Fuite de données chez Capcom : 11,7 millions de comptes exposés

Le 19 octobre 2026, Capcom, éditeur japonais de Street Fighter, Monster Hunter et Resident Evil, a détecté une activité suspecte sur ses serveurs, signe d'une fuite de données touchant Capcom ID, le compte unique servant à jouer en ligne à certains de ses titres, dont Street Fighter 6. L'entreprise a réagi immédiatement en coupant l'accès à la base concernée.

Deux jours plus tard, le 21 octobre, Capcom a signalé l'incident à la police d'Osaka ainsi qu'à la commission japonaise de protection des données. L'éditeur a publié un avis officiel le lendemain, confirmant l'ampleur de cette fuite de données.

Des millions d'adresses e-mail dans la nature

Au total, 11 774 247 comptes Capcom ID sont concernés dans le monde, selon le communiqué de l'éditeur relayé par NextINpact. Pour chacun, l'intrus a récupéré l'adresse e-mail, la date de création du compte, la date de dernière connexion, le nombre total de connexions et la dernière adresse IP utilisée.

Pour un sous-ensemble beaucoup plus restreint de 43 comptes, les données exposées vont plus loin : date de naissance, genre, pays de résidence et pseudonyme ont également fuité. Plus inquiétant, le pirate a réussi à modifier le mot de passe de 196 comptes avant d'être stoppé.

Capcom assure n'avoir trouvé aucune trace d'une fuite des mots de passe choisis par les joueurs eux-mêmes, et précise qu'aucune donnée bancaire ni numéro de carte de crédit ne fait partie des informations volées.

« aucune compromission des mots de passe de connexion aux comptes Capcom ID initialement définis par les utilisateurs eux-mêmes », Capcom, éditeur de jeux vidéo.

Un précédent en 2020, six ans plus tard

Ce n'est pas la première fois que Capcom subit une intrusion. En novembre 2020, l'éditeur avait déjà été victime d'un piratage avec demande de rançon, qui avait touché 15 649 personnes, selon Frandroid. La fuite de 2026 concerne environ 750 fois plus de comptes, même si les deux bilans ne mesurent pas exactement la même chose, l'un comptant des personnes et l'autre des comptes Capcom ID.

Les données volées en 2020 étaient toutefois plus sensibles sur le fond : noms, adresses postales, numéros de téléphone et informations RH de clients, de salariés et de partenaires de Capcom avaient alors fuité. En 2026, l'essentiel des données exposées reste limité aux e-mails et aux métadonnées de connexion.

Phishing et réponse de Capcom

L'éditeur prévient que les informations dérobées peuvent servir à monter des campagnes de hameçonnage particulièrement crédibles. Un escroc disposant de la date de dernière connexion et de l'adresse IP d'un joueur peut rédiger un faux message de support technique difficile à distinguer d'un vrai courriel Capcom.

Capcom recommande à ses utilisateurs de « faire preuve de prudence » et de ne cliquer sur aucun lien ou pièce jointe contenus dans des courriels suspects se présentant comme venant de l'entreprise. Les utilisateurs des comptes concernés ont été notifiés directement, et des formulaires de demande d'assistance ont été mis en ligne, y compris pour l'Europe.

« faire preuve de prudence », Capcom, éditeur de jeux vidéo.

L'éditeur indique avoir colmaté la faille exploitée et assure que l'incident n'a eu aucun impact sur l'accès aux serveurs de jeu ni sur les fonctionnalités multijoueurs de titres comme Monster Hunter ou Resident Evil. Le vecteur d'attaque initial n'a pour l'instant pas été rendu public.