Capcom : une intrusion expose 11,7 millions d'enregistrements CAPCOM ID et permet à un attaquant de changer 196 mots de passe

Le 22 octobre 2026, Capcom a publié un avis et des excuses confirmant qu'un tiers avait atteint CAPCOM ID, le compte unifié utilisé pour ses services web et requis pour jouer en ligne à certains de ses jeux. L'entreprise compte 11 774 247 enregistrements concernés dans le monde. Ce qui a fuité est surtout composé d'adresses e-mail et de métadonnées de connexion : date de création du compte, heure de dernière connexion, nombre de connexions et adresse IP du client utilisée lors de la dernière connexion. Sur 43 de ces enregistrements, la date de naissance, le sexe, le pays ou la région et le pseudonyme ont aussi été exposés. Sur 196 comptes, l'intrus a changé les mots de passe, que Capcom a ensuite réinitialisés.

À lire aussi: La branche japonaise de Sony, fournisseur d'accès, annonce une fuite de 2,6 millions d'enregistrements · Quest Diagnostics rétablit le système Quanum après un accès à des dossiers patients.

Les données de carte bancaire ne faisaient pas partie des informations touchées, selon l'entreprise, et celle-ci n'a confirmé aucune compromission des mots de passe que les clients ont choisis eux-mêmes. Les services qui utilisent CAPCOM ID restent disponibles, et Capcom affirme que l'incident n'empêche personne d'accéder à ses jeux ou d'y jouer. BleepingComputer rapportait que Capcom a identifié la méthode d'intrusion et mis en place des contre-mesures, sans divulguer le vecteur d'accès initial. Cette omission est la plus grande lacune du compte rendu public.

Un nombre d'enregistrements, pas un nombre de personnes

Les titres ont arrondi à 11,7 millions, un chiffre que SecurityWeek, PC Gamer, PCMag et d'autres ont repris. Le nombre précis est celui publié par Capcom, et il compte des enregistrements, pas des personnes. Capcom n'a pas dit à combien d'individus ces enregistrements appartiennent, ni si certains concernent la même personne. La différence compte pour qui veut évaluer sa propre exposition : la fuite est importante, mais « 11,7 millions de personnes » est une inférence que la divulgation ne fait pas.

CAPCOM ID n'est pas une liste de diffusion marketing. Capcom le décrit comme un compte unique que les inscrits utilisent sur divers services web et qui est nécessaire pour jouer en ligne à certains titres, ce qui étend sa portée au-delà des visiteurs du site de l'entreprise. Les champs touchés, en revanche, sont ceux que tout service conserve pour chaque compte qu'il a créé, si bien que le nombre d'enregistrements renseigne mal sur le nombre de personnes concernées.

Ce que l'attaquant a obtenu, et ce que cela vaut

Pris isolément, l'ensemble de données est peu sensible. Une adresse e-mail est déjà connue de quiconque a reçu un message de son titulaire. Le nombre de connexions et les horodatages de dernière connexion disent quelque chose de l'activité d'un compte, et une adresse IP client peut indiquer une localisation approximative ou un fournisseur d'accès, mais rien de tout cela n'est un identifiant. Réunis, les champs décrivent un compte : son ancienneté, son usage actuel et l'endroit approximatif de sa dernière ouverture. Help Net Security a rapporté le chiffre de 11,7 millions d'enregistrements.

Les 43 enregistrements relèvent d'une autre catégorie. Date de naissance, sexe, pays ou région et pseudonyme forment ensemble un petit profil d'identité, et ce sont les comptes où l'exposition va au-delà d'un risque de spam.

Rien de cela ne rend le reste inoffensif. Une adresse que Capcom a associée à un compte CAPCOM ID est une cible confirmée pour l'hameçonnage, et l'entreprise l'a dit elle-même. Son avis indique que les informations touchées pourraient servir à envoyer des messages frauduleux usurpant Capcom ou des parties liées, et demande aux clients de ne pas ouvrir les URL ni les pièces jointes d'un courriel suspect.

Trois jours entre la détection et l'avis public

La chronologie publiée par Capcom est resserrée. Le 19 octobre 2026, l'entreprise a détecté des traces d'un accès non autorisé suspecté, bloqué cet accès, commencé une enquête et confirmé l'intrusion le jour même. Les contre-mesures d'urgence ont commencé là. Le 20 octobre, elle a créé une cellule interne, constaté la fuite de certaines informations clients et le changement illégitime de mots de passe sur certains comptes, et saisi son comité externe de supervision de la sécurité. Le 21 octobre, elle a signalé l'incident à la police et à la Commission de protection des informations personnelles du Japon. L'avis public est venu le 22 octobre.

Capcom a donc confirmé la fuite le jour où elle l'a découverte et l'a divulguée trois jours plus tard. Le compte rendu montre aussi que les changements de mots de passe étaient connus en interne dès le 20 octobre, deux jours avant l'avis public.

La notification prendra plus de temps que la divulgation. Capcom a indiqué qu'elle commencerait à contacter les clients concernés et a mis en place des lignes d'assistance par région, dont un numéro gratuit au Japon. Pour la plupart des titulaires de compte, le premier message direct arrivera après l'avis public, pas avec lui.

Les 196 mots de passe changés comptent plus que 11,7 millions d'e-mails

Une adresse e-mail volée est une nuisance. Un compte dont quelqu'un d'autre peut définir le mot de passe est une prise de contrôle, et la divulgation dit que cela s'est produit 196 fois. C'est la différence entre une exposition de métadonnées et une intrusion dotée d'une portée opérationnelle.

