Para: qualquer pessoa com um CAPCOM ID (a conta compartilhada para os serviços web da Capcom e alguns jogos on-line), pessoas que jogam jogos da Capcom fora do Japão e quem administra um serviço com contas de membros. Este artigo se baseia no comunicado oficial da Capcom Co., Ltd., empresa japonesa de jogos, e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 24 de outubro de 2026Ainda não se sabe
- O método de ataque, o caminho e quando o acesso começou (não divulgados)
- Como as senhas são armazenadas (não mencionado)
- Como e quando os clientes afetados serão contatados
- Quantas pessoas a contagem de registros representa
A empresa publicou um segundo comunicado em 23 de outubro, dizendo que, em 19 das 196 contas cujas senhas haviam sido alteradas, os dados cadastrais da sua loja on-line e-Capcom vazaram. Diz que a investigação sobre o alcance do impacto foi concluída e que continuará monitorando o CAPCOM ID e os serviços relacionados.
O método e o caminho do ataque, e quando o acesso começou, continuam sem ser divulgados no segundo comunicado.
O que os titulares de CAPCOM ID devem fazer hoje
Fique atento a e-mails, mensagens de texto e ligações que se digam da Capcom ou de um jogo
No segundo comunicado, a empresa alerta que os dados vazados podem ser usados em mensagens de texto, ligações, e-mails ou outras comunicações fraudulentas que se passem pela Capcom ou por partes relacionadas, e pede que os clientes não acessem os URLs nem abram os anexos.
Se quem ligar pedir que você confirme seu nome ou endereço, ou pedir uma senha ou código de verificação, não responda; desligue.
Mesmo que o assunto diga algo como "Sua conta será suspensa", "Você precisa redefinir sua senha" ou "Compensação por itens do jogo" (exemplos deste site), não faça login pelo link. Abra o site oficial do CAPCOM ID a partir de um favorito ou de uma busca sua. O básico para reconhecer e-mails falsos está em O que é phishing.
Troque a senha em qualquer outro serviço em que você a reutilize
A empresa diz não ter confirmado vazamento das senhas definidas pelos próprios clientes e não pediu a ninguém que troque a senha.
No entanto, o ID de login do CAPCOM ID é o endereço de e-mail. Em geral, atacantes tentam entrar combinando endereços de e-mail vazados com senhas vazadas de outros sites. Se você usa a senha do CAPCOM ID em outros serviços, troque-as para que cada uma seja diferente. Este é um conselho geral deste site, não da empresa. Você pode verificar se suas senhas já vazaram com Como verificar se sua senha vazou.
Ative a autenticação em dois fatores no CAPCOM ID
Segundo a página de suporte da empresa, o CAPCOM ID permite configurar a autenticação em dois fatores (um código de um aplicativo autenticador no celular, além da senha) na página Account.
Com ela ativada, saber o e-mail e a senha não basta para entrar. A empresa observa que é preciso desativar a autenticação em dois fatores antes de trocar de celular. Como escolher um método está em Como escolher a autenticação multifator.
Se você usa a e-Capcom, desconfie de mensagens que mencionem seu endereço ou pedidos
Segundo o segundo comunicado, em 19 das 196 contas cujas senhas haviam sido alteradas (no Japão), um terceiro acessou as páginas de conta da e-Capcom, a loja on-line da empresa no Japão, e vazaram dados como nome, número de telefone, endereço, data de nascimento, histórico de compras, histórico de consultas e informações salvas da agenda de endereços. A empresa diz que entrará em contato individualmente com esses clientes.
Uma mensagem ou ligação que mencione um produto que você comprou ou uma entrega não é prova de que seja genuína. Se você salvou na agenda de endereços os endereços de entrega de familiares ou amigos, vale avisá-los para também desconfiarem de contatos inesperados.
Se você não consegue fazer login ou seus dados mudaram, procure o canal de suporte
A empresa diz ter confirmado que as senhas de 196 contas foram alteradas sem autorização e que já as redefiniu. Segundo o segundo comunicado, dados da e-Capcom vazaram em 19 dessas 196 contas; nas outras 177, não encontrou informações comprometidas em consequência das alterações de senha.
