Capcom sotto attacco hacker: rubati i dati di quasi 12 milioni di account, coinvolti anche Resident Evil e Street Fighter
Capcom è stata colpita da un grave attacco informatico che ha esposto informazioni associate a 11.774.247 record CAPCOM ID in tutto il mondo. L’azienda giapponese, conosciuta per serie come Resident Evil, Monster Hunter e Street Fighter, ha confermato che una terza parte ha ottenuto accesso non autorizzato al suo servizio di account unificati. Tra i dati interessati figurano indirizzi email, indirizzi IP e informazioni sulle attività di accesso. In 196 account sono state inoltre modificate le password senza il consenso dei titolari.
La vicenda presenta un ulteriore sviluppo: il 23 ottobre 2026 Capcom ha comunicato che gli aggressori hanno avuto accesso anche alle pagine del negozio online e-Capcom di 19 utenti giapponesi, esponendo dati personali più dettagliati, tra cui indirizzi postali, numeri di telefono e cronologia degli acquisti. L’azienda precisa che non sono stati coinvolti dati delle carte di credito e che non ha confermato il furto delle password originariamente scelte dagli utenti.
Quali dati sono stati rubati nell’attacco a CAPCOM ID
Il comunicato ufficiale del 22 ottobre elenca 11.774.247 record interessati a livello mondiale. Il dato si riferisce ai record comunicati da Capcom e non va necessariamente interpretato come il numero esatto di persone distinte coinvolte.
Le informazioni compromesse comprendono indirizzi email, data e ora di creazione dell’account, data e ora dell’ultimo accesso, numero degli accessi e indirizzo IP utilizzato nell’ultima sessione. Sono dati che, anche senza una password, possono aiutare un truffatore a creare messaggi convincenti e mirati.
Per un sottoinsieme di 43 record, Capcom ha segnalato anche l’esposizione di data di nascita, genere, Paese o regione e nickname. Si tratta di informazioni aggiuntive rispetto a quelle diffuse su scala più ampia.
Un’altra parte dell’incidente riguarda i 196 account per i quali le password sono state cambiate senza autorizzazione. Capcom ha provveduto a reimpostarle e ha indagato per capire se gli aggressori fossero riusciti a sfruttare l’accesso ottenuto per consultare altri dati.
Nuovo aggiornamento: coinvolti anche 19 clienti e-Capcom
L’indagine ha portato a una seconda comunicazione ufficiale, pubblicata il 23 ottobre. L’azienda ha stabilito che una terza parte ha raggiunto le pagine personali di 19 account e-Capcom, il negozio online di Capcom operante in Giappone, sfruttando l’accesso a una parte degli account le cui password erano state modificate.
Per questi 19 utenti risultano interessati nome e relativa trascrizione fonetica giapponese, numero di telefono, codice postale, indirizzo, genere, data di nascita, cronologia degli acquisti, richieste all’assistenza e indirizzi salvati. È quindi un insieme di dati più sensibili rispetto alle sole informazioni di accesso CAPCOM ID.
Capcom ha precisato che non sono state coinvolte informazioni sulle carte di credito. Per gli altri account tra i 196 interessati dalle modifiche non autorizzate delle password, la società ha dichiarato di non aver individuato ulteriori dati compromessi a seguito di quelle modifiche. L’indagine sull’impatto specifico è stata dichiarata conclusa, mentre proseguirà il monitoraggio dei servizi.
Quando è avvenuta la violazione e come ha reagito Capcom
Il primo segnale è stato individuato il 19 ottobre 2026, quando Capcom ha rilevato attività sospette sul servizio CAPCOM ID. Nella stessa giornata l’azienda ha confermato l’accesso non autorizzato e ha iniziato a bloccare l’intrusione e a identificare il metodo utilizzato.
Il 20 ottobre è stata istituita un’unità interna di risposta all’incidente. Il giorno successivo, 21 ottobre, Capcom ha segnalato l’accaduto alla polizia della prefettura di Osaka e alla Commissione giapponese per la protezione delle informazioni personali.
Secondo la società, le misure d’emergenza sono state completate e il metodo d’attacco individuato è stato affrontato. I dettagli tecnici della vulnerabilità o del percorso iniziale d’intrusione, però, non sono stati resi pubblici. Non è quindi possibile attribuire con certezza l’incidente a uno specifico gruppo di hacker o a una particolare tecnica.