« Capcom n'a confirmé aucune compromission des mots de passe de connexion aux comptes CAPCOM ID définis à l'origine par les clients eux-mêmes. L'entreprise a toutefois confirmé que des mots de passe ont été changés sans autorisation sur 196 comptes. » — Capcom, 22 octobre 2026

La formulation de Capcom laisse la mécanique ouverte. Elle n'a pas dit comment les mots de passe ont été changés, si l'attaquant s'est d'abord connecté avec un identifiant ou si le changement est passé par une procédure de réinitialisation. Ce qu'elle a dit est plus étroit que « aucun mot de passe n'a été exposé », et l'écart entre les deux formulations n'est pas de la pédanterie. Capcom dit n'avoir aucune preuve que des mots de passe choisis par les clients aient quitté le système tout en confirmant que 196 d'entre eux ont été remplacés. Savoir si l'attaquant a pu lire quoi que ce soit dans ces comptes avant la réinitialisation n'est pas abordé.

Pour tous ceux qui sont hors des 196, le risque pratique est la réutilisation d'identifiants. Si l'adresse e-mail derrière un CAPCOM ID ouvre aussi une boîte mail, un compte marchand ou un accès professionnel, cette adresse figure désormais sur une liste liée à un service réel et actif. Les attaquants qui achètent ou récupèrent ces listes n'ont pas besoin du mot de passe CAPCOM ID ; ils ont besoin que la personne fasse confiance à un message qui semble venir de Capcom. L'avertissement de l'avis sur l'usurpation est la partie de la divulgation qui vise ce risque.

Se pose aussi la question de ce que protège CAPCOM ID. C'est la couche de compte des services web et du jeu en ligne de certains titres, si bien qu'une prise de contrôle peut exposer plus qu'une page de profil, selon ce qu'un compte donné permet d'atteindre. Capcom n'a pas décrit ce à quoi les 196 comptes avaient accès, et ne le sait peut-être pas encore.

Ce n'est pas l'attaque de 2020

Capcom, que BleepingComputer situe à environ 4 000 salariés et 1,24 milliard de dollars de revenus annuels, est déjà passée par là. En novembre 2020, l'entreprise a divulgué une attaque par rançongiciel Ragnar Locker. Les attaquants affirmaient avoir dérobé 1 To de données, et Capcom a ensuite averti que jusqu'à 390 000 personnes pouvaient être concernées. En avril 2021, elle a indiqué que les attaquants étaient entrés par un ancien équipement VPN. Ses licences incluent Resident Evil, Monster Hunter et Street Fighter. L'intrusion de 2020 avait atteint les systèmes internes et les données d'entreprise ; celle-ci a atteint la couche de compte qui se trouve devant les clients.

L'incident actuel ne comporte aucune revendication de rançongiciel, aucune demande d'extorsion et aucune diffusion de données dans le récit de Capcom. Il est plus gros en nombre d'enregistrements et moins sensible : des e-mails et des heures de connexion plutôt qu'un téraoctet de données d'entreprise revendiqué. La différence de tempo est plus frappante. L'affaire de 2020 a mis des mois à établir son ampleur, le détail du VPN arrivant au printemps suivant. Celle-ci est passée de la détection à un avis public en trois jours, même si le vecteur d'accès manque toujours.

Réserves

Capcom n'a attribué l'intrusion à aucun groupe, et n'a pas dit comment l'attaquant est entré ni quel était le point d'entrée. Les signalements à la police et au régulateur dans cette chronologie sont des déclarations de Capcom, pas des confirmations indépendantes.

Le nombre d'enregistrements n'est pas un décompte de personnes, et le chiffre peut encore changer à mesure que l'enquête avance. Capcom n'a pas précisé si les enregistrements concernés incluent des comptes dormants ou fermés. La divulgation n'explique pas non plus comment les 43 enregistrements porteurs de champs d'identité ont été sélectionnés, ni si ces clients seront contactés séparément. L'assurance de Capcom que tous les jeux sont épargnés est aussi l'évaluation de ses propres services par l'entreprise, pas une conclusion indépendante.

Lisez la déclaration sur les mots de passe exactement telle qu'elle est écrite. « Non confirmé » ne veut pas dire « non exposé ». Capcom n'a aucune preuve que des mots de passe définis par les clients aient quitté le système, ce qui est une affirmation significative, et ce n'est pas une garantie qu'aucun mot de passe n'a été lu.

Ce qu'il faut surveiller

La première chose à surveiller est de savoir si Capcom publie le vecteur d'accès, et si elle finit par donner un nombre de personnes plutôt que d'enregistrements. L'entreprise dit avoir identifié et traité la méthode d'attaque. Publier, ne serait-ce qu'un résumé, dirait aux autres opérateurs de comptes si la faiblesse était propre à Capcom ou commune à la façon dont les comptes de jeu sont construits.

La deuxième est de savoir si le chiffre de 196 tient. Un décompte de changements de mots de passe est facile à énoncer et difficile à borner pendant une enquête en cours, et un chiffre révisé changerait la lecture de l'incident. Les 43 enregistrements d'identité pourraient aussi bouger.

La troisième est le régulateur. La Commission de protection des informations personnelles du Japon est désormais saisie, et sa réponse, ou son silence, dira quelque chose de la manière dont les autorités japonaises traitent une fuite de cette forme : énorme en enregistrements, mince en champs sensibles.

La quatrième est l'hameçonnage. Des adresses divulguées liées à un compte de jeu actif sont utiles aux escroqueries qui ont besoin d'un prétexte crédible, et la fuite elle-même en fournit un. Capcom a dit aux clients quoi faire. Le prochain test est de savoir si les messages qui suivront seront assez convaincants pour fonctionner.

Couverture : le siège de Capcom à Osaka, photo de Tokumeigakarinoaoshima, Wikimedia Commons, CC BY-SA 4.0.