Se você não consegue fazer login ou vê alterações que não fez, procure o canal de suporte da sua região indicado na página de comunicados. No Japão, é a central de suporte específica para o incidente de segurança de dados do CAPCOM ID (ligação gratuita 0120-801-271, das 10:00 às 20:00 JST). Confira o número na página de comunicados, e não use um número que veio em um e-mail recebido.
Para usuários fora do Japão
Os 11.774.247 registros são um total mundial. A empresa criou um canal de suporte separado para cada região.
| Região (conforme o comunicado da empresa) | Onde perguntar |
|---|---|
| Japão | Central de suporte específica para o incidente de segurança de dados do CAPCOM ID (ligação gratuita 0120-801-271, das 10:00 às 20:00 JST) |
| América do Norte, Central e do Sul | Formulário de consulta do suporte ao cliente da Capcom USA |
| Europa, Oriente Médio e África | Formulário de consulta do suporte ao cliente da Capcom Europe, ou e-mail |
| Ásia (exceto Japão) e Oceania | E-mail do suporte ao cliente da Capcom Asia |
O URL do formulário e os endereços de e-mail estão na página de comunicados da Capcom (em japonês e inglês). Na versão em inglês, a entrada da Ásia e Oceania aparece como "Capcom Europe Customer Support"; o original em japonês, que prevalece, a chama de Capcom Asia Customer Support. Confira os dados de contato na página de comunicados, e não em um e-mail recebido.
O que aconteceu (segundo o comunicado da Capcom)
A Capcom Co., Ltd. publicou o "Notice and Apology Regarding Customer Information Affected Through Unauthorized Access" em 22 de outubro de 2026. O mesmo documento foi registrado no sistema de divulgação oportuna da Bolsa de Tóquio (TDnet) às 17:00 JST daquele dia. Tudo o que segue se baseia no comunicado da empresa e no comunicado do site do CAPCOM ID.
19 de outubro de 2026 (seg)
A empresa encontrou vestígios que sugeriam acesso não autorizado ao CAPCOM ID e começou imediatamente a bloquear o acesso e a investigar a causa e o alcance. No mesmo dia, confirmou que houve acesso não autorizado e tomou medidas de emergência.20 de outubro (ter)
A empresa criou internamente uma sede de resposta ao incidente. A investigação constatou que parte das informações de clientes cadastradas no CAPCOM ID vazou e que as senhas de algumas contas foram alteradas sem autorização. No mesmo dia, informou o caso ao seu órgão consultivo externo, o Information Technology Security Oversight Committee.21 de outubro (qua)
A empresa comunicou o incidente à polícia (a Polícia da Província de Osaka, segundo a versão em inglês) e à Comissão de Proteção de Informações Pessoais do Japão.22 de outubro (qui)
O comunicado foi publicado e também divulgado no site do CAPCOM ID. Dizia que a empresa entraria em contato individualmente com os clientes afetados e criaria canais de suporte específicos.23 de outubro (sex)
Segundo comunicado publicado. Em 19 das 196 contas cujas senhas haviam sido alteradas (no Japão), um terceiro havia acessado páginas de conta da e-Capcom, e vazaram nome, endereço, número de telefone, histórico de compras e outros dados. A empresa disse que a investigação sobre o alcance do impacto estava concluída.
O comunicado não diz quando o acesso não autorizado começou. O dia 19 de outubro é o dia em que a empresa encontrou os vestígios.
- Empresa
- Capcom Co., Ltd.
