A Capcom, desenvolvedora e publicadora de jogos como Resident Evil, Monster Hunter e Street Fighter, confirmou um incidente de segurança que comprometeu informações associadas a mais de 11,7 milhões de registros do CAPCOM ID, seu sistema unificado de contas para serviços on-line e determinados jogos. O caso foi divulgado pela empresa japonesa em 22 de outubro e ganhou novos detalhes nesta sexta-feira (23), quando a companhia publicou uma atualização sobre o alcance do incidente.

De acordo com o comunicado oficial, foram afetados 11.774.247 registros em todo o mundo. As informações incluem endereços de e-mail e dados técnicos relacionados às contas, como data e horário de criação, data e horário do último acesso, quantidade de logins e endereço IP utilizado na conexão mais recente. Em 43 desses registros, também foram expostos dados como data de nascimento, gênero, país ou região e apelido cadastrado.

A empresa informou que identificou indícios de acesso não autorizado em 19 de outubro de 2026 e iniciou imediatamente medidas de contenção e investigação. A Capcom também afirmou ter adotado medidas emergenciais para impedir novos acessos indevidos e ter comunicado o incidente às autoridades japonesas competentes.

Dados adicionais foram acessados em 19 contas

O comunicado publicado em 23 de outubro detalhou uma consequência específica do incidente. A Capcom identificou 196 contas do CAPCOM ID cujas senhas de login foram alteradas sem autorização. Segundo a companhia, as senhas dessas contas já foram redefinidas, e não há confirmação de que as senhas originalmente definidas pelos próprios usuários tenham sido expostas.

Entre as 196 contas, 19 tiveram suas páginas pessoais acessadas indevidamente na e-Capcom, loja on-line oficial da empresa no Japão. Nesses casos, a exposição incluiu informações mais detalhadas: nome, nome em caracteres fonéticos japoneses, telefone, código postal, endereço residencial, gênero, data de nascimento, histórico de compras, registros de contato com o atendimento da loja e informações do catálogo de endereços salvo pelo cliente.

A Capcom confirmou que os 19 registros afetados pertencem a usuários no Japão. A empresa informou ainda que não identificou vazamento de dados de cartões de crédito e que, nos demais casos de alteração indevida de senha, não constatou exposição adicional de informações decorrente desse acesso às contas.

Serviços continuam operacionais

Apesar da dimensão do incidente, a Capcom declarou que concluiu as medidas emergenciais e que os serviços vinculados ao CAPCOM ID continuam disponíveis. Segundo a empresa, o episódio não impede os jogadores de acessar ou jogar seus títulos.

A companhia também informou que a investigação sobre o alcance dos acessos associados às alterações de senha foi concluída. Mesmo assim, continuará monitorando o CAPCOM ID e os serviços relacionados, além de implementar medidas para evitar que um incidente semelhante volte a ocorrer. Os usuários afetados serão comunicados individualmente.

Risco de golpes após a exposição

A exposição de endereços de e-mail, endereços IP e informações de uso das contas pode aumentar o risco de tentativas de fraude direcionadas aos usuários. Criminosos podem utilizar esses dados para elaborar mensagens falsas que pareçam ter sido enviadas pela Capcom ou por empresas parceiras.

O risco merece atenção especial nos 19 casos em que informações de contato, endereço residencial e histórico de compras também foram expostos. Esses dados podem tornar tentativas de engenharia social mais convincentes, embora a divulgação das informações não signifique, por si só, que fraudes já tenham ocorrido.

A própria Capcom alertou para a possibilidade de mensagens de texto, ligações e e-mails fraudulentos que se passem pela empresa ou por organizações relacionadas. A recomendação é não abrir anexos suspeitos nem acessar links recebidos por canais não confiáveis. Também é prudente não fornecer senhas, códigos de autenticação ou outros dados pessoais em resposta a contatos inesperados.

Até a publicação desta notícia, a empresa não havia divulgado detalhes técnicos suficientes para esclarecer publicamente como ocorreu o acesso inicial ao sistema. O incidente segue relevante tanto pelo volume de registros envolvidos quanto pela necessidade de diferenciar a exposição de dados técnicos em larga escala dos casos em que informações pessoais mais completas foram acessadas.