Capcom: violazione di CAPCOM ID, esposti 11,7 milioni di record

Capcom, l’editore giapponese di videogiochi noto per Resident Evil, Street Fighter e Monster Hunter, ha confermato un accesso non autorizzato a CAPCOM ID, il sistema di account unico con cui i giocatori entrano nei servizi web dell’azienda e giocano online ad alcuni titoli. Secondo l’avviso pubblicato il 22 ottobre 2026, ripreso da BleepingComputer, SecurityWeek, Help Net Security, Infosecurity Magazine e Security Affairs, sono stati sottratti 11.774.247 record con indirizzo email e dati di sistema degli account (totale mondiale).

Cosa è successo

La sequenza, ricostruita dalle fonti sulla base dell’avviso di Capcom:

• 19 ottobre: l’azienda rileva attività sospette su CAPCOM ID, blocca l’accesso e conferma l’intrusione; avvia le misure di emergenza e l’analisi del metodo di attacco;
• 20 ottobre: costituisce un’unità interna di risposta all’incidente, accerta la fuga di dati dei clienti e informa il proprio comitato esterno di consulenza sulla sicurezza informatica;
• 21 ottobre: completa le misure di emergenza, dichiara di aver individuato e neutralizzato il metodo di attacco e presenta denuncia alla polizia della prefettura di Osaka e segnalazione alla Personal Information Protection Commission, l’autorità giapponese per la protezione dei dati.

Il metodo di accesso non è stato reso noto, né è chiaro da quando gli attaccanti fossero nel sistema. Secondo Help Net Security, al momento della pubblicazione nessun gruppo aveva rivendicato l’attacco. I servizi che usano CAPCOM ID, giochi compresi, restano disponibili.

Dati coinvolti

Secondo l’avviso, al 22 ottobre risultano esposti:

• 11.774.247 record con indirizzo email e dati di sistema dell’account: data e ora di creazione, data e ora dell’ultimo accesso, numero di accessi, indirizzo IP usato all’ultimo accesso;
• 43 record con anche data di nascita, genere, paese o regione e nickname.

Capcom dichiara di non aver trovato prove della compromissione delle password scelte dai clienti e che i dati delle carte di pagamento non sono coinvolti. Gli attaccanti hanno però cambiato senza autorizzazione la password di 196 account, poi reimpostata dall’azienda. Secondo BleepingComputer lo scopo era escludere i titolari dai propri account; Capcom non ha dato una spiegazione.

SecurityWeek parla di 11,77 milioni di persone, le altre fonti di record: i record corrispondono ad account, non necessariamente a persone distinte.

Dettagli tecnici

Non ci sono CVE né malware dichiarati. Due elementi interessano chi gestisce sistemi di identità per i clienti:

• le modifiche delle password: chi ha attaccato non si è limitato a leggere il database, ma ha anche agito sugli account. Con quanto noto, il comportamento rientra nella tecnica MITRE ATT&CK Account Access Removal (T1531); non è chiaro se le modifiche siano avvenute tramite le funzioni dell’applicazione o direttamente sul database;
• i dati di sistema: data di creazione, numero di accessi e IP dell’ultimo accesso permettono di capire quali account sono attivi e da quale paese o rete si collegano. Uniti all’email, rendono il phishing più mirato e credibile.

Il rischio principale indicato da Capcom è proprio questo: email e messaggi fraudolenti a nome dell’azienda o di soggetti collegati. L’azienda chiede di non aprire link né allegati nei messaggi sospetti. Gli indirizzi esposti possono inoltre essere usati in tentativi di credential stuffing su altri servizi (tecnica T1110.004), dove gli utenti hanno riusato password già finite in altre violazioni. Non sono stati pubblicati indicatori di compromissione.

Gli incidenti precedenti

Non è il primo attacco a Capcom. Nel novembre 2020 l’azienda fu colpita da un ransomware rivendicato dal gruppo Ragnar Locker, che dichiarò di aver rubato 1 TB di dati. Le fonti riportano stime diverse delle persone potenzialmente coinvolte allora: fino a 390.000 secondo BleepingComputer e Security Affairs, fino a 350.000 secondo Help Net Security. Secondo BleepingComputer, nell’aprile 2021 Capcom spiegò che gli attaccanti erano entrati attraverso un vecchio dispositivo VPN. Non ci sono elementi che colleghino quell’episodio all’incidente attuale.

Impatto per le aziende europee e italiane

Il dato è un totale mondiale e Capcom ha aperto canali di assistenza dedicati anche per Europa, Medio Oriente e Africa, oltre a un numero verde in Giappone e a un modulo per le Americhe: tra i coinvolti ci sono quindi anche utenti europei. Molti di loro possono aver registrato CAPCOM ID con l’indirizzo email di lavoro, che diventa un bersaglio per phishing a tema videogiochi, buoni regalo o problemi all’account.

Per chi gestisce account dei clienti, il caso conferma che anche i metadati di accesso sono dati personali: per il GDPR l’indirizzo IP dell’ultimo accesso associato a un’email identifica una persona, e un accesso non autorizzato va valutato per la notifica all’autorità di controllo entro 72 ore. Per i soggetti NIS2 (in Italia il d.lgs. 138/2024) controllo degli accessi, autenticazione a più fattori e gestione degli incidenti rientrano tra le misure di gestione del rischio previste.

Cosa fare subito

1. Avvisa il personale: nei prossimi giorni sono probabili email a nome di Capcom; nessun link o allegato, e l’account si controlla solo dal sito o dal gioco ufficiale.
2. Rafforza i filtri della posta: verifica SPF, DKIM e DMARC sui messaggi in arrivo e metti in quarantena quelli da domini simili a quelli di Capcom.
3. Proteggi gli account aziendali dal credential stuffing: autenticazione a più fattori resistente al phishing, blocco delle password già comparse in violazioni note, avvisi sui tentativi di accesso falliti in serie.
4. Se gestisci un sistema di account per i clienti: chiedi una nuova autenticazione per cambiare password o email, avvisa sempre l’indirizzo precedente, segnala le modifiche in blocco e conserva gli IP di accesso solo per il tempo necessario.
5. Monitora gli accessi al database degli utenti: interrogazioni o esportazioni massicce, accessi di account tecnici da origini nuove, attività fuori orario.
6. Prepara la notifica agli utenti: testi, canali per area geografica e tempi, pronti prima di un incidente.

Come aiuta ARXDOME

ARX Expose segnala gli account aziendali coinvolti in violazioni note e i domini simili al tuo registrati da altri, utili a chi prepara campagne di phishing. ARX Sentry raccoglie log ed eventi di computer, server e firewall e li raggruppa in famiglie come accessi falliti e modifiche agli account. ARX Retain conserva i log per ricostruire, in caso di indagine, chi ha avuto accesso e quando.

Ultimo aggiornamento: 24 ottobre 2026