başladı. Şirket, aynı gün yetkisiz erişimin gerçekleştiğini doğruladı, acil önlemleri uygulamaya koydu ve saldırı yöntemini belirleyip buna karşı önlem almaya başladı.

Capcom, 20 Ekim 2026’da kurum içinde bir olay müdahale merkezi kurdu; bilgi toplamayı ve etkinin daha fazla büyümesini önlemeye yönelik tedbirleri sürdürdü. Soruşturma, CAPCOM ID’ye kayıtlı bazı müşteri bilgilerine yetkisiz erişildiğini ve sınırlı sayıdaki hesabın parolalarının yetkisiz şekilde değiştirildiğini doğruladı. Şirket, durumu aynı gün dış danışma organı olan Bilgi Teknolojileri Güvenlik Gözetim Komitesine bildirdi.

Capcom, 21 Ekim 2026’da olayı Osaka Eyalet Polisi ile Japonya Kişisel Bilgileri Koruma Komisyonuna bildirdi. Şirket, durumu izlemeyi, olayı araştırmayı ve etkinin tüm kapsamını değerlendirmeyi sürdürdüğünü söyledi.

Müşterilere Yönelik Uyarılar ve Destek Kanalları

Şirket, CAPCOM ID’ye kayıtlı e-posta adreslerinin kesintisiz biçimde kullanılmaya devam edilebileceğini söyledi. Etkilenen bilgilerin, Capcom veya ilgili tarafların kimliğine bürünen sahte e-posta ya da başka iletiler göndermek için kötüye kullanılabileceği uyarısında bulundu. Şüpheli bir e-posta veya mesaj alan herkese dikkatli olmalarını, iletideki URL’lere erişmemelerini ve ekli dosyaları açmamalarını tavsiye etti.

Şirket, olayla ilgili müşterilere özel destek kanalları oluşturdu. Japonya’da 0120-801-271 numaralı ücretsiz destek hattı, JST’ye göre 10.00 ile 20.00 arasında hizmet veriyor. Kuzey, Orta ve Güney Amerika’daki müşteriler, Capcom USA müşteri destek sayfasındaki çevrim içi başvuru formunu gönderebilir. Avrupa, Orta Doğu ve Afrika’daki müşteriler başvuru formunu kullanabilir veya [email protected] adresine e-posta gönderebilir; Japonya dışındaki Asya ve Okyanusya’daki müşteriler ise [email protected] aracılığıyla iletişime geçebilir.

Capcom, daha önce ayrı bir veri güvenliği olayını, harici soruşturmanın nihai sonuçlarını sunan 13 Nisan 2021 tarihli bir açıklamasında ayrıntılarıyla ele almıştı. Açıklamaya göre saldırganlar, Ekim 2020’de Kuzey Amerika’daki iştiraki Capcom U.S.A., Inc.’in bakımını yaptığı eski bir yedek VPN cihazına yönelik siber saldırı aracılığıyla şirketin iç ağına yetkisiz erişim sağladı. Şirketin ABD ve Japonya ofislerindeki cihazlar daha sonra ele geçirildi; fidye yazılımı, etkilenen cihazlardaki dosyaları 1 Kasım 2020’nin sonlarına doğru şifreledi. Capcom, 2 Kasım 2020’de bağlantı sorunları tespit etti ve etkilenen cihazlarda kendisini Ragnar Locker olarak adlandıran bir grubun tehdit mesajını buldu.

2021 tarihli açıklamada, bu olayda ele geçirildiği doğrulanan bilgilerin 15.649 kişiye ait olduğu belirtildi. Risk altındaki verilerin hiçbirinde kredi kartı bilgisi bulunmadığı ifade edildi; çünkü çevrim içi işlemler, saldırıdan etkilenmeyen ayrı bir sistemde üçüncü taraf bir hizmet sağlayıcı tarafından yürütülüyordu.

2020’deki olayın ardından Capcom, dış uzmanlardan sürekli tavsiye almak amacıyla Ocak 2021’in ikinci yarısında Bilgi Teknolojileri Güvenliği Gözetim Komitesi’ni kurdu. 2021 tarihli açıklamada komitenin dört dış üyesi olduğu belirtiliyor: siber güvenlik uzmanı iki üniversite profesörü, siber güvenlik ve kişisel bilgilerin korunması hukuku alanında uzman bir avukat ve BT sistem denetimi uzmanı sertifikalı bir muhasebeci. Yeni açıklamaya göre, 20 Ekim 2026’da CAPCOM ID olayıyla ilgili şirket raporunu alan dış danışma kurulu da aynı kurul.

Başkan ve Operasyonlardan Sorumlu Başkan Haruhiro Tsujimoto’nun imzasını taşıyan açıklamada Capcom, olayda kullanılan saldırı yöntemini tespit edip gerekli önlemleri aldığını ve konuyu son derece ciddiye aldığını belirtti. Şirket, ayrıntılı incelemesini sürdüreceğini ve bulgular doğrultusunda olayın tekrarlanmasını önleyecek önlemleri uygulayarak bilgi güvenliği çerçevesini daha da güçlendireceğini söyledi. Açıklanması gereken başka bilgiler tespit edilmesi hâlinde, resmî internet sitesi ve diğer uygun kanallar üzerinden vakit kaybetmeden güncelleme paylaşacağını da bildirdi.