Fuite de données chez Capcom : 11,7 millions d’identifiants Capcom exposés

Le 22 octobre 2026, Capcom a confirmé qu'un tiers avait accédé sans autorisation à CAPCOM ID, le service de comptes permettant de jouer en ligne à Street Fighter 6 et Monster Hunter, et que 11 774 247 enregistrements avaient été compromis. Le président et directeur des opérations, Haruhiro Tsujimoto, a signé les excuses de l'entreprise, qui assure que le système de comptes et tous les jeux associés sont restés accessibles pendant l'incident.

L'identifiant CAPCOM est le système d'authentification unique de l'éditeur pour ses services web et une condition requise pour jouer en ligne à plusieurs de ses jeux. De ce fait, la plupart des personnes ayant joué en ligne à un titre Capcom ces dernières années possèdent un compte. Le communiqué de presse détaille les dégâts en trois catégories. Les 11 774 247 enregistrements compromis contenaient une adresse e-mail et des informations d'identification système spécifiques, selon Capcom. Parmi ceux-ci, 43 comportaient également une date de naissance, un sexe, un pays ou une région et un pseudonyme. Les mots de passe de 196 comptes ont été modifiés sans autorisation et Capcom les a réinitialisés le temps d'évaluer l'étendue de l'accès non autorisé.

Les données d'identification sont plus précises que ne le suggère le libellé : elles comprennent la date et l'heure de création du compte, la date et l'heure de la dernière connexion, le nombre total de connexions et l'adresse IP du client utilisée lors de cette dernière connexion. L'avis, repéré par RockPaperShotgun, indique que l'entreprise n'a confirmé aucune compromission des mots de passe définis par ses clients.

Concernant les données de paiement, l'avis ne laisse aucune place :

« Les informations relatives aux cartes de crédit ne figuraient pas parmi les informations concernées. »

— Capcom

Le délai est très court. Capcom a détecté une activité suspecte le 19 octobre, a bloqué l'accès le jour même et a confirmé l'intrusion avant la fin de la journée. Une cellule de crise interne a été mise en place le 20 octobre, lorsque l'entreprise a vérifié que des données clients enregistrées avaient été compromises et a informé son comité de surveillance de la sécurité des technologies de l'information. Le 21 octobre, elle a notifié la police préfectorale d'Osaka et la Commission japonaise de protection des données personnelles. Trois jours entre la détection et la publication d'un communiqué précis, chiffres à l'appui, c'est plus rapide que ce que font la plupart des éditeurs, et je préfère cela à une simple déclaration sur une enquête en cours.

Il s'agit également de la deuxième divulgation de ce type de la part de l'entreprise. Une attaque de ransomware de type Ragnar Locker, survenue en novembre 2020, avait identifié environ 390 000 personnes comme potentiellement touchées, dont 16 415 cas confirmés. L'ampleur de cette attaque avait nécessité des mois de suivi. Elle avait ciblé les systèmes internes et les bases de données de partenaires plutôt qu'un service de compte, ce qui en fait la première fois que la propre base de joueurs de l'éditeur est visée.

Le risque concret réside désormais dans la boîte de réception. Capcom avertit que les adresses exposées pourraient être utilisées pour usurper l'identité de l'éditeur ou de ses partenaires, et recommande à ses clients de ne pas ouvrir les pièces jointes ni de cliquer sur les liens suspects. Une assistance téléphonique dédiée est disponible au Japon au 0120-801-271 de 10h00 à 20h00 (heure du Japon). Les clients des Amériques et de la zone EMEA sont invités à utiliser le formulaire de contact sur capcom-support.com, tandis que ceux d'Asie et d'Océanie peuvent contacter [email protected].

Capcom affirme avoir identifié et neutralisé la méthode d'attaque utilisée, que les clients concernés seront contactés directement et que toute information complémentaire sera publiée sur son site. Les adresses enregistrées restent fonctionnelles pour le moment. Il n'est pas possible de se désinscrire pour les joueurs en ligne, ce qui rend cet avertissement anti-hameçonnage plus important qu'un simple message standard.

Onze millions d'adresses de jeux vidéo, horodatées, constituent un kit de phishing fonctionnel. Les faux e-mails de réinitialisation de mot de passe, déguisés en notifications CAPCOM ID, ne tarderont pas à arriver. Les 196 changements de mot de passe non autorisés sont l'élément à surveiller de près, car modifier un mot de passe requiert des droits d'accès plus importants que la simple consultation d'un tableau d'adresses e-mail.

Le compte CAPCOM ID gère un grand nombre de comptes car la quasi-totalité des jeux distribués par l'éditeur y transite désormais. Resident Evil 2 s'est vendu à 20 millions d'exemplaires et est devenu le plus gros succès de la franchise, devançant Resident Evil 5 (19 millions) et Resident Evil 7 (18,4 millions). Selon l'analyste Rhys Elliott d'Alinea Analytics, le chiffre d'affaires de Capcom sur Steam s'élève à 617 millions de dollars, dont 309 millions de dollars de bénéfice net. À lui seul, Requiem a généré plus de 200 millions de dollars sur cette plateforme.

Le rythme s'est maintenu cette année encore. Onimusha: Way of the Sword s'est vendu à 1 million d'exemplaires dès sa sortie le 4 septembre, portant le total de la série à plus de 10 millions. Resident Evil Requiem est devenu le jeu le plus rapidement vendu de la franchise avec 8,5 millions d'exemplaires écoulés, et la nouvelle licence Pragmata a atteint 2,5 millions d'exemplaires vendus durant l'été.

Dans ses premières versions, Requiem était très différent. Le producteur Masachika Kawata a décrit les plans initiaux de Resident Evil Requiem comme un concept exploré en ligne par le réalisateur Koshi Nakanishi, avant d'être abandonné par l'équipe. Leon était alors le seul protagoniste, jusqu'à l'ajout de Grace Ashcroft, dont les compétences au combat rendaient l'atmosphère horrifique plus difficile à instaurer.

Le producteur exécutif Jun Takeuchi a conçu la série en deux volets : des opus numérotés reprenant l’histoire actuelle et des remakes couvrant le passé, avec un plan déjà établi pour le point de convergence des deux. Cette structure laisse penser aux fans que les remakes de Resident Evil 5 et Resident Evil 6 ne sont plus qu’une question de temps, bien que l’initié Dusk Golem affirme qu’aucun n’est actuellement en développement.

La prochaine sortie confirmée est Resident Evil Veronica, le remake de Code Veronica (2000), annoncé au Summer Game Fest en juin. Une vidéo promotionnelle réalisée pour les soldes d'Halloween montre des fans portant un t-shirt de l'escouade Hound Wolf et reprend une réplique de la bande-annonce originale, laissant présager la présence de Chris Redfield aux côtés de Claire dans Resident Evil Veronica. Le remake est prévu pour 2027, avec des rumeurs évoquant une sortie au second semestre, tandis que le DLC Requiem n'a pas encore de date de sortie.