Capcom confirme une fuite CAPCOM ID : 11,7 millions de comptes

Capcom a confirmé un accès non autorisé à CAPCOM ID, le compte unique qui ouvre l'accès à ses services en ligne et à certains jeux, exposant les données de 11 774 247 comptes. Les chiffres proviennent de l'avis officiel de Capcom ; Next.ink a relayé l'incident côté francophone. Aucun mot de passe défini par les utilisateurs ni aucune donnée bancaire n'ont été volés — mais 196 comptes ont été détournés, ce qui en fait une intrusion active, pas une simple fuite passive.

Données exposées

Selon l'avis de Capcom, pour les 11 774 247 enregistrements :

• adresse e-mail ;
• date et heure de création du compte ;
• date et heure de dernière connexion ;
• nombre de connexions ;
• adresse IP utilisée lors de la dernière connexion.

43 enregistrements supplémentaires contenaient aussi la date de naissance, le genre, le pays/région et le pseudo. 196 comptes ont vu leur mot de passe modifié sans autorisation ; Capcom les a réinitialisés. L'éditeur précise que les informations bancaires ne figurent pas parmi les données concernées.

Chronologie

• 19 octobre : Capcom détecte une activité suspecte, bloque l'accès et confirme l'intrusion.
• Jours suivants : signalement à la police et à la Commission japonaise de protection des informations personnelles (PPC).
• 22 octobre : publication de l'avis.

Capcom n'a pas communiqué le vecteur d'accès initial ni la date de début de l'intrusion. CAPCOM ID et les jeux restent accessibles.

Attribution

Aucun groupe n'a revendiqué l'attaque et Capcom ne l'attribue pas. Pas de revendication d'extorsion ni de fuite publiée à ce stade. Les 196 changements de mot de passe non autorisés indiquent qu'un opérateur agissait à l'intérieur du système, et pas seulement une exfiltration de base de données.

Que faire

Pour les détenteurs d'un CAPCOM ID :

1. Changez votre mot de passe CAPCOM ID maintenant, et partout où vous l'avez réutilisé. La réutilisation d'identifiants est le prochain mouvement évident.
2. Activez la double authentification si elle est disponible sur le compte.
3. Considérez votre adresse e-mail comme compromise. Capcom alerte sur le risque de hameçonnage usurpant son identité : n'ouvrez ni lien ni pièce jointe dans un courriel « Capcom » non sollicité.
4. Si vous faites partie des 196, Capcom a réinitialisé votre mot de passe — définissez-en un nouveau et vérifiez vos achats et droits associés.

Rien à corriger techniquement ici : côté équipes, c'est un sujet de réutilisation d'identifiants et de sensibilisation au phishing.

Contexte

Capcom avait déjà été frappé en novembre 2020 par le rançongiciel Ragnar Locker, qui visait son réseau interne ; jusqu'à 390 000 personnes avaient potentiellement été concernées, l'entrée ayant été retracée jusqu'à un ancien équipement VPN. L'incident actuel est d'une autre nature : un système d'identité grand public, sans composante rançongiciel à ce stade. Les comptes des éditeurs concentrent des dizaines de millions d'e-mails vérifiés liés à des profils d'achat, ce qui en fait une cible permanente — la vraie question pour les opérateurs reste comment un tiers a atteint un magasin d'identités de 11,7 millions d'enregistrements, ce que Capcom n'a pas encore expliqué.