Для кого: для всех, у кого есть CAPCOM ID (единый аккаунт для веб-сервисов Capcom и некоторых онлайн-игр), для тех, кто играет в игры Capcom за пределами Японии, и для тех, кто управляет сервисом с аккаунтами участников. Статья основана на официальном уведомлении Capcom Co., Ltd., японской игровой компании, и не описывает приёмы атак.
Ситуация развивается: статья будет обновляться по мере новых публикаций организации
По состоянию на 24 октября 2026 годаПока неизвестно
- Метод атаки, путь и время начала доступа (не раскрыты)
- Как хранятся пароли (не упоминается)
- Как и когда с затронутыми клиентами свяжутся
- Скольким людям соответствует число записей
Компания опубликовала второе уведомление 23 октября, сообщив, что по 19 из 196 аккаунтов, на которых были изменены пароли, утекли зарегистрированные данные в её интернет-магазине e-Capcom. Она сообщает, что расследование масштаба воздействия завершено и что она продолжит мониторинг CAPCOM ID и связанных сервисов.
Метод и путь атаки, а также время начала доступа во втором уведомлении по-прежнему не раскрыты.
Что владельцам CAPCOM ID сделать сегодня
Остерегайтесь писем, сообщений и звонков от имени Capcom или игры
Во втором уведомлении компания предупреждает, что утёкшие данные могут быть использованы в мошеннических сообщениях, звонках, письмах и других обращениях от имени Capcom или связанных лиц, и просит клиентов не переходить по указанным в них URL и не открывать вложения.
Если звонящий просит подтвердить имя или адрес либо назвать пароль или код подтверждения, не отвечайте; положите трубку.
Даже если в теме написано что-то вроде «Ваш аккаунт будет заблокирован», «Нужно сбросить пароль» или «Компенсация за игровые предметы» (примеры этого сайта), не входите в аккаунт по ссылке. Открывайте официальный сайт CAPCOM ID из закладки или через собственный поиск. Основы распознавания поддельных писем описаны в статье Что такое фишинг.
Смените пароль на других сервисах, где вы его повторяете
Компания сообщает, что не подтвердила утечку паролей, которые клиенты задали сами, и не просила никого менять пароли.
Однако логином CAPCOM ID служит адрес электронной почты. Как правило, злоумышленники пытаются войти, сочетая утёкшие адреса электронной почты с паролями, утёкшими с других сайтов. Если вы используете пароль от CAPCOM ID на других сервисах, смените их, чтобы везде они были разными. Это общий совет этого сайта, а не компании. Проверить, утекали ли ваши пароли раньше, можно с помощью статьи Как проверить, утёк ли ваш пароль.
Включите двухфакторную аутентификацию для CAPCOM ID
Согласно странице поддержки компании, CAPCOM ID позволяет настроить двухфакторную аутентификацию (код из приложения-аутентификатора на телефоне в дополнение к паролю) на странице «Аккаунт».
Когда она включена, знания адреса электронной почты и пароля для входа недостаточно. Компания отмечает, что перед сменой телефона двухфакторную аутентификацию нужно отключить. О том, как выбрать способ, рассказано в статье Как выбрать многофакторную аутентификацию.
Если вы пользуетесь e-Capcom, остерегайтесь сообщений, где упоминаются ваш адрес или заказы
Согласно второму уведомлению, по 19 из 196 аккаунтов, на которых были изменены пароли (в Японии), третье лицо получило доступ к страницам аккаунтов e-Capcom, интернет-магазина компании в Японии, и утекли данные, включая имя, номер телефона, адрес, дату рождения, историю покупок, историю обращений и сохранённую информацию адресной книги. Компания сообщает, что свяжется с этими клиентами индивидуально.
Сообщение или звонок, где упоминается купленный вами товар или доставка, не доказывает, что это подлинное обращение. Если в адресной книге вы сохраняли адреса доставки членов семьи или друзей, стоит предупредить и их, чтобы они остерегались неожиданных обращений.
Если вы не можете войти или ваши данные изменились, обратитесь в службу поддержки
Компания сообщает, что подтвердила изменение паролей на 196 аккаунтах без разрешения и что уже сбросила их. Согласно второму уведомлению, по 19 из этих 196 аккаунтов утекли данные e-Capcom; по остальным 177 она не обнаружила компрометации информации в результате смены паролей.
