Capcom a reconnu le 22 octobre 2026 qu’un intrus avait eu accès aux données de 11 774 247 comptes CAPCOM ID, l’identifiant commun aux joueurs de Resident Evil, Monster Hunter ou Street Fighter 6. Les mots de passe et les cartes bancaires ne figurent pas, à ce stade, parmi les données dérobées. Le vrai danger pour les joueurs est ailleurs : des courriels frauduleux très crédibles.
Ce que Capcom a annoncé
D’après IT-Connect, l’éditeur japonais a repéré une activité anormale le 19 octobre et a confirmé l’intrusion le jour même. Selon le Journal du Geek, il a ensuite prévenu la police d’Osaka le 21 octobre, avant de publier son communiqué le lendemain. La date exacte à laquelle le pirate est entré dans les systèmes n’est pas connue.
Le compte CAPCOM ID sert de porte d’entrée unique aux services en ligne de l’éditeur. C’est ce qui explique l’ampleur du chiffre : presque douze millions d’enregistrements, répartis dans le monde entier. Le service reste ouvert et les jeux fonctionnent normalement, précise IT-Connect.
Quelles données ont fuité
Pour l’immense majorité des comptes, la fuite concerne des informations de connexion plutôt que des données sensibles :
- l’adresse électronique liée au compte ;
- la date de création et la date de la dernière connexion ;
- le nombre de connexions ;
- l’adresse IP utilisée lors de la dernière connexion.
Deux petits groupes sont plus touchés. Pour 43 personnes, la date de naissance, le genre, le pays et le pseudonyme ont aussi été exposés. Pour 196 comptes, l’attaquant a carrément changé le mot de passe ; Capcom les a réinitialisés depuis. Selon IT-Connect, ce dernier point laisse penser que l’intrus a pu toucher au mécanisme de modification des identifiants, ce que l’éditeur n’a pas commenté.
L’éditeur dit n’avoir trouvé aucune trace de vol des mots de passe choisis par les joueurs, ni des moyens de paiement. Il n’a pas demandé à l’ensemble des utilisateurs de changer leur mot de passe, relève Cyber-securite.fr.
Pourquoi le risque principal est l’hameçonnage
Une adresse électronique seule semble anodine. Associée à une date de création de compte, une date de dernière connexion et une adresse IP, elle devient la matière première d’un message piège convaincant. Un fraudeur peut écrire à un joueur en citant sa vraie date d’inscription ou sa dernière session, puis l’inviter à « confirmer son identité » sur une fausse page Capcom.
Capcom a lui-même averti que des personnes pourraient se faire passer pour lui ou pour ses partenaires dans les semaines à venir, rapporte le Journal du Geek. IT-Connect cite l’exemple type d’un faux avertissement de « connexion inhabituelle détectée ». Ces messages visent à récupérer un mot de passe, un code de validation ou un paiement.
Comment se protéger dès maintenant
Les recommandations relayées par les trois médias se recoupent. Voici les gestes utiles, du plus urgent au plus durable :
- Ne cliquez sur aucun lien d’un courriel ou d’un SMS se réclamant de Capcom, et n’ouvrez pas les pièces jointes. Vérifiez l’adresse de l’expéditeur.
- Tapez vous-même l’adresse du portail CAPCOM ID dans le navigateur pour contrôler l’activité de votre compte.
- Changez votre mot de passe ailleurs si vous utilisiez le même sur d’autres services, en commençant par votre messagerie principale.
- Activez la double authentification par une application sur smartphone, et gardez le code de secours en lieu sûr.
- Méfiez-vous des messages qui citent votre dernière connexion ou votre adresse IP : ces données ont fuité et peuvent rendre une arnaque crédible.
Cyber-securite.fr conseille aussi aux parents de vérifier les comptes de leurs enfants : le portail accepte les moins de 13 ans depuis janvier 2025, et ce public est particulièrement exposé aux messages piégés.
Un éditeur déjà visé par le passé
Ce n’est pas la première fois que Capcom subit une intrusion. IT-Connect rappelle qu’en 2020, le groupe avait été frappé par le rançongiciel Ragnar Locker, entré par un ancien boîtier VPN de secours de sa filiale américaine ; les données de 15 649 personnes avaient alors été compromises. Rien n’indique pour l’instant de lien entre les deux affaires. L’enquête annoncée par l’éditeur devra dire comment un tiers a pu lire près de douze millions de fiches et modifier des mots de passe. Capcom promet de contacter directement les personnes concernées.
Questions fréquentes
Comment savoir si mon compte Capcom est concerné ?
Capcom indique qu’il contactera les personnes touchées. Vu l’ampleur, tout titulaire d’un compte CAPCOM ID doit se considérer comme potentiellement exposé et redoubler de prudence face aux messages reçus au nom de l’éditeur.
Dois-je changer mon mot de passe CAPCOM ID ?
Capcom ne l’exige pas, car il n’a pas trouvé de vol des mots de passe d’origine. Le changer reste une précaution raisonnable, et devient indispensable si ce mot de passe sert aussi sur d’autres sites.
Mes données bancaires sont-elles en danger ?
Selon les informations publiées par Capcom et reprises par la presse, aucune donnée de carte bancaire n’a été compromise. Le risque vient surtout de faux messages qui chercheraient à vous en soutirer.
Sources
- Capcom piraté : 11,7 millions de comptes exposés et des mots de passe changés par l'attaquant — IT-Connect, 2026-10-23
- 11,7 millions de comptes Capcom piratés, les joueurs de Resident Evil, Monster Hunter et Street Fighter sont concernés — Journal du Geek, 2026-10-23
- Capcom confirme une fuite touchant 11,7 millions de comptes — Cyber-securite.fr, 2026-10-23