Capcom : fuite de données sur 11,7 millions de comptes CAPCOM ID

Un accès non autorisé sur des millions de comptes de joueurs

Capcom, l'un des éditeurs de jeux vidéo les plus importants au monde — connu pour des franchises comme Resident Evil, Monster Hunter, Street Fighter et Devil May Cry — a confirmé le 23 octobre 2026 une violation de sécurité majeure affectant son service d'identité en ligne CAPCOM ID. Plus de 11,7 millions de comptes enregistrés à travers le monde ont été compromis lors d'un accès non autorisé détecté pour la première fois le 19 octobre 2026.

Selon le communiqué officiel de l'entreprise, Capcom a identifié des activités suspectes sur son infrastructure et a immédiatement déclenché une investigation interne. Deux jours plus tard, le 21 octobre, la société a officiellement déclaré l'incident aux autorités japonaises compétentes, notamment à la police nationale et à la Personal Information Protection Commission (PPC), l'organisme de protection des données personnelles du Japon, équivalent de la CNIL française.

Le périmètre de la compromission est considérable par son ampleur numérique : 11,7 millions de comptes d'utilisateurs sont concernés, qu'il s'agisse de joueurs ayant créé un compte CAPCOM ID pour accéder aux services en ligne associés aux titres de l'éditeur, notamment sur PC, PlayStation, Xbox et Nintendo Switch. Le service CAPCOM ID permet aux joueurs d'accéder à des contenus exclusifs, de gérer leurs achats numériques, de participer aux programmes de fidélité, et de lier leurs différents profils de joueur entre les plateformes.

Les données effectivement exposées lors de cet incident comprennent les adresses e-mail des utilisateurs, les dates de création de leur compte, les horodatages de leur dernière connexion, le nombre total de connexions au service et l'adresse IP utilisée lors du dernier accès. Ces informations, bien que ne contenant pas directement des données bancaires ou des mots de passe, constituent un profil suffisamment complet pour permettre des campagnes de phishing ciblées et sophistiquées.

Pour un sous-ensemble beaucoup plus restreint de 43 comptes, les attaquants ont accédé à des informations plus sensibles, incluant des dates de naissance, le genre déclaré, un pseudonyme et le pays d'origine. Ces comptes semblent avoir bénéficié d'un niveau d'accès spécifique ou avoir été créés à une époque où CAPCOM ID collectait davantage de données personnelles. Capcom n'a pas précisé si ces 43 comptes présentaient des caractéristiques particulières, comme un statut de compte premium ou une ancienneté sur le service.

Le cas des 196 comptes dont le mot de passe a été modifié par les attaquants est particulièrement préoccupant d'un point de vue opérationnel. Cette action délibérée suggère que les auteurs de l'intrusion ont tenté de prendre le contrôle de certains comptes cibles, peut-être en raison de leur valeur marchande sur les places de marché clandestines, de leur ancienneté, ou de l'accumulation d'actifs virtuels en jeu. Capcom a pris la décision de réinitialiser manuellement ces 196 comptes afin d'en restituer l'accès à leurs propriétaires légitimes.

La société a indiqué que les mots de passe de l'ensemble des 11,7 millions de membres restants n'ont pas été exposés dans le cadre de cet incident, et que les informations relatives aux cartes bancaires n'ont pas été compromises. Ces deux précisions sont importantes : elles indiquent que Capcom stocke ses mots de passe sous forme hachée dans une infrastructure distincte, et que les données de paiement font l'objet d'un cloisonnement de sécurité conforme aux standards PCI-DSS. Néanmoins, l'exposition des adresses e-mail combinées aux métadonnées de connexion constitue une surface d'attaque substantielle.

Les enquêtes préliminaires n'ont pas encore révélé le vecteur d'attaque initial utilisé par les intrus. Aucune revendication publique n'a été publiée par un groupe ransomware ou un acteur malveillant connu, ce qui laisse envisager plusieurs scénarios : une intrusion discrète visant l'exfiltration de données sans chiffrement, l'exploitation d'une faille technique non corrigée dans l'infrastructure d'identité, ou une compromission de comptes administrateurs ayant permis l'accès à la base de données. Capcom a confirmé avoir contacté les forces de l'ordre et travailler avec des experts en cybersécurité externes pour déterminer la cause racine.

Pourquoi cette violation dépasse le cadre du jeu vidéo

La compromission de CAPCOM ID s'inscrit dans une tendance de fond : les plateformes d'identité des éditeurs de jeux vidéo sont devenues des cibles de choix pour les cybercriminels. Cette attractivité s'explique par plusieurs facteurs convergents. D'abord, ces bases de données consolident des millions de profils actifs avec des adresses e-mail valides et vérifiées, ce qui en fait des ressources précieuses pour des campagnes de spam ou de phishing à grande échelle. Ensuite, les joueurs possèdent souvent des actifs numériques de valeur — skins, monnaies virtuelles, personnages rares — qui peuvent être revendus sur des marchés parallèles.

Capcom avait déjà subi une attaque ransomware majeure en 2020, perpétrée par le groupe Ragnar Locker, qui avait chiffré des systèmes internes et exfiltré environ 1 To de données sensibles, incluant des informations sur des milliers d'employés, des partenaires commerciaux et des données de développement de jeux non encore annoncés. Cet épisode avait coûté à l'entreprise plus de 30 millions de dollars en dépenses de remédiation et en impact opérationnel. La récurrence d'incidents de sécurité majeurs chez un acteur de cette taille soulève des questions légitimes sur la maturité des pratiques de sécurité de l'entreprise et sur l'efficacité des mesures correctives mises en place depuis 2020.

Sur le plan réglementaire, cet incident survient dans un contexte où le Japon a progressivement renforcé son cadre légal de protection des données personnelles. La révision de la loi sur la protection des informations personnelles (APPI) entrée en vigueur en 2022, puis ses amendements de 2024, impose aux entreprises des obligations de notification dans les 30 jours suivant la découverte d'une violation. Le respect de ce délai par Capcom — qui a notifié la PPC deux jours après la détection — est à noter positivement. Cependant, la communication vers les 11,7 millions d'utilisateurs affectés doit être rapide, complète et multilingue pour satisfaire aux exigences des différentes juridictions où résident les victimes.

Pour les utilisateurs européens, la violation entre également dans le champ du RGPD. Capcom opère en Europe via diverses structures juridiques, ce qui pourrait entraîner des notifications parallèles auprès des autorités de protection des données nationales. Les sanctions potentielles en cas de manquement aux obligations de notification ou de mesures de sécurité insuffisantes peuvent atteindre 4 % du chiffre d'affaires mondial annuel, soit plusieurs centaines de millions d'euros pour un groupe de la taille de Capcom.

Ce qu'il faut retenir

• 11,7 millions de comptes CAPCOM ID compromis : e-mails, IPs et métadonnées de connexion exposés, sans atteinte aux mots de passe ni aux données bancaires.
• Les utilisateurs concernés doivent se méfier des e-mails de phishing usurpant l'identité de Capcom et activer l'authentification à deux facteurs sur tous leurs comptes gaming.
• Cet incident illustre la vulnérabilité systémique des plateformes d'identité centralisées dans l'industrie du jeu vidéo et la nécessité d'investissements durables en cybersécurité.