La fuite CAPCOM ID expose les données de 11,7 millions de comptes

Le 22 octobre 2026, Capcom Co., Ltd. — l'éditeur japonais de jeux vidéo basé à Osaka, à l'origine de Resident Evil, Monster Hunter et Street Fighter — a confirmé qu'un tiers avait obtenu un accès non autorisé à CAPCOM ID, son service de comptes en ligne, et exposé des données clients liées à 11 774 247 enregistrements dans le monde. L'entreprise a indiqué avoir détecté et bloqué l'intrusion le 19 octobre et que ses jeux et les services CAPCOM ID sont restés disponibles tout au long de l'incident.

Selon la notice de Capcom, les données exposées pour l'ensemble des enregistrements se composaient d'adresses e-mail accompagnées de métadonnées du système de comptes : date de création du compte, date et heure de la dernière connexion, nombre de connexions et adresse IP de la connexion la plus récente. Pour 43 de ces enregistrements, l'attaquant a également atteint la date de naissance, le sexe, le pays ou la région et le pseudonyme. Capcom a précisé que les mots de passe des clients n'ont pas été trouvés exposés et qu'aucune information de carte bancaire n'était concernée.

Modifications non autorisées de mots de passe

Capcom a indiqué que 196 comptes avaient vu leur mot de passe de connexion modifié sans autorisation. L'entreprise a réinitialisé ces mots de passe et contacte directement les clients concernés. Les adresses e-mail exposées pouvant servir à envoyer des messages frauduleux, Capcom a invité les utilisateurs à se méfier des URL et pièces jointes suspectes et à ne pas réutiliser leurs mots de passe d'un service à l'autre.

Réponse et questions en suspens

Capcom a suivi rapidement une séquence de divulgation classique : après avoir détecté l'activité le 19 octobre, l'entreprise a mis en place une cellule interne de réponse aux incidents et informé son comité de supervision de la sécurité le 20 octobre, puis a signalé l'incident à la police préfectorale d'Osaka et à la Commission japonaise de protection des informations personnelles le 21 octobre, avant de rendre l'affaire publique le 22 octobre. L'entreprise a déclaré avoir « identifié et traité la méthode d'attaque impliquée dans cet incident », sans toutefois décrire la manière dont l'intrus avait obtenu l'accès. Le vecteur d'attaque étant contenu et les mots de passe concernés réinitialisés, mais l'enquête complète toujours en cours, le statut de l'incident est contenu.

Il s'agit d'un événement distinct de l'attaque par rançongiciel Ragnar Locker de novembre 2020 contre Capcom, qui avait compromis des réseaux internes et environ 350 000 enregistrements de clients et de partenaires ; l'incident de 2026 est spécifique à la plateforme de comptes CAPCOM ID et est d'un ordre de grandeur supérieur quant au nombre d'enregistrements exposés.