- Serviço
- CAPCOM ID, a conta de associação on-line usada nos serviços web da Capcom e necessária para alguns jogos on-line
- Dados vazados
- Endereços de e-mail e informações de identificação específicas do sistema (data e hora de criação da conta, data e hora do último login, número de logins, endereço IP do cliente no último login): 11.774.247 registros (total mundial)
- Vazados em alguns casos
- Data de nascimento, gênero, país/região, apelido: 43 dos registros acima
- Senhas
- Nenhum vazamento de senhas definidas pelos clientes confirmado. As senhas de 196 das contas acima haviam sido alteradas sem autorização e foram redefinidas
- Impacto das alterações de senha (segundo comunicado)
- Em 19 das 196 contas (no Japão), um terceiro acessou as páginas de conta da loja on-line e-Capcom. Vazaram nome, nome em caracteres fonéticos japoneses, número de telefone, CEP, endereço, gênero, data de nascimento, histórico de compras, histórico de consultas à e-Capcom e informações salvas da agenda de endereços. Nas outras 177 das 196 contas, não se constatou comprometimento de informações em consequência das alterações de senha
- Não incluídas
- Informações de cartão de crédito (também não incluídas nos 19 registros da e-Capcom)
- Causa
- Acesso não autorizado por um terceiro. A empresa diz ter identificado e tratado o método de ataque. O método e o caminho não foram divulgados
- Investigação do alcance
- Concluída (segundo comunicado). O monitoramento do CAPCOM ID e dos serviços relacionados continua
- Comunicações às autoridades
- Polícia (Polícia da Província de Osaka na versão em inglês) e Comissão de Proteção de Informações Pessoais (21 de outubro); Information Technology Security Oversight Committee, comitê externo da empresa (20 de outubro)
- Serviços
- Os serviços que usam o CAPCOM ID continuam disponíveis. Nenhum jogo é afetado quanto à jogabilidade. Os endereços de e-mail cadastrados podem continuar sendo usados
- Contato com clientes
- Os clientes afetados serão contatados individualmente (método não informado)
- Prevenção
- A empresa diz que tomará medidas com base na causa identificada e fortalecerá sua segurança da informação. Nenhum detalhe é dado
O que se sabe e o que não se sabe
Esta é a situação em 24 de outubro de 2026, incluindo o segundo comunicado de 23 de outubro. Quando um novo comunicado for publicado, a coluna de situação será atualizada.
| Item | O que diz o comunicado | Situação |
|---|---|---|
| Descoberta e início do bloqueio | Vestígios encontrados em 19 de outubro; a empresa começou imediatamente a bloquear o acesso e a investigar a causa e o alcance; acesso não autorizado confirmado no mesmo dia | Confirmado (empresa) |
| Endereços de e-mail e dados de identificação | 11.774.247 registros (mundo todo). Identificadores: hora de criação, hora do último login, número de logins, IP do cliente no último login | Vazamento confirmado (empresa) |
| Data de nascimento, gênero, país/região, apelido | 43 dos registros acima | Vazamento confirmado (empresa) |
| Alterações de senha não autorizadas | 196 das contas acima; redefinidas | Confirmado (empresa) |
| Dados cadastrais da e-Capcom (segundo comunicado) | 19 das 196 contas (no Japão). Nome, nome fonético, número de telefone, CEP, endereço, gênero, data de nascimento, histórico de compras, histórico de consultas, agenda de endereços salva | Vazamento confirmado (empresa) |
| Impacto nas outras 177 das 196 contas | Nenhuma informação comprometida encontrada em consequência das alterações de senha | Não confirmado (empresa) |
| Senhas definidas pelos clientes | Nenhum vazamento confirmado | Não confirmado (empresa) |
| Como as senhas são armazenadas | Não informado | Não mencionado |
| Informações de cartão de crédito | Não estavam entre os dados afetados (o mesmo vale para os 19 registros da e-Capcom) | Não incluídas (empresa) |
| Nome, endereço postal e telefone no CAPCOM ID | Não listados entre os itens vazados do CAPCOM ID (os 19 registros acima vieram das páginas de conta da e-Capcom) | Não mencionado |
| Causa | Acesso não autorizado por um terceiro; método de ataque identificado e tratado; método e caminho não informados | Confirmado (empresa) / detalhes não mencionados |
| Quando o acesso começou | Não informado | Não mencionado |
| Investigação do alcance | Concluída (segundo comunicado); monitoramento continua | Confirmado (empresa) |
| Quantas pessoas | Apresentado como contagem de registros ou contas, não de pessoas | Não mencionado |
| Comunicações à polícia e ao órgão regulador | Feitas em 21 de outubro | Confirmado (empresa) |
| Contato com os clientes afetados | Entrará em contato individualmente com os clientes afetados (método não informado) | Planejado (empresa) |
| Serviços e jogos | Continuam disponíveis; sem efeito na jogabilidade | Confirmado (empresa) |
| Uso indevido dos dados vazados | Alerta que podem ser enviadas mensagens de texto, ligações e e-mails fraudulentos; não diz que algum uso indevido tenha sido confirmado | Não mencionado |
Nota de leitura: "não confirmado" versus "não incluído"
O comunicado diz que informações de cartão de crédito "não estavam incluídas entre as informações afetadas". Quanto às senhas, diz apenas que nenhum vazamento foi confirmado, o que não é o mesmo que dizer que as senhas ficaram fora do alcance.