Если вы не можете войти или видите изменения, которых не делали, обратитесь в службу поддержки вашего региона, указанную на странице уведомления. В Японии это выделенная линия поддержки по инциденту с безопасностью данных CAPCOM ID (бесплатный номер 0120-801-271, с 10:00 до 20:00 JST). Проверяйте номер на странице уведомления, а не используйте номер из полученного письма.
Для пользователей за пределами Японии
11 774 247 записей — это общемировой итог. Компания открыла отдельный канал поддержки для каждого региона.
| Регион (по уведомлению компании) | Куда обращаться |
|---|---|
| Япония | Выделенная линия поддержки по инциденту с безопасностью данных CAPCOM ID (бесплатный номер 0120-801-271, с 10:00 до 20:00 JST) |
| Северная, Центральная и Южная Америка | Форма обращения в службу поддержки Capcom USA |
| Европа, Ближний Восток и Африка | Форма обращения в службу поддержки Capcom Europe или электронная почта |
| Азия (кроме Японии) и Океания | Электронная почта службы поддержки Capcom Asia |
URL форм и адреса электронной почты указаны на странице уведомления Capcom (на японском и английском). В английской версии запись для Азии и Океании названа «Capcom Europe Customer Support»; в японском оригинале, который имеет приоритет, она названа Capcom Asia Customer Support. Проверяйте контактные данные на странице уведомления, а не в полученном письме.
Что произошло (по уведомлению Capcom)
Capcom Co., Ltd. опубликовала «Notice and Apology Regarding Customer Information Affected Through Unauthorized Access» 22 октября 2026 года. Тот же документ был подан в систему своевременного раскрытия информации Токийской фондовой биржи (TDnet) в 17:00 JST в тот же день. Всё, что описано ниже, основано на уведомлении компании и уведомлении на сайте CAPCOM ID.
19 октября 2026 (пн)
Компания обнаружила следы, указывающие на несанкционированный доступ к CAPCOM ID, и сразу начала блокировать доступ и расследовать причину и масштаб. В тот же день она подтвердила, что несанкционированный доступ имел место, и приняла экстренные меры.20 октября (вт)
Компания создала внутренний штаб по реагированию на инцидент. Расследование показало, что часть информации о клиентах, зарегистрированной в CAPCOM ID, утекла и что пароли на некоторых аккаунтах были изменены без разрешения. В тот же день она сообщила об этом своему внешнему консультативному органу, Комитету по надзору за информационной безопасностью.21 октября (ср)
Компания сообщила об инциденте в полицию (по английской версии — в полицию префектуры Осака) и в Комиссию по защите персональной информации Японии.22 октября (чт)
Уведомление было опубликовано, а также размещено на сайте CAPCOM ID. В нём говорилось, что компания свяжется с затронутыми клиентами индивидуально и откроет выделенные каналы поддержки.23 октября (пт)
Опубликовано второе уведомление. По 19 из 196 аккаунтов, на которых были изменены пароли (в Японии), третье лицо получило доступ к страницам аккаунтов e-Capcom, и утекли имя, адрес, номер телефона, история покупок и другие данные. Компания сообщила, что расследование масштаба воздействия завершено.
В уведомлении не сказано, когда начался несанкционированный доступ. 19 октября — это день, когда компания обнаружила следы.
- Компания
- Capcom Co., Ltd.