Leggi anche:
Resident Evil, Street Fighter e Monster Hunter: i giochi funzionano?
CAPCOM ID è il sistema di account unificato utilizzato per accedere a diversi servizi web dell’editore e ad alcune funzionalità online dei suoi videogiochi. Tra i titoli associati all’ecosistema Capcom ci sono produzioni molto popolari come Street Fighter 6.
L’azienda ha assicurato che l’attacco non impedisce di accedere ai giochi né di continuare a giocare. I servizi che utilizzano CAPCOM ID sono rimasti disponibili dopo le contromisure adottate. Non è stata annunciata una sospensione generale dei server di Resident Evil, Street Fighter o Monster Hunter a causa dell’incidente.
Questo non significa che la violazione sia priva di conseguenze. L’esposizione degli indirizzi email può rendere i titolari degli account più vulnerabili a tentativi di phishing, anche quando i servizi online continuano a funzionare normalmente.
Il vero pericolo ora sono le email false che imitano Capcom
Capcom ha avvertito che i dati esposti potrebbero essere sfruttati per inviare email, SMS o altre comunicazioni fraudolente che sembrano provenire dall’azienda o da servizi collegati. Un criminale potrebbe, per esempio, sostenere che l’account sia stato bloccato dopo l’attacco e invitare l’utente a inserire le credenziali in un sito falso.
Il rischio è concreto perché le informazioni trapelate possono rendere i messaggi più credibili: conoscere l’indirizzo email associato a CAPCOM ID e alcuni dettagli di accesso può aiutare a costruire una truffa personalizzata. Per i 19 utenti e-Capcom con dati più dettagliati esposti, sono possibili anche tentativi di impersonificazione tramite telefono o messaggi.
È importante distinguere i fatti dalle ipotesi: Capcom non ha confermato il furto delle password originali dei clienti, ma ha verificato che gli aggressori sono riusciti a cambiarle in 196 casi. Anche per questo la prudenza resta necessaria.
Cosa fare subito se possiedi un account CAPCOM ID
Se utilizzi CAPCOM ID, il primo consiglio è accedere direttamente al sito ufficiale digitandone l’indirizzo nel browser, senza seguire collegamenti ricevuti via email o SMS. Controlla che l’account sia accessibile e verifica eventuali comunicazioni autentiche dell’azienda.
Per maggiore sicurezza puoi impostare una password nuova, lunga e unica, soprattutto se quella attuale viene utilizzata anche su altri servizi. Attiva inoltre l’autenticazione a due fattori, se non l’hai già fatto, utilizzando un’app di autenticazione compatibile.
Non aprire allegati inattesi e non inserire password o codici temporanei in pagine raggiunte da messaggi che richiedono interventi urgenti. Se ricevi una richiesta sospetta, consulta i canali di assistenza ufficiali di Capcom. Se la stessa password è stata riutilizzata altrove, cambiala anche sugli altri account interessati.
Capcom ha annunciato che contatterà i clienti coinvolti e ha predisposto canali di assistenza dedicati. Il numero elevato di record esposti rende importante seguire eventuali ulteriori comunicazioni, ma non è necessario bloccare una carta di pagamento soltanto sulla base di questo incidente, dato che la società esclude il coinvolgimento dei relativi dati.
Non è il primo grande incidente informatico per Capcom
La società giapponese aveva già affrontato una violazione significativa nel 2020, quando un attacco ransomware attribuito al gruppo Ragnar Locker aveva portato all’esposizione di dati aziendali e personali. All’epoca Capcom aveva indicato che il numero potenziale di persone coinvolte poteva arrivare a centinaia di migliaia.
L’episodio del 2026 è distinto da quello precedente e interessa in particolare il servizio CAPCOM ID. Il dato di quasi 12 milioni di record lo rende comunque un incidente di vasta portata per la comunità di giocatori.
Il punto centrale non riguarda soltanto la continuità dei videogiochi, che Capcom assicura essere preservata, ma la protezione delle informazioni personali e il rischio di truffe successive. Anche quando password originarie e carte di credito non risultano rubate, un archivio di indirizzi email e dettagli di accesso può diventare uno strumento prezioso per chi organizza campagne di phishing.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Che ne pensi?
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.