As 196 "alterações de senha não autorizadas" não significam que senhas vazaram; significam que um terceiro havia alterado as senhas dessas contas. O segundo comunicado mostrou que, em 19 delas, o terceiro foi além e acessou páginas de conta da e-Capcom. Mantenha esses pontos separados, como fazem os comunicados.
Para que os itens vazados podem ser usados
O que segue descreve o que pode acontecer em geral, não o que aconteceu neste caso. O comunicado não diz que algum uso indevido tenha sido confirmado.
Endereço de e-mail (mostra que você usa o CAPCOM ID)
↓→
E-mails falsos que se dizem da Capcom ou de um jogo
→ Não faça login por links; abra o site oficial a partir de um favorito
Endereço de e-mail = ID de login
↓→
Tentativas de login com senhas vazadas de outros sites
→ Não reutilize senhas; ative a autenticação em dois fatores
Hora de criação, hora do último login, número de logins
↓→
Alertas falsos convincentes, como "Detectamos um login em [data]"
→ Uma data correta não prova que a mensagem é genuína
Nome, endereço, telefone, histórico de compras (19 registros da e-Capcom)
↓→
Mensagens ou ligações que mencionam pedidos ou entregas reais
→ Não informe dados pessoais por telefone; ligue você mesmo para a linha oficial
Não incluídos, ou sem vazamento confirmado, segundo o comunicado
- Informações de cartão de crédito (não incluídas, também nos 19 registros da e-Capcom)
- Senhas definidas pelos clientes (nenhum vazamento confirmado)
- Vazamentos decorrentes das alterações de senha nas outras 177 das 196 contas (nenhum encontrado)
Itens que o comunicado diz que vazaram
- Endereço de e-mail (também o ID de login)
- Hora de criação da conta, hora do último login, número de logins
- Endereço IP do cliente no último login
- Em 43 registros, data de nascimento, gênero, país/região e apelido
- Em 19 registros (Japão), nome, endereço, telefone, data de nascimento, histórico de compras, histórico de consultas e agenda de endereços salva da e-Capcom (segundo comunicado)
Nos 19 registros, nome, endereço e telefone vazaram junto com o histórico de compras. Em geral, essa combinação permite enviar mensagens ou fazer ligações convincentes que citam pedidos reais, portanto o mesmo cuidado vale para mensagens e ligações como para e-mails.
Diferentemente de uma senha, um endereço de e-mail é difícil de trocar rapidamente. Em geral, e-mails falsos com outros pretextos podem chegar a um endereço vazado muito tempo depois do ocorrido, então mantenha-se atento por um tempo.
Outros casos de outubro de 2026 centrados em endereços de e-mail são o vazamento do Lawson ID e o vazamento de endereços de e-mail da JR East, VIEW Card e JR Kyushu. A causa e o alcance variam de caso para caso, então este não seguirá necessariamente o mesmo caminho.
Este é um incidente diferente do caso da Capcom em 2020
Em novembro de 2020, a Capcom sofreu um ataque de ransomware e anunciou que dados pessoais haviam vazado (Capcom Ransomware (2020)). O comunicado atual trata de um incidente separado de acesso não autorizado ao CAPCOM ID e não menciona nenhuma ligação com o caso de 2020.
Para quem administra serviços com contas de membros
A empresa não divulgou o método de ataque, então esta seção não diz como preveni-lo e não é uma avaliação da resposta da empresa. O que os comunicados mostram é que endereços de e-mail que também são IDs de login vazaram, que as senhas de algumas contas haviam sido alteradas e, pelo segundo comunicado, que em 19 dessas contas as páginas de conta da loja on-line e-Capcom também foram acessadas sem autorização. Os passos abaixo se concentram no que você pode revisar com antecedência à luz desses três pontos.
Avise o titular da conta quando uma senha ou endereço de e-mail mudar
Neste caso, a empresa confirmou que as senhas de 196 contas foram alteradas sem autorização. Em geral, notificar os titulares sobre alterações de senha permite que percebam mudanças que não fizeram.
