Capcom повідомила про несанкціонований доступ до 11,77 млн записів CAPCOM ID

У пресрелізі від 22 жовтня 2026 року Capcom повідомила, що третя сторона отримала несанкціонований доступ до певних даних клієнтів, пов’язаних із CAPCOM ID — сервісом облікових записів для онлайн-учасників, яким керує компанія. У всьому світі постраждали 11 774 247 записів. Компанія, штаб-квартира якої розташована в Осаці, перепросила клієнтів та інших зацікавлених сторін і повідомила, що заявила про інцидент до поліції префектури Осака та Комісії із захисту персональних даних Японії.

CAPCOM ID — це єдиний обліковий запис, за допомогою якого зареєстровані користувачі можуть отримувати доступ до різних вебсервісів Capcom; він також потрібен, щоб грати онлайн у деякі ігри Capcom. Компанія повідомила, що завершила необхідні невідкладні заходи реагування, а сервіси, які використовують CAPCOM ID, залишаються доступними. За словами компанії, інцидент не впливає на можливість гравців отримувати доступ до її ігор або грати в них.

Постраждалі записи та стан облікових записів

У пресрелізі постраждалі дані поділено на три категорії; наведені цифри актуальні станом на 22 жовтня.

Основна категорія охоплює записи адрес електронної пошти та специфічні для системи ідентифікаційні дані (дату й час створення облікового запису, дату й час останнього входу, кількість входів і IP-адресу клієнта, використану під час останнього входу). Загалом у світі постраждали 11 774 247 записів. У 43 із них також містилися дата народження, стать, країна або регіон і псевдонім.

Capcom також підтвердила, що в 196 облікових записах із цієї загальної кількості паролі змінили без дозволу. Компанія повідомила, що паролі цих облікових записів уже скинуто, і що вона не підтвердила компрометацію паролів для входу в облікові записи CAPCOM ID, які користувачі встановили самостійно. Компанія заявила, що продовжує з’ясовувати масштаби будь-яких наслідків інциденту.

Дані кредитних карток не входили до переліку постраждалої інформації, а Capcom повідомила, що сповістить клієнтів, яких торкнувся інцидент.

Хронологія інциденту

За даними пресрелізу, 19 жовтня 2026 року Capcom виявила підозрілу активність, що свідчила про можливий несанкціонований доступ до CAPCOM ID, і негайно почала блокувати цей доступ, водночас з’ясовуючи причини й масштаби інциденту. Того ж дня компанія підтвердила факт несанкціонованого доступу, вжила невідкладних заходів і розпочала визначати спосіб атаки та протидіяти йому.

20 жовтня 2026 року Capcom створила внутрішній штаб реагування на інцидент і продовжила збирати інформацію та вживати заходів, щоб не допустити подальших наслідків. Розслідування підтвердило, що певні дані клієнтів, зареєстровані в CAPCOM ID, зазнали несанкціонованого доступу, а паролі в обмеженій кількості облікових записів змінили без дозволу. Того ж дня компанія повідомила про інцидент Комітет з нагляду за безпекою інформаційних технологій — свій зовнішній консультативний орган.

21 жовтня 2026 року Capcom повідомила про інцидент поліцію префектури Осака та Комісію із захисту персональних даних Японії. Компанія заявила, що продовжує стежити за ситуацією, розслідувати інцидент і оцінювати повний масштаб його наслідків.

Повідомлення для клієнтів і канали підтримки

За словами компанії, адресами електронної пошти, зареєстрованими в CAPCOM ID, і надалі можна буде користуватися без перерв. Вона попередила, що постраждалі дані можуть використати для надсилання шахрайських електронних листів та інших повідомлень від імені Capcom або пов’язаних із нею осіб, і закликала всіх, хто отримав підозрілий лист чи повідомлення, бути обережними, не переходити за URL-адресами в ньому й не відкривати вкладені файли.

Для клієнтів, яких торкнувся інцидент, компанія створила окремі канали підтримки. У Японії безплатна гаряча лінія 0120-801-271 працює з 10:00 до 20:00 за японським стандартним часом (JST). Клієнти в Північній, Центральній і Південній Америці можуть надіслати онлайн-запит через сторінку підтримки клієнтів Capcom USA. Клієнти в Європі, на Близькому Сході та в Африці можуть скористатися формою запиту або надіслати електронного листа на адресу [email protected], а клієнти в Азії за межами Японії та в Океанії можуть зв’язатися через [email protected].

Раніше Capcom детально описала окремий інцидент із безпекою даних у пресрелізі від 13 квітня 2021 року, у якому підбила підсумки зовнішнього розслідування. Згідно з тим пресрелізом, у жовтні 2020 року зловмисники отримали несанкціонований доступ до внутрішньої мережі компанії, атакувавши застарілий пристрій резервного VPN-з’єднання, який обслуговувала північноамериканська дочірня компанія Capcom U.S.A., Inc. Згодом було скомпрометовано пристрої в офісах компанії у США та Японії. Починаючи з пізнього вечора 1 листопада 2020 року, програма-вимагач шифрувала файли на постраждалих пристроях. 2 листопада 2020 року Capcom виявила проблеми зі з’єднанням і знайшла на постраждалих пристроях погрозливе повідомлення від групи, що називала себе Ragnar Locker.

У пресрелізі 2021 року кількість людей, чиї дані в тому інциденті підтверджено як скомпрометовані, становила 15 649. У ньому зазначалося, що серед даних, яким загрожувала небезпека, не було інформації про кредитні картки, оскільки онлайн-транзакції обробляв сторонній постачальник послуг в окремій системі, якої атака не торкнулася.

Після інциденту 2020 року Capcom у другій половині січня 2021 року створила Комітет з нагляду за безпекою інформаційних технологій, щоб постійно отримувати рекомендації від зовнішніх експертів. У повідомленні 2021 року описано чотирьох зовнішніх членів комітету: двох професорів університетів, фахівців із кібербезпеки; юриста, який спеціалізується на кібербезпеці та законодавстві про захист персональних даних; і сертифікованого бухгалтера, фахівця з аудиту ІТ-систем. Це той самий зовнішній консультативний орган, який, згідно з новим повідомленням, отримав звіт компанії про інцидент із CAPCOM ID 20 жовтня 2026 року.

У повідомленні, підписаному президентом і головним операційним директором Haruhiro Tsujimoto, Capcom заявила, що встановила спосіб здійснення атаки під час інциденту й усунула проблему, а також ставиться до цієї справи з максимальною серйозністю. Компанія повідомила, що продовжить детальне розслідування та за його результатами вживе заходів для запобігання повторенню інциденту й подальшого посилення системи інформаційної безпеки. Також вона заявила, що оперативно повідомлятиме про нові обставини на своєму офіційному вебсайті та через інші належні канали, якщо буде виявлено додаткові факти, які потребують розголошення.