Capcom confirme le vol de 11,7 millions d'adresses e-mail liées à Capcom ID

Capcom, éditeur japonais de jeux vidéo (Resident Evil, Monster Hunter), a confirmé le 22 octobre 2026 qu'un accès non autorisé à son système de comptes Capcom ID a exposé des informations concernant plus de 11,7 millions de comptes.

Que s'est-il passé chez Capcom ?

Selon le communiqué de l'éditeur relayé par BleepingComputer, Capcom a détecté une activité suspecte et confirmé l'intrusion le 19 octobre 2026. Dès le lendemain, il était établi que des données de clients avaient été compromises. L'entreprise a signalé l'incident à la police et à la Commission japonaise de protection des informations personnelles (PPC) le 21 octobre. La date exacte de l'intrusion n'est pas connue, et Capcom n'a pas détaillé comment les attaquants sont entrés : elle affirme seulement avoir identifié la méthode et pris des mesures.

Capcom ID est le compte commun qui donne accès aux services web de l'éditeur et à certains jeux en ligne. Capcom indique que ses services en ligne restent opérationnels.

Quelles données sont exposées ?

Pour plus de 11,7 millions de comptes, Capcom cite l'adresse e-mail, la date de création du compte, l'horodatage de la dernière connexion, le nombre de connexions et l'adresse IP de la dernière connexion. Pour 43 comptes, s'ajoutent la date de naissance, le genre, le pseudonyme et le pays. Enfin, 196 comptes ont vu leur mot de passe modifié par les attaquants, apparemment pour en verrouiller les propriétaires ; Capcom les a réinitialisés.

Ces chiffres sont ceux déclarés par l'éditeur : aucune vérification indépendante n'est disponible à ce stade. L'affirmation selon laquelle les mots de passe des autres membres et les données de carte bancaire ne sont pas touchés reste, elle aussi, une déclaration de l'entreprise.

Quel risque pour les joueurs ?

Une adresse e-mail associée à une adresse IP et à une activité de connexion suffit à alimenter des campagnes d'hameçonnage ciblées sur les joueurs de Capcom. Capcom recommande de rester vigilant face aux communications non sollicitées, de se méfier des e-mails qui demandent des informations supplémentaires et de ne pas ouvrir les liens ou pièces jointes douteux. Par précaution, changer le mot de passe de Capcom ID, et celui de tout autre service où il serait réutilisé, reste raisonnable, même si l'éditeur dit ne pas l'avoir perdu.

La notification des personnes concernées se fera par étapes, en raison du nombre de comptes, et des canaux de support régionaux sont prévus. Les joueurs français n'ont pas, à ce stade, d'information spécifique sur un éventuel signalement à la CNIL : le communiqué mentionne uniquement l'autorité japonaise.

Un précédent en 2020

Capcom n'en est pas à sa première cyberattaque. En novembre 2020, le groupe de ransomware Ragnar Locker avait revendiqué le vol d'environ 1 To de données ; l'éditeur avait alors évoqué jusqu'à 390 000 personnes potentiellement touchées. En avril 2021, il avait attribué l'intrusion à un ancien équipement VPN. L'ampleur actuelle, plus de 11,7 millions de comptes, est donc sans commune mesure, même si la nature des données exposées est ici moins sensible.

Source

• BleepingComputer — Capcom confirms data breach affecting 11.7 million accounts (22 octobre 2026), qui s'appuie sur le communiqué de Capcom