Enviar a notificação para os dados de contato registrados antes da alteração faz com que ela ainda chegue ao verdadeiro dono se alguém os tiver substituído. Se a notificação disser "se não foi você", explique como verificar no site oficial em vez de incluir um link, para que seja mais fácil distingui-la de alertas falsos.
Decida por quanto tempo manter os campos de histórico de login
Entre os itens vazados estão a hora do último login, o número de logins e o endereço IP do cliente no último login. Eles ajudam a detectar logins não autorizados, mas, se vazarem, revelam como uma conta é usada.
Decidir qual histórico manter junto ao registro da conta e por quanto tempo reduz o alcance caso ocorra um vazamento. Os registros usados para monitorar logins não autorizados também podem ser mantidos separadamente, com finalidade e prazo de retenção definidos.
Ofereça a autenticação em dois fatores de um jeito que as pessoas realmente usem
O CAPCOM ID oferece autenticação em dois fatores (página de suporte da empresa). Em geral, a autenticação em dois fatores que apenas está disponível tende a ser pouco usada e protege somente quem a ativa.
Sugerir a configuração na tela de login ou antes de ações importantes, e oferecer suporte a passkeys, pode aumentar a adesão. As diferenças são explicadas em O que é autenticação em dois fatores e O que é uma passkey.
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo. O método e o caminho de ataque não divulgados não são objeto de suposição.
- Capcom Co., Ltd., "不正アクセスによるお客様情報漏えいのお詫びとお知らせ" (original em japonês, 22 de outubro de 2026) — capcom.co.jp (PDF: capcom.co.jp)
- Capcom Co., Ltd., "Notice and Apology Regarding Customer Information Affected Through Unauthorized Access" (inglês, 22 de outubro de 2026) — capcom.co.jp (PDF: capcom.co.jp)
- Capcom Co., Ltd., "Update to Notice and Apology Regarding Customer Information Affected Through Unauthorized Access" (inglês, 23 de outubro de 2026) — capcom.co.jp (PDF: capcom.co.jp; original em japonês: capcom.co.jp)
- Serviço de divulgação oportuna da Bolsa de Tóquio (TDnet), registro às 17:00 JST de 22 de outubro de 2026 (verificado em 23 de outubro) — release.tdnet.info
- CAPCOM ID, comunicado sobre acesso não autorizado e informações de clientes (seção de comunicados, 22 de outubro de 2026) — cid.capcom.com
- CAPCOM ID, "Support" (login e autenticação em dois fatores, verificado em 23 de outubro) — cid.capcom.com
- Lista de notícias de RI da Capcom Co., Ltd. (verificada em 24 de outubro) — capcom.co.jp
- BleepingComputer, "Capcom confirms data breach affecting 11.7 million accounts" (23 de outubro de 2026, reportagem) — bleepingcomputer.com
Histórico de atualizações
2026-10-23: Primeira versão, com base no comunicado da Capcom de 22 de outubro (japonês e inglês), no registro no TDnet e no comunicado e na página de suporte do CAPCOM ID (verificados às 11:00 JST de 23 de outubro).
2026-10-24: Atualizado com o segundo comunicado de 23 de outubro: em 19 das 196 contas cujas senhas haviam sido alteradas (no Japão), nome, endereço, telefone, histórico de compras e outros dados vazaram das páginas de conta da e-Capcom; nenhum vazamento foi encontrado nas outras 177 das 196 contas; a investigação do alcance está concluída; e o alerta agora abrange mensagens de texto e ligações. "Resultados da investigação do alcance" e "o que foi feito nas 196 contas" foram removidos dos itens em aberto.
Leia a seguir
- O caso separado da Capcom em 2020: Capcom Ransomware (2020)
- Casos do mesmo período: Vazamento do Lawson ID / Vazamento do Carsensor.net e C-MATCH / Acesso não autorizado à Nikkei (cerca de 1,83 milhão de registros)
- Preparação contra e-mails falsos: O que é phishing / Spam vindo do seu próprio endereço de e-mail
- Proteção de contas: Como escolher um gerenciador de senhas / Como escolher a autenticação multifator
- Outros incidentes de 2026: Vazamentos de dados e ataques cibernéticos de 2026 (Japão e mundo)