Capcom: breșă în CAPCOM ID, 11,7 milioane de înregistrări expuse

Capcom, editorul japonez de jocuri video cunoscut pentru Resident Evil, Street Fighter și Monster Hunter, a confirmat un acces neautorizat la CAPCOM ID, sistemul de cont unic prin care jucătorii intră în serviciile web ale companiei și joacă online anumite titluri. Potrivit anunțului publicat pe 22 octombrie 2026, preluat de BleepingComputer, SecurityWeek, Help Net Security, Infosecurity Magazine și Security Affairs, au fost sustrase 11.774.247 de înregistrări cu adresă de email și date de sistem ale conturilor (total la nivel mondial).

Ce s-a întâmplat

Succesiunea evenimentelor, reconstituită de surse pe baza anunțului Capcom:

• 19 octombrie: compania detectează activitate suspectă în CAPCOM ID, blochează accesul și confirmă intruziunea; pornește măsurile de urgență și analiza metodei de atac;
• 20 octombrie: înființează o unitate internă de răspuns la incident, constată scurgerea datelor clienților și informează comitetul său extern de consultanță pentru securitatea informatică;
• 21 octombrie: finalizează măsurile de urgență, declară că a identificat și neutralizat metoda de atac și depune plângere la poliția prefecturii Osaka, plus o notificare la Personal Information Protection Commission, autoritatea japoneză pentru protecția datelor.

Metoda de acces nu a fost făcută publică și nu este clar de când se aflau atacatorii în sistem. Potrivit Help Net Security, la momentul publicării niciun grup nu revendicase atacul. Serviciile care folosesc CAPCOM ID, inclusiv jocurile, rămân disponibile.

Datele afectate

Potrivit anunțului, la 22 octombrie sunt expuse:

• 11.774.247 de înregistrări cu adresă de email și date de sistem ale contului: data și ora creării, data și ora ultimei autentificări, numărul de autentificări, adresa IP folosită la ultima autentificare;
• 43 de înregistrări care conțin în plus data nașterii, genul, țara sau regiunea și pseudonimul.

Capcom declară că nu a găsit dovezi că parolele alese de clienți ar fi fost compromise și că datele cardurilor de plată nu sunt afectate. Atacatorii au schimbat însă fără autorizație parola a 196 de conturi, pe care compania le-a resetat. Potrivit BleepingComputer, scopul era blocarea titularilor în afara conturilor; Capcom nu a oferit o explicație.

SecurityWeek vorbește despre 11,77 milioane de persoane, celelalte surse despre înregistrări: înregistrările corespund conturilor, nu neapărat unor persoane distincte.

Detalii tehnice

Nu au fost declarate CVE-uri sau malware. Două aspecte contează pentru cine administrează sisteme de identitate pentru clienți:

• schimbarea parolelor: atacatorii nu s-au limitat la citirea bazei de date, ci au acționat și asupra conturilor. Pe baza a ceea ce se știe, comportamentul corespunde tehnicii MITRE ATT&CK Account Access Removal (T1531); nu este clar dacă modificările s-au făcut prin funcțiile aplicației sau direct în baza de date;
• datele de sistem: data creării, numărul de autentificări și IP-ul ultimei autentificări arată ce conturi sunt active și din ce țară sau rețea se conectează. Împreună cu emailul, fac phishingul mai țintit și mai credibil.

Acesta este chiar riscul principal semnalat de Capcom: emailuri și mesaje frauduloase în numele companiei sau al unor entități asociate. Compania cere să nu fie deschise linkurile sau atașamentele din mesajele suspecte. Adresele expuse pot fi folosite și în tentative de credential stuffing împotriva altor servicii (tehnica T1110.004), acolo unde utilizatorii au refolosit parole deja scurse în alte breșe. Nu au fost publicați indicatori de compromitere.

Incidentele anterioare

Nu este primul atac împotriva Capcom. În noiembrie 2020 compania a fost lovită de un ransomware revendicat de grupul Ragnar Locker, care a declarat că a furat 1 TB de date. Sursele dau estimări diferite ale persoanelor potențial afectate atunci: până la 390.000 potrivit BleepingComputer și Security Affairs, până la 350.000 potrivit Help Net Security. Potrivit BleepingComputer, în aprilie 2021 Capcom a explicat că atacatorii intraseră printr-un dispozitiv VPN vechi. Nu există elemente care să lege acel episod de incidentul actual.

Impactul pentru companiile europene și italiene

Cifra este un total mondial, iar Capcom a deschis canale de asistență dedicate și pentru Europa, Orientul Mijlociu și Africa, pe lângă un număr gratuit în Japonia și un formular pentru cele două Americi: printre cei afectați se află, așadar, și utilizatori europeni. Mulți dintre ei pot să fi înregistrat CAPCOM ID cu adresa de email de serviciu, care devine țintă pentru phishing pe teme de jocuri, carduri cadou sau probleme cu contul.

Pentru cine administrează conturile clienților, cazul confirmă că și metadatele de autentificare sunt date personale: potrivit GDPR, adresa IP a ultimei autentificări asociată unui email identifică o persoană, iar un acces neautorizat trebuie evaluat pentru notificarea autorității de supraveghere în 72 de ore. Pentru entitățile NIS2 (în Italia, decretul legislativ 138/2024), controlul accesului, autentificarea multifactor și gestionarea incidentelor se numără printre măsurile de gestionare a riscurilor prevăzute.

Ce să faci imediat

1. Avertizează personalul: în zilele următoare sunt probabile emailuri în numele Capcom; fără linkuri sau atașamente, iar contul se verifică doar de pe site-ul sau din jocul oficial.
2. Întărește filtrele de email: verifică SPF, DKIM și DMARC pentru mesajele primite și pune în carantină mesajele de pe domenii asemănătoare celor ale Capcom.
3. Protejează conturile companiei de credential stuffing: autentificare multifactor rezistentă la phishing, blocarea parolelor apărute deja în breșe cunoscute, alerte la serii de autentificări eșuate.
4. Dacă administrezi un sistem de conturi pentru clienți: cere o nouă autentificare pentru schimbarea parolei sau a emailului, anunță întotdeauna adresa anterioară, semnalează modificările în masă și păstrează IP-urile de autentificare doar cât este necesar.
5. Monitorizează accesul la baza de date a utilizatorilor: interogări sau exporturi masive, conturi tehnice conectate din surse noi, activitate în afara programului.
6. Pregătește notificarea utilizatorilor: texte, canale pe zone geografice și termene, gata înainte de un incident.

Cum ajută ARXDOME

ARX Expose semnalează conturile companiei implicate în breșe cunoscute și domeniile asemănătoare cu al tău înregistrate de alții, utile pentru cine pregătește campanii de phishing. ARX Sentry colectează loguri și evenimente de pe computere, servere și firewalluri și le grupează în familii precum autentificări eșuate și modificări ale conturilor. ARX Retain păstrează logurile pentru a reconstitui, în caz de investigație, cine a avut acces și când.

Ultima actualizare: 24 octombrie 2026