L’editore giapponese di videogiochi Capcom ha rivelato una grave violazione della sicurezza che ha influenzato il suo servizio di abbonamento CAPCOM ID, rivelando informazioni associate a oltre 11,7 milioni di account in tutto il mondo. L’incidente ha anche permesso agli aggressori di cambiare le password su quasi 200 account, anche se l’azienda afferma che le password originali dei clienti e le informazioni delle carte di credito non sono state compromesse.
La piattaforma interessata offre un sistema di account condiviso per i servizi online di Capcom e alcuni giochi, incluso Street Fighter 6. Secondo l’annuncio dell’azienda del 22 ottobre, l’accesso non autorizzato ha portato all’esposizione di 11.774.247 indirizzi email insieme a informazioni relative agli account.
I record compromessi includevano date di creazione dell’account, timestamp dell’ultimo login, conteggio dei login e indirizzi IP utilizzati durante l’accesso più recente. Un gruppo più piccolo di 43 account ha mostrato ulteriori dati personali, tra cui date di nascita, genere, paese o regione e soprannomi.
Gli investigatori hanno anche scoperto che gli attaccanti avevano cambiato le password di accesso di 196 account senza autorizzazione. Capcom ha successivamente reimpostato tali password e ha sottolineato che la sua indagine non ha trovato prove che password originariamente create dai clienti siano state rubate.
L’azienda ha rilevato per la prima volta attività sospette che coinvolgevano l’ID CAPCOM il 19 ottobre 2026. Dopo aver confermato l’accesso non autorizzato, ha bloccato l’attività e ha iniziato a indagare su come si sia verificata l’intrusione e quali informazioni fossero state influenzate.
Il giorno seguente è stata istituita una squadra di risposta interna, quando gli investigatori hanno confermato l’esposizione delle informazioni dei clienti e identificato i cambiamenti non autorizzati della password. Il 21 ottobre, Capcom ha segnalato l’incidente alla polizia giapponese e alla Commissione per la Protezione delle Informazioni Personali del paese.
Capcom afferma che sono state completate misure di sicurezza d’emergenza e che i servizi con CAPCOM ID restano disponibili. L’azienda ha inoltre dichiarato che l’incidente non ha interrotto il gameplay tra i suoi titoli.
Sebbene le informazioni sui pagamenti non siano state coinvolte, l’esposizione di milioni di indirizzi email presenta potenziali rischi di phishing. I criminali potrebbero utilizzare i dati di contatto trapepati per inviare messaggi convincenti che si spacciano per Capcom, indirizzando i destinatari verso siti web fraudolenti o allegati dannosi.
L’editore ha iniziato a notificare individualmente i clienti interessati e ha istituito canali di supporto dedicati per domande riguardanti la violazione. Ha inoltre consigliato agli utenti di prestare attenzione quando ricevono email impreviste che affermano di provenire da Capcom o servizi correlati.