L’éditeur japonais de jeux vidéo Capcom a révélé une grave faille de sécurité affectant son service d’adhésion CAPCOM ID, révélant des informations associées à plus de 11,7 millions de comptes dans le monde. L’incident a également permis aux attaquants de modifier les mots de passe de près de 200 comptes, bien que la société affirme que les mots de passe originaux et les informations de carte bancaire des clients n’ont pas été compromis.
La plateforme concernée propose un système de comptes partagés pour les services en ligne de Capcom et certains jeux, dont Street Fighter 6. Selon l’annonce de la société du 22 octobre, un accès non autorisé a permis d’exposer 11 774 247 adresses e-mail ainsi que des informations liées aux comptes.
Les dossiers compromis comprenaient les dates de création des comptes, les horodatages de dernière connexion, les comptes de connexion et les adresses IP utilisées lors de la dernière connexion. Un groupe plus restreint de 43 comptes a vu des informations personnelles supplémentaires exposées, notamment des dates de naissance, du sexe, du pays ou de la région, ainsi que des surnoms.
Les enquêteurs ont également découvert que les attaquants avaient modifié les mots de passe de connexion de 196 comptes sans autorisation. Capcom a depuis réinitialisé ces mots de passe et souligné que son enquête n’a trouvé aucune preuve que des mots de passe initialement créés par des clients aient été volés.
L’entreprise a détecté pour la première fois une activité suspecte impliquant l’identifiant CAPCOM le 19 octobre 2026. Après avoir confirmé l’accès non autorisé, elle a bloqué l’activité et commencé à enquêter sur la manière dont l’intrusion s’était produite et quelles informations avaient été affectées.
Une équipe d’intervention interne a été mise en place le lendemain, lorsque les enquêteurs ont confirmé la révélation des informations clients et identifié les changements non autorisés de mot de passe. Le 21 octobre, Capcom a signalé l’incident à la police japonaise et à la Commission de protection des informations personnelles du pays.
Capcom indique que les mesures de sécurité d’urgence ont été prises et que les services utilisant l’identifiant CAPCOM restent disponibles. La société a également déclaré que l’incident n’a pas perturbé le gameplay sur tous ses titres.
Bien que les informations de paiement n’aient pas été impliquées, l’exposition de millions d’adresses e-mail présente des risques potentiels de phishing. Les criminels pourraient utiliser les coordonnées divulguées pour envoyer des messages convaincants se faisant passer pour Capcom, dirigeant les destinataires vers des sites web frauduleux ou des pièces jointes malveillantes.
L’éditeur a commencé à informer individuellement les clients concernés et a mis en place des canaux de support dédiés pour toute question concernant la fuite. Il a également conseillé aux utilisateurs d’être prudents lorsqu’ils reçoivent des e-mails inattendus prétendant provenir de Capcom ou de services associés.