- Сервис
- CAPCOM ID, онлайн-аккаунт участника, используемый для веб-сервисов Capcom и необходимый для некоторых онлайн-игр
- Утёкшие данные
- Адреса электронной почты и системные идентификаторы (дата и время создания аккаунта, дата и время последнего входа, число входов, клиентский IP-адрес последнего входа): 11 774 247 записей (общемировой итог)
- Утекло по части записей
- Дата рождения, пол, страна/регион, псевдоним: 43 из указанных выше записей
- Пароли
- Утечка паролей, заданных клиентами, не подтверждена. Пароли на 196 из указанных выше аккаунтов были изменены без разрешения и сброшены
- Последствия смены паролей (второе уведомление)
- По 19 из 196 аккаунтов (в Японии) третье лицо получило доступ к страницам аккаунтов интернет-магазина e-Capcom. Утекли имя, имя японской фонетической записью, номер телефона, почтовый индекс, адрес, пол, дата рождения, история покупок, история обращений в e-Capcom и сохранённая информация адресной книги. По остальным 177 из 196 аккаунтов компрометации информации в результате смены паролей не обнаружено
- Не затронуто
- Данные кредитных карт (также не затронуты по 19 записям e-Capcom)
- Причина
- Несанкционированный доступ третьего лица. Компания сообщает, что выявила метод атаки и приняла меры. Метод и путь не раскрыты
- Расследование масштаба
- Завершено (второе уведомление). Мониторинг CAPCOM ID и связанных сервисов продолжается
- Сообщения в органы
- Полиция (по английской версии — полиция префектуры Осака) и Комиссия по защите персональной информации (21 октября); внешний Комитет компании по надзору за информационной безопасностью (20 октября)
- Сервисы
- Сервисы с CAPCOM ID остаются доступными. Ни одна игра не затронута в части возможности играть. Зарегистрированные адреса электронной почты можно продолжать использовать
- Связь с клиентами
- С затронутыми клиентами свяжутся индивидуально (способ не указан)
- Профилактика
- Компания сообщает, что примет меры с учётом выявленной причины и усилит информационную безопасность. Подробности не приводятся
Что известно и что нет
Это состояние на 24 октября 2026 года с учётом второго уведомления от 23 октября. При публикации дополнений столбец статуса будет обновляться.
| Пункт | Что сказано в уведомлении | Статус |
|---|---|---|
| Обнаружение и начало блокировки | Следы обнаружены 19 октября; компания сразу начала блокировать доступ и расследовать причину и масштаб; несанкционированный доступ подтверждён в тот же день | Подтверждено (компания) |
| Адреса электронной почты и идентификаторы | 11 774 247 записей (по всему миру). Идентификаторы: время создания, время последнего входа, число входов, клиентский IP последнего входа | Утечка подтверждена (компания) |
| Дата рождения, пол, страна/регион, псевдоним | 43 из указанных выше записей | Утечка подтверждена (компания) |
| Несанкционированная смена паролей | 196 из указанных выше аккаунтов; пароли сброшены | Подтверждено (компания) |
| Зарегистрированные данные e-Capcom (второе уведомление) | 19 из 196 аккаунтов (в Японии). Имя, фонетическое имя, номер телефона, почтовый индекс, адрес, пол, дата рождения, история покупок, история обращений, сохранённая адресная книга | Утечка подтверждена (компания) |
| Последствия для остальных 177 из 196 аккаунтов | Компрометации информации в результате смены паролей не обнаружено | Не подтверждено (компания) |
| Пароли, заданные клиентами | Утечка не подтверждена | Не подтверждено (компания) |
| Как хранятся пароли | Не указано | Не упоминается |
| Данные кредитных карт | Не входят в затронутые данные (то же для 19 записей e-Capcom) | Не затронуты (компания) |
| Имя, почтовый адрес, номер телефона в CAPCOM ID | Не указаны среди данных, утёкших из CAPCOM ID (указанные выше 19 записей получены со страниц аккаунтов e-Capcom) | Не упоминается |
| Причина | Несанкционированный доступ третьего лица; метод атаки выявлен и приняты меры; метод и путь не указаны | Подтверждено (компания) / подробности не упоминаются |
| Когда начался доступ | Не указано | Не упоминается |
| Расследование масштаба | Завершено (второе уведомление); мониторинг продолжается | Подтверждено (компания) |
| Сколько людей | Указано число записей или аккаунтов, а не людей | Не упоминается |
| Сообщения в полицию и регулятору | Сделаны 21 октября | Подтверждено (компания) |
| Связь с затронутыми клиентами | Свяжутся с затронутыми клиентами индивидуально (способ не указан) | Запланировано (компания) |
| Сервисы и игры | Остаются доступными; на возможность играть не влияет | Подтверждено (компания) |
| Злоупотребление утёкшими данными | Предупреждает, что могут рассылаться мошеннические сообщения, звонки и письма; не сообщает, что какое-либо злоупотребление подтверждено | Не упоминается |
Примечание к прочтению: «не подтверждено» и «не затронуто»
В уведомлении сказано, что данные кредитных карт «не входили в затронутую информацию». Что касается паролей, сказано лишь, что утечка не подтверждена, а это не то же самое, что сказать, что пароли не входили в объём инцидента.
