Capcom-databrud: 11,7 millioner CAPCOM-ID-poster afsløret

Capcom bekræftede den 22. oktober 2026, at en tredjepart fik uautoriseret adgang til CAPCOM ID, kontotjenesten bag online spil i Street Fighter 6 og Monster Hunter, og at 11.774.247 poster blev afsløret. Præsident og COO Haruhiro Tsujimoto underskrev undskyldningen, og virksomheden siger, at kontosystemet og alle spil, der er knyttet til det, forblev online under hændelsen.

CAPCOM ID er udgiverens samlede login til deres webtjenester og et krav for onlinespil i flere af deres spil, så de fleste, der er gået online i et Capcom-spil i de senere år, har en konto. Pressemeddelelsen opdeler skaden i tre niveauer. Alle 11.774.247 poster indeholdt en e-mailadresse og det, Capcom kalder systemspecifikke identifikatoroplysninger. Af disse indeholdt 43 også en fødselsdato, køn, land eller region og et kaldenavn. Adgangskoder blev ændret uden autorisation på 196 konti, og Capcom har allerede nulstillet dem, mens de arbejder på, hvor langt adgangen nåede.

Identifikationsdataene er mere specifikke, end formuleringen antyder: tidspunktet for oprettelsen af en konto, tidspunktet for dens sidste login, det samlede antal logins og klientens IP-adresse, der blev brugt ved den sidste login. Meddelelsen, som RockPaperShotgun har opdaget, siger, at virksomheden ikke har bekræftet nogen kompromittering af adgangskoder, som kunderne selv har angivet.

Meddelelsen giver ingen plads til betalingsdata:

"Kreditkortoplysninger var ikke blandt de berørte oplysninger."

— Capcom

Tidslinjen er kort. Capcom opdagede mistænkelig aktivitet den 19. oktober, begyndte at blokere adgangen samme dag og bekræftede indtrængen, inden dagen var omme. Et internt hovedkvarter for indsatsen blev åbnet den 20. oktober, hvor virksomheden bekræftede, at registrerede kundedata var blevet nået, og orienterede sin eksterne komité for tilsyn med informationsteknologisikkerhed. Den 21. oktober underrettede de Osaka-præfekturpolitiet og Japans kommission for beskyttelse af personlige oplysninger. Tre dage fra opdagelse til en offentlig meddelelse med konkrete tal er hurtigere, end de fleste udgivere formår, og jeg vil tage det frem for en erklæring om, at en igangværende undersøgelse er i gang.

Dette er også den anden afsløring af sin slags fra virksomheden. Et Ragnar Locker ransomware-angreb i november 2020 endte med omkring 390.000 personer angivet som potentielt berørte, hvoraf 16.415 blev bekræftet, og det tog måneder med opfølgende rapporter at få det til at fungere. Det ramte interne systemer og partnerregistre snarere end en kontotjeneste, hvilket gør det til første gang, at udgiverens egen spillerbase har været målet.

Den praktiske risiko ligger nu i indbakken. Capcom advarer om, at de eksponerede adresser kan bruges til e-mails, der udgiver sig for at være udgiveren eller dennes partnere, og beder kunderne om ikke at åbne vedhæftede filer eller følge links i noget, der ser mærkeligt ud. En dedikeret supportlinje er åben i Japan på 0120-801-271 fra kl. 10:00 til 20:00 JST, Amerika og EMEA henvises til en forespørgselsformular på capcom-support.com, og Asien og Oceanien viderestilles til [email protected].

Capcom siger, at de har identificeret og adresseret den anvendte angrebsmetode, at berørte kunder vil blive kontaktet direkte, og at alt yderligere vil blive lagt ud på deres hjemmeside. Registrerede adresser fortsætter med at fungere som normalt i mellemtiden. Det er ikke muligt at framelde sig, hvis man spiller disse spil online, hvilket er det, der gør phishing-advarslen mere værd end den sædvanlige standardtekst.

Elleve millioner spiladresser med login-tidsstempler tilknyttet udgør et fungerende phishing-kit, og falske mails til nulstilling af adgangskode forklædt som CAPCOM ID-meddelelser vil ikke være langt bagefter. De 196 uautoriserede ændringer af adgangskode er den del, jeg ville holde øje med, fordi ændring af en adgangskode kræver mere adgang end at læse en tabel med e-mailadresser.

CAPCOM ID har så mange konti, fordi næsten alt, hvad udgiveren udgiver, nu kører gennem det. Resident Evil 2 solgte 20 millioner eksemplarer og blev franchisens bestseller, foran Resident Evil 5 med 19 millioner og Resident Evil 7 med 18,4 millioner. Analytiker Rhys Elliott hos Alinea Analytics anslog Capcoms Steam-omsætning til 617 millioner dollars, hvoraf 309 millioner dollars var nettofortjeneste, hvor Requiem alene omsatte 200 millioner dollars på platformen.

Tempoet er heller ikke faldet i år. Onimusha: Way of the Sword solgte 1 million eksemplarer på udgivelsesdagen den 4. september og bragte serien over 10 millioner i alt, Resident Evil Requiem blev det hurtigst sælgende spil, franchisen har haft med 8,5 millioner, og den nye IP Pragmata nåede 2,5 millioner i løbet af sommeren.

Requiem så meget anderledes ud i sine tidlige udkast. Producer Masachika Kawata har beskrevet de oprindelige planer for Resident Evil Requiem som et onlinekoncept, som instruktør Koshi Nakanishi udforskede, og som holdet derefter droppede, med Leon som den eneste hovedperson, indtil Grace Ashcroft blev tilføjet, fordi hans kampfærdigheder gjorde gysergenren sværere at lande.

Den udøvende producer Jun Takeuchi har lagt serien op som to numre, nummererede indlæg, der bærer den aktuelle historie, og genindspilninger, der dækker fortiden, med en allerede udarbejdet plan for, hvornår de to mødes. Denne ramme får fans til at behandle genindspilningerne af Resident Evil 5 og Resident Evil 6 som et spørgsmål om hvornår, selvom insider Dusk Golem fastholder, at ingen af dem er under aktiv udvikling i øjeblikket.

Den næste bekræftede udgivelse er Resident Evil Veronica, genindspilningen af Code Veronica fra 2000, der blev annonceret på Summer Game Fest i juni. En reklamevideo, der er klippet til Halloween-udsalget, viser fans, der læser en Hound Wolf Squad-skjorte, og en gentaget stemme fra den originale trailer som en teaser af Chris Redfield i Resident Evil Veronica sammen med Claire. Genindspilningen er dateret til 2027, men rapporter peger på andet halvår, og Requiem-historiens DLC har slet ingen dato.