A editora japonesa de videogames Capcom revelou uma grande violação de segurança que afetou seu serviço de associação CAPCOM ID, expondo informações associadas a mais de 11,7 milhões de contas no mundo todo. O incidente também permitiu que atacantes mudassem senhas em quase 200 contas, embora a empresa afirme que as senhas originais dos clientes e as informações dos cartões de crédito não foram comprometidas.
A plataforma afetada oferece um sistema de contas compartilhadas para os serviços online da Capcom e certos jogos, incluindo Street Fighter 6. De acordo com o anúncio da empresa em 22 de outubro, o acesso não autorizado resultou na exposição de 11.774.247 endereços de e-mail junto com informações relacionadas à conta.
Os registros comprometidos incluíam datas de criação da conta, últimos carimbos de login, contagens de login e endereços IP usados durante o login mais recente. Um grupo menor de 43 contas teve dados pessoais adicionais expostos, incluindo datas de nascimento, gênero, país ou região e apelidos.
Os investigadores também descobriram que os atacantes haviam alterado as senhas de login de 196 contas sem autorização. A Capcom desde então redefiniu essas senhas e enfatizou que sua investigação não encontrou evidências de que senhas originalmente criadas por clientes tenham sido roubadas.
A empresa detectou pela primeira vez atividade suspeita envolvendo o ID CAPCOM em 19 de outubro de 2026. Após confirmar o acesso não autorizado, bloqueou a atividade e começou a investigar como a invasão ocorreu e quais informações foram afetadas.
Uma equipe interna de resposta foi criada no dia seguinte, quando os investigadores confirmaram a exposição das informações dos clientes e identificaram as mudanças não autorizadas de senha. Em 21 de outubro, a Capcom reportou o incidente à polícia japonesa e à Comissão de Proteção de Informações Pessoais do país.
A Capcom afirma que medidas de segurança emergenciais foram concluídas e que os serviços usando CAPCOM ID continuam disponíveis. A empresa também afirmou que o incidente não atrapalhou a jogabilidade em seus títulos.
Embora informações de pagamento não tenham sido envolvidas, a exposição de milhões de endereços de e-mail apresenta riscos potenciais de phishing. Criminosos poderiam usar os dados de contato vazados para enviar mensagens convincentes se passando pela Capcom, direcionando os destinatários para sites fraudulentos ou anexos maliciosos.
A publicadora começou a notificar individualmente os clientes afetados e estabeleceu canais de suporte dedicados para dúvidas sobre a violação. Também recomendou que os usuários tenham cautela ao receber e-mails inesperados alegando ter origem da Capcom ou de serviços relacionados.