196 «несанкционированных смен паролей» не означают, что пароли утекли; они означают, что третье лицо изменило пароли на этих аккаунтах. Второе уведомление показало, что по 19 из них третье лицо затем получило доступ к страницам аккаунтов e-Capcom. Разделяйте эти вещи так, как это делают уведомления.
Как можно использовать утёкшие данные
Ниже описано, что может произойти в целом, а не что произошло в этом случае. В уведомлении не сказано, что какое-либо злоупотребление подтверждено.
Адрес электронной почты (показывает, что вы используете CAPCOM ID)
↓→
Поддельные письма от имени Capcom или игры
→ Не входите по ссылкам; открывайте официальный сайт из закладки
Адрес электронной почты = логин
↓→
Попытки входа с паролями, утёкшими с других сайтов
→ Не повторяйте пароли; включите двухфакторную аутентификацию
Время создания, время последнего входа, число входов
↓→
Убедительные поддельные оповещения вроде «Мы обнаружили вход [дата]»
→ Верная дата не доказывает, что сообщение подлинное
Имя, адрес, номер телефона, история покупок (19 записей e-Capcom)
↓→
Сообщения или звонки, где упоминаются реальные заказы или доставки
→ Не сообщайте личные данные по телефону; сами перезвоните на официальную линию
Не затронуто или утечка не подтверждена, согласно уведомлению
- Данные кредитных карт (не затронуты, в том числе по 19 записям e-Capcom)
- Пароли, заданные клиентами (утечка не подтверждена)
- Утечки из-за смены паролей на остальных 177 из 196 аккаунтов (не обнаружены)
Данные, которые, по уведомлению, утекли
- Адрес электронной почты (он же логин)
- Время создания аккаунта, время последнего входа, число входов
- Клиентский IP-адрес последнего входа
- По 43 записям — дата рождения, пол, страна/регион и псевдоним
- По 19 записям (Япония) — имя, адрес, номер телефона, дата рождения, история покупок, история обращений и сохранённая адресная книга e-Capcom (второе уведомление)
По 19 записям имя, адрес и номер телефона утекли вместе с историей покупок. Как правило, такое сочетание позволяет рассылать убедительные сообщения и совершать звонки со ссылками на реальные заказы, поэтому к сообщениям и звонкам нужно относиться с той же осторожностью, что и к письмам.
В отличие от пароля, адрес электронной почты трудно быстро сменить. Как правило, поддельные письма по другим поводам могут приходить на утёкший адрес и спустя долгое время после события, поэтому оставайтесь бдительными ещё какое-то время.
Другие случаи октября 2026 года, связанные с адресами электронной почты, — это утечка Lawson ID и утечка адресов электронной почты JR East, VIEW Card и JR Kyushu. Причина и масштаб в каждом случае различаются, поэтому этот случай не обязательно будет развиваться так же.
Это другой инцидент, чем случай Capcom 2020 года
В ноябре 2020 года Capcom подверглась атаке программы-вымогателя и объявила, что персональные данные утекли (Capcom Ransomware (2020)). Нынешнее уведомление касается отдельного инцидента с несанкционированным доступом к CAPCOM ID и не упоминает какой-либо связи со случаем 2020 года.
Для тех, кто управляет сервисами с аккаунтами участников
Компания не раскрыла метод атаки, поэтому в этом разделе не говорится, как её предотвратить, и он не является оценкой действий компании. Уведомления показывают следующее: утекли адреса электронной почты, которые одновременно служат логинами, пароли на некоторых аккаунтах были изменены, а по данным второго уведомления, по 19 из этих аккаунтов также был получен несанкционированный доступ к страницам аккаунтов интернет-магазина e-Capcom. Шаги ниже сосредоточены на том, что можно проверить заранее с учётом этих трёх пунктов.
Сообщайте владельцу аккаунта об изменении пароля или адреса электронной почты
В этом случае компания подтвердила, что пароли на 196 аккаунтах были изменены без разрешения. Как правило, уведомление владельцев аккаунтов об изменении паролей позволяет им заметить изменения, которых они не делали.
