Der japanische Videospiel-Publisher Capcom hat eine schwerwiegende Sicherheitsverletzung bekanntgegeben, die seinen CAPCOM ID-Mitgliedschaftsdienst betrifft und Informationen zu mehr als 11,7 Millionen Konten weltweit offengelegt hat. Der Vorfall ermöglichte es Angreifern außerdem, Passwörter von fast 200 Konten zu ändern, obwohl das Unternehmen angibt, dass die ursprünglichen Passwörter und Kreditkarteninformationen der Kunden nicht kompromittiert wurden.
Die betroffene Plattform bietet ein gemeinsames Kontosystem für Capcoms Online-Dienste und bestimmte Spiele, darunter Street Fighter 6. Laut der Ankündigung des Unternehmens vom 22. Oktober führte unbefugter Zugriff zur Offenlegung von 11.774.247 E-Mail-Adressen sowie kontobezogenen Informationen.
Die kompromittierten Datensätze enthielten Kontoerstellungsdaten, Zeitstempel des letzten Logins, Anmeldezahlen und IP-Adressen, die beim letzten Login verwendet wurden. Eine kleinere Gruppe von 43 Konten hatte zusätzliche persönliche Daten, darunter Geburtsdaten, Geschlecht, Land oder Region sowie Spitznamen.
Ermittler entdeckten außerdem, dass Angreifer die Zugangspasswörter von 196 Konten ohne Genehmigung geändert hatten. Capcom hat diese Passwörter inzwischen zurückgesetzt und betont, dass ihre Untersuchung keine Beweise dafür gefunden hat, dass ursprünglich von Kunden erstellte Passwörter gestohlen wurden.
Das Unternehmen entdeckte erstmals am 19. Oktober 2026 verdächtige Aktivitäten im Zusammenhang mit CAPCOM ID. Nach Bestätigung des unbefugten Zugriffs blockierte es die Aktivität und begann zu untersuchen, wie der Einbruch stattfand und welche Informationen betroffen waren.
Am folgenden Tag wurde ein internes Einsatzteam eingerichtet, als die Ermittler die Offenlegung von Kundendaten bestätigten und die unautorisierten Passwortänderungen identifizierten. Am 21. Oktober meldete Capcom den Vorfall der japanischen Polizei und der Kommission für den Schutz personenbezogener Daten des Landes.
Capcom teilt mit, dass Notfallmaßnahmen getroffen wurden und Dienste mit CAPCOM ID weiterhin verfügbar sind. Das Unternehmen erklärte außerdem, dass der Vorfall das Spielerlebnis in seinen Titeln nicht gestört habe.
Obwohl Zahlungsinformationen nicht beteiligt waren, birgt die Offenlegung von Millionen von E-Mail-Adressen potenzielle Phishing-Risiken. Kriminelle könnten die durchgesickerten Kontaktdaten nutzen, um überzeugende Nachrichten zu senden, die sich als Capcom ausgeben, und die Empfänger auf betrügerische Webseiten oder bösartige Anhänge verweisen.
Der Publisher hat begonnen, betroffene Kunden einzeln zu benachrichtigen und eigene Supportkanäle für Fragen zum Datenverstoß eingerichtet. Außerdem hat er den Nutzern geraten, bei unerwarteten E-Mails Vorsicht walten zu lassen, die angeblich von Capcom oder verwandten Diensten stammen.