Piratage de CAPCOM ID : plus de 11,7 millions d'adresses e-mail exposées

Ce que Capcom a constaté

Capcom, l’éditeur japonais de Resident Evil, Monster Hunter et Street Fighter, a confirmé le 22 octobre 2026 qu’une intrusion avait touché CAPCOM ID. C’est le compte commun qui donne accès à ses services web et à certains de ses jeux en ligne. L’information provient de l’alerte publiée par l’entreprise et rapportée par Bleeping Computer. C’est la seule source dont nous disposons à cette heure : les chiffres ci-dessous sont ceux annoncés par Capcom.

Voici la chronologie donnée par l’éditeur. Le 19 octobre, une activité suspecte est détectée et un accès non autorisé est confirmé. Une enquête est ouverte immédiatement et, dès le 20 octobre, il apparaît que des données clients ont été compromises. Le 21 octobre, Capcom signale l’incident à la police et à la Personal Information Protection Commission, l’autorité japonaise de protection des données personnelles. On ne sait pas à quelle date l’intrusion a commencé.

Les données concernées

Plus de 11,7 millions d’adresses e-mail sont exposées. S’y ajoutent des données de connexion : la date de création du compte, la date et l’heure de la dernière connexion, le nombre de connexions et l’adresse IP utilisée lors de la dernière connexion.

Pour un petit groupe de 43 comptes, la date de naissance, le genre, le pseudonyme et le pays ont aussi été exposés. Pour 196 autres comptes, les attaquants ont modifié le mot de passe CAPCOM ID afin d’en bloquer l’accès à leurs propriétaires. Capcom indique être intervenu et avoir réinitialisé ces mots de passe.

Selon l’éditeur, les mots de passe de tous les autres membres n’ont pas été exposés, et les informations de carte bancaire ne sont pas touchées. Les services en ligne de Capcom fonctionnent normalement.

Ce que vous pouvez faire

Pour les titulaires d’un compte, le principal risque est l’hameçonnage. Une personne qui connaît votre adresse e-mail, qui sait que vous êtes client de Capcom et qui connaît la date de votre dernière connexion peut écrire un message crédible. Capcom appelle d’ailleurs à se méfier des communications non sollicitées, des e-mails qui demandent des informations supplémentaires et des messages qui contiennent des liens ou des pièces jointes.

Concrètement :

• n’ouvrez pas la pièce jointe d’un message qui se présente comme venant de Capcom ;
• ne saisissez jamais vos identifiants depuis un lien reçu par e-mail : allez sur le site ou dans le jeu par votre navigateur ou votre application habituelle ;
• si vous voulez changer votre mot de passe CAPCOM ID, faites-le de la même façon, depuis le site officiel que vous avez ouvert vous-même, jamais depuis un lien ;
• si vous ne parvenez plus à vous connecter, passez par les canaux d’assistance que Capcom a ouverts pour chaque région.

D’après la source, Capcom n’a pas demandé à l’ensemble de ses membres de changer leur mot de passe, puisqu’il affirme que ces mots de passe n’ont pas fuité. L’entreprise annonce aussi qu’elle préviendra les personnes concernées par étapes. Si vous n’avez pas encore reçu de notification, cela ne veut donc pas dire que votre compte est épargné.

Une méthode d’intrusion non divulguée

Capcom dit avoir identifié la méthode d’intrusion et mis en place des mesures pour éviter qu’un incident semblable se reproduise. Elle n’en précise pas la nature. Ce n’est pas le premier incident chez l’éditeur. En novembre 2020, une attaque revendiquée par le groupe de rançongiciel Ragnar Locker l’avait conduit à prévenir que jusqu’à 390 000 personnes pouvaient être concernées. En avril 2021, Capcom avait indiqué que les attaquants étaient entrés par un ancien équipement VPN.

En attendant la notification, une règle simple suffit : un e-mail qui se réclame de Capcom ne doit jamais être le chemin par lequel vous vous connectez à votre compte.