Если отправлять уведомление на контактные данные, имевшиеся до изменения, оно дойдёт до настоящего владельца, даже если кто-то их заменил. Если в уведомлении сказано «если это были не вы», объясните, как проверить на официальном сайте, вместо того чтобы вставлять ссылку, — так его легче отличить от поддельных оповещений.
Решите, как долго хранить поля истории входов
Среди утёкших данных — время последнего входа, число входов и клиентский IP-адрес последнего входа. Они помогают обнаруживать несанкционированные входы, но при утечке показывают, как используется аккаунт.
Решение о том, какую историю хранить рядом с записью аккаунта и как долго, позволяет уменьшить масштаб при утечке. Записи для мониторинга несанкционированных входов также можно хранить отдельно, с определённой целью и сроком хранения.
Предлагайте двухфакторную аутентификацию так, чтобы ею действительно пользовались
CAPCOM ID предлагает двухфакторную аутентификацию (страница поддержки компании). Как правило, двухфакторную аутентификацию, которая лишь доступна, используют мало, и она защищает только тех, кто её включил.
Предложение настроить её на экране входа или перед важными действиями, а также поддержка passkey могут повысить долю использующих. Различия объяснены в статьях Что такое двухфакторная аутентификация и Что такое passkey.
Источники (публичные данные)
Факты в этой статье основаны на публичной информации ниже. Нераскрытые метод и путь атаки не угадываются.
- Capcom Co., Ltd., «不正アクセスによるお客様情報漏えいのお詫びとお知らせ» (японский оригинал, 22 октября 2026 года) — capcom.co.jp (PDF: capcom.co.jp)
- Capcom Co., Ltd., «Notice and Apology Regarding Customer Information Affected Through Unauthorized Access» (английский, 22 октября 2026 года) — capcom.co.jp (PDF: capcom.co.jp)
- Capcom Co., Ltd., «Update to Notice and Apology Regarding Customer Information Affected Through Unauthorized Access» (английский, 23 октября 2026 года) — capcom.co.jp (PDF: capcom.co.jp; японский оригинал: capcom.co.jp)
- Служба своевременного раскрытия информации Токийской фондовой биржи (TDnet), подача в 17:00 JST 22 октября 2026 года (проверено 23 октября) — release.tdnet.info
- CAPCOM ID, уведомление о несанкционированном доступе и информации о клиентах (раздел уведомлений, 22 октября 2026 года) — cid.capcom.com
- CAPCOM ID, «Support» (вход и двухфакторная аутентификация, проверено 23 октября) — cid.capcom.com
- Список новостей IR Capcom Co., Ltd. (проверено 24 октября) — capcom.co.jp
- BleepingComputer, «Capcom confirms data breach affecting 11.7 million accounts» (23 октября 2026 года, новостной репортаж) — bleepingcomputer.com
История обновлений
2026-10-23: Первая версия на основе уведомления Capcom от 22 октября (японского и английского), подачи в TDnet, а также уведомления и страницы поддержки CAPCOM ID (проверено в 11:00 JST 23 октября).
2026-10-24: Обновлено с учётом второго уведомления от 23 октября: по 19 из 196 аккаунтов, на которых были изменены пароли (в Японии), со страниц аккаунтов e-Capcom утекли имя, адрес, номер телефона, история покупок и другие данные; по остальным 177 из 196 аккаунтов утечка не обнаружена; расследование масштаба завершено; предупреждение теперь охватывает и сообщения, и телефонные звонки. «Результаты расследования масштаба» и «что было сделано с 196 аккаунтами» удалены из списка открытых вопросов.
Читайте дальше
- Отдельный случай Capcom 2020 года: Capcom Ransomware (2020)
- Случаи того же периода: Утечка Lawson ID / Утечка Carsensor.net и C-MATCH / Несанкционированный доступ к Nikkei (около 1,83 млн записей)
- Подготовка к поддельным письмам: Что такое фишинг / Спам с вашего собственного адреса электронной почты
- Защита аккаунтов: Как выбрать менеджер паролей / Как выбрать многофакторную аутентификацию
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года (Япония и мир)