De Japanse videogameuitgever Capcom heeft een groot beveiligingslek bekendgemaakt dat zijn CAPCOM ID-lidmaatschapsdienst raakt, waarbij informatie over meer dan 11,7 miljoen accounts wereldwijd is blootgelegd. Het incident stelde aanvallers ook in staat om wachtwoorden te wijzigen op bijna 200 accounts, hoewel het bedrijf zegt dat de originele wachtwoorden en creditcardgegevens van klanten niet zijn gecompromitteerd.
Het getroffen platform biedt een gedeeld accountsysteem voor de online diensten van Capcom en bepaalde spellen, waaronder Street Fighter 6. Volgens de aankondiging van het bedrijf van 22 oktober leidde ongeautoriseerde toegang tot de blootstelling van 11.774.247 e-mailadressen naast accountgerelateerde informatie.
De gecompromitteerde records omvatten aanmaakdata van accounts, tijdstempels voor de laatste login, inlogtellingen en IP-adressen die tijdens de meest recente login zijn gebruikt. Een kleinere groep van 43 accounts kreeg extra persoonlijke gegevens, waaronder geboortedata, geslacht, land of regio en bijnamen.
Onderzoekers ontdekten ook dat aanvallers de inlogwachtwoorden van 196 accounts zonder toestemming hadden gewijzigd. Capcom heeft die wachtwoorden sindsdien gereset en benadrukt dat het onderzoek geen bewijs heeft gevonden dat oorspronkelijk door klanten gemaakte wachtwoorden zijn gestolen.
Het bedrijf ontdekte voor het eerst verdachte activiteiten met betrekking tot CAPCOM ID op 19 oktober 2026. Na bevestiging van ongeautoriseerde toegang blokkeerde het de activiteit en begon te onderzoeken hoe de inbraak had plaatsgevonden en welke informatie was beïnvloed.
De volgende dag werd een intern responsteam opgericht, toen onderzoekers de blootstelling van klantinformatie bevestigden en de ongeautoriseerde wachtwoordwijzigingen identificeerden. Op 21 oktober meldde Capcom het incident bij de Japanse politie en de Personal Information Protection Commission van het land.
Capcom zegt dat noodbeveiligingsmaatregelen zijn afgerond en dat diensten met CAPCOM ID beschikbaar blijven. Het bedrijf verklaarde ook dat het incident de gameplay in zijn titels niet heeft verstoord.
Hoewel er geen betalingsinformatie bij betrokken was, brengt de blootstelling van miljoenen e-mailadressen potentiële phishingrisico’s met zich mee. Criminelen zouden de gelekte contactgegevens kunnen gebruiken om overtuigende berichten te sturen die zich voordoen als Capcom, waarbij ontvangers worden doorverwezen naar frauduleuze websites of kwaadaardige bijlagen.
De uitgever is begonnen met het individueel informeren van getroffen klanten en heeft speciale ondersteuningskanalen opgezet voor vragen over het datalek. Ook heeft het gebruikers geadviseerd voorzichtig te zijn bij het ontvangen van onverwachte e-mails die beweren afkomstig te zijn van Capcom of aanverwante diensten.