La violazione dei dati di CAPCOM ID, l’account unico che Capcom usa per i suoi servizi web e per il gioco online di alcuni titoli, riguarda 11.774.247 record in tutto il mondo. Lo ha comunicato l’azienda il 22 ottobre 2026 nel suo comunicato ufficiale. Un terzo ha consultato l’indirizzo email e alcuni identificativi di sistema di tutti i record, in 196 account la password è stata cambiata da qualcun altro, e le carte di credito non risultano coinvolte.
L’azienda non ha detto come sia avvenuta l’intrusione né chi l’abbia compiuta. Dice di aver individuato il metodo d’attacco e di aver adottato misure d’emergenza, ma non lo descrive.
Cronologia comunicata da Capcom
Il 19 ottobre Capcom ha rilevato un’attività sospetta, ha bloccato l’accesso e ha confermato che un accesso non autorizzato c’era stato. Il 20 ottobre ha costituito un comitato interno per gestire l’incidente, ha verificato che erano stati consultati dati dei clienti e che alcune password erano state modificate, e ha informato un comitato consultivo esterno sulla sicurezza informatica. Il 21 ottobre ha segnalato il caso alla polizia della prefettura di Osaka, dove ha sede, e alla Commissione giapponese per la protezione dei dati personali. L’annuncio pubblico è arrivato il 22 ottobre, tre giorni dopo il rilevamento.
Le stesse date si leggono in Esports.gg. EventHubs colloca invece il comitato interno al 21 ottobre; dove le testate divergono, vale il comunicato originale.
Quali dati sono coinvolti
Per tutti gli 11.774.247 record sono coinvolti l’indirizzo email e gli identificativi di sistema dell’account: data di creazione, data dell’ultimo accesso e numero di accessi effettuati. C’è anche l’indirizzo IP, cioè l’identificativo di rete, del dispositivo usato nell’ultimo accesso. Per 43 di questi record ci sono inoltre data di nascita, genere, paese o regione e soprannome.
I 196 account con la password cambiata senza autorizzazione sono un sottoinsieme del totale. Capcom ha già reimpostato quelle password e scrive di non aver confermato alcuna compromissione delle password scelte dai clienti. Il numero di login e l’IP dell’ultimo accesso sono dati di uso, non credenziali, e il comunicato non dice se siano stati copiati o soltanto consultati.
Le carte di credito, secondo Capcom, non fanno parte dei dati coinvolti. Il servizio CAPCOM ID resta utilizzabile e la possibilità di giocare ai titoli Capcom non è toccata. Il comunicato non fornisce una suddivisione per paese e non dice se tra i record ci siano account italiani, e nemmeno quante persone corrispondano agli 11,7 milioni di record, dato che un utente può averne più d’uno.
Il precedente del 2020
Non è la prima intrusione che Capcom ammette. Nel novembre 2020 l’azienda aveva subito un attacco ransomware, cioè un programma che cifra i sistemi e chiede un riscatto, rivendicato dal gruppo Ragnar Locker. L’aggiornamento finale è del 13 aprile 2021 e lo racconta Video Games Chronicle. Capcom stimava fino a circa 390.000 persone tra clienti, partner e altre parti esterne, e confermava 15.649 account compromessi. I dati dei clienti erano nomi e indirizzi email, con indirizzi e numeri di telefono per i giapponesi. Anche allora le carte non c’entravano, perché i pagamenti online passavano da un fornitore esterno.
Quel bilancio comprendeva però altro. Secondo SecurityWeek, a gennaio 2021 risultavano sottratti anche dati di dipendenti ed ex dipendenti, numeri di passaporto, documenti di sviluppo dei giochi, report di vendita e informazioni finanziarie. Il comunicato del 2026 parla soltanto di account dei clienti.
Il confronto tra le due cifre regge solo in parte. Nel 2021 Capcom contava persone, nel 2026 conta record di account: 11.774.247 è circa trenta volte 390.000, ma le due unità non coincidono.
Cosa consiglia Capcom
Il comunicato indica un rischio preciso: i dati possono servire a mandare email o messaggi che si spacciano per Capcom. L’azienda invita a non aprire link né allegati di messaggi sospetti. Il testo non chiede agli altri titolari di account di cambiare la password, e dice che Capcom avvertirà direttamente le persone coinvolte.
Per l’assistenza il comunicato elenca un canale per area. In Giappone c’è una linea telefonica gratuita, aperta dalle 10 alle 20 ora locale; per le Americhe una pagina di supporto; per Europa, Medio Oriente e Africa un modulo di richiesta o un indirizzo email; per Asia e Oceania un indirizzo dedicato. I recapiti esatti sono nel testo originale.
Nel 2026 il settore ha già avuto un altro caso di intrusione: ad aprile è toccato a Rockstar, e il sito ha scritto dell’arresto in Olanda di un presunto capo di ShinyHunters, il gruppo indicato come autore di quell’attacco. Capcom, per CAPCOM ID, non ha attribuito l’intrusione a nessun gruppo.
Cosa non si sa
- come sia avvenuto l’accesso e da quanto tempo fosse in corso prima del 19 ottobre;
- chi l’abbia compiuto e se i dati siano stati pubblicati o venduti;
- in che modo siano state cambiate le 196 password;
- quanti paesi e quanti utenti italiani siano coinvolti, dato che il totale non è diviso per area;
- a quante persone corrispondano gli 11.774.247 record;
- quale sia l’impatto economico, su cui il comunicato non dice nulla;
- quando Capcom avviserà gli utenti coinvolti: il comunicato dice solo che lo farà direttamente.
