Capcom confirme la compromission de 11,7 millions de comptes CAPCOM ID, dont 196 verrouillés par les attaquants
Le 22 octobre 2026, l’éditeur japonais Capcom révèle que son service d’authentification CAPCOM ID a été piraté, exposant 11,7 millions d’adresses e-mail et leurs métadonnées de connexion, avec 196 comptes verrouillés par les attaquants. Si vous utilisez ce compte, changez votre mot de passe et méfiez-vous des e-mails ciblés qui exploiteront ces données.
22 octobre 2026. L’éditeur japonais Capcom confirme que des pirates ont compromis CAPCOM ID, son système d’authentification partagé, exposant plus de 11,7 millions d’adresses e-mail et les informations qui leur sont associées. 22 octobre 2026. Parmi les comptes touchés, les attaquants ont changé le mot de passe de 196 d’entre eux pour verrouiller leurs propriétaires, avant que l’entreprise ne les réinitialise. 22 octobre 2026. Les mots de passe des autres membres et les données bancaires ne sont pas concernés, selon l’alerte officielle. Pourquoi c’est important : une fuite qui ne contient « que » des métadonnées de connexion est le carburant exact d’un phishing ciblé difficile à distinguer d’une vraie communication.
Ce qui a été exposé, et pourquoi ce n’est pas anodin
La liste des données compromises mérite d’être lue avec attention. Au-delà des adresses e-mail, Capcom reconnaît l’exposition de la date de création du compte, du dernier horodatage de connexion, du nombre de connexions et de l’adresse IP utilisée lors de la dernière connexion. Pour un sous-ensemble de 43 comptes, des dates de naissance, le genre, les pseudonymes et le pays ont également fui. Pour 196 comptes, les attaquants ont directement changé le mot de passe de l’identifiant afin d’en bloquer l’accès aux propriétaires légitimes — une manœuvre d’appropriation de compte en bonne et due forme, neutralisée par l’entreprise qui a réinitialisé ces accès.
Aucun mot de passe des autres membres ni donnée de carte bancaire n’a été exposé, toujours selon l’alerte. C’est rassurant, mais cela ne doit pas masquer la valeur des métadonnées de connexion. Une adresse e-mail couplée à la date de dernière connexion, au volume de connexions et à l’adresse IP d’origine permet de construire des e-mails de phishing convaincants : « votre dernier accès depuis cette adresse IP semble suspect, reconnectez-vous ». La présence d’un sous-ensemble de comptes enrichis — 43 profils avec date de naissance et pays — suggère que les attaquants ont ciblé des individus précis, pas seulement aspiré une base en bloc.
CAPCOM ID est le compte unique qui ouvre l’accès aux services web de l’éditeur et à une partie de ses jeux en ligne. Pour les franchises concernées — Resident Evil, Monster Hunter, Street Fighter, Mega Man — un compte compromis peut donner accès à des achats liés, des inventaires et des identités de jeu qu’un attaquant peut revendre ou utiliser pour du harcèlement ciblé. L’éditeur, qui emploie 4 000 personnes pour un chiffre d’affaires annuel de 1,24 milliard de dollars, n’a pas précisé la voie d’entrée des attaquants.
Ce que cette fuite enseigne aux équipes qui gèrent de l’identité
L’incident est une leçon pour quiconque exploite un système d’authentification grand public. La première leçon tient à la nature des données jugées « peu sensibles ». Les équipes de sécurité ont tendance à classer une fuite par la présence ou non de mots de passe. Or, les métadonnées de connexion — horodatages, fréquences, adresses IP — alimentent directement le spear-phishing et la reconnaissance préalable à une prise de contrôle. Un RSSI devrait les traiter avec le même niveau de protection que les identifiants eux-mêmes.
La deuxième leçon concerne la réponse à l’incident. Capcom a détecté la manœuvre de verrouillage des 196 comptes et l’a contrecarrée en réinitialisant les mots de passe — un réflexe correct, mais qui révèle au passage que la détection d’une appropriation de compte repose sur la surveillance des changements d’identifiants plutôt que sur les seuls échecs de connexion. Les organisations qui ne journalisent pas les réinitialisations et les changements de mot de passe sont aveugles à ce type d’attaque.
La troisième leçon est réglementaire et de communication. Une fuite de cette ampleur — 11,7 millions de comptes — déclenche des obligations de notification dans la plupart des juridictions, et la précision du communiqué de Capcom (ce qui a fui, ce qui n’a pas fui, ce qui a été fait) sert de modèle : les victimes peuvent agir immédiatement au lieu de spéculer.
Pourquoi les comptes de jeu valent plus que leur mot de passe
Il serait tentant de ranger cette fuite parmi les incidents « sans gravité » parce qu’aucun mot de passe n’a fui en masse. Ce serait une erreur de lecture. Un compte CAPCOM ID n’est pas qu’un identifiant : il agrège des achats numériques, des inventaires de jeu, des sauvegardes en ligne et parfois une bibliothèque entière. Sur les marchés de revente, un compte de jeu vérifié avec un historique d’achat se monnaie mieux qu’une adresse e-mail brute, précisément parce qu’il porte une valeur tangible.
La fuite alimente aussi le credential stuffing à grande échelle. Les adresses e-mail volées seront croisées avec d’autres fuites pour tenter des connexions sur les services où les victimes ont réutilisé leur mot de passe. Les métadonnées de connexion — horodatages, adresses IP — permettent ensuite de filtrer les comptes les plus actifs et les plus anciens, ceux qui valent la peine d’être attaqués en priorité. C’est la logique industrielle de la fraude à l’identité : la donnée volée n’a pas besoin d’être un mot de passe pour produire une prise de contrôle.
Enfin, le sous-ensemble des 196 comptes verrouillés par changement de mot de passe est le signal le plus inquiétant. Il montre que les attaquants ne se sont pas contentés d’exfiltrer : ils ont agi sur les comptes, avec une intention d’appropriation. Une base qui ne fuit que des adresses est un actif passif ; une base où l’on a déjà commencé à prendre des comptes est un incident actif, et c’est exactement ce que décrit l’alerte de Capcom.
Ce que vous devez faire si vous avez un compte CAPCOM ID
Trois actions suffisent pour limiter le risque. Changez votre mot de passe dès maintenant, et activez l’authentification à deux facteurs si le service la propose — c’est la barrière qui rend une adresse e-mail volée inutile pour se connecter. Soyez vigilant sur les e-mails qui se présentent comme des communications de Capcom dans les semaines à venir : la fuite contient précisément les données qui rendent un faux e-mail crédible, et ne cliquez jamais sur un lien reçu par e-mail pour vous connecter — passez par le site officiel. Vérifiez l’activité récente de votre compte si le service l’expose, à la recherche d’une connexion ou d’un changement que vous n’avez pas initié.
Pour les équipes techniques, la leçon est plus profonde : ne minimisez jamais une fuite de métadonnées d’authentification, et traitez les systèmes d’identité grand public comme une surface d’attaque à part entière, avec journalisation des changements d’identifiants et surveillance des prises de contrôle.
Verdict
Si vous possédez un compte CAPCOM ID, changez votre mot de passe et activez l’authentification à deux facteurs, puis restez en alerte face aux e-mails de phishing qui exploiteront les métadonnées volées. Si vous exploitez un système d’authentification grand public, journalisez les changements de mot de passe et les réinitialisations — c’est ce qui a permis à Capcom de repérer les 196 comptes verrouillés — et classez les métadonnées de connexion au même niveau de sensibilité que les identifiants, car elles sont le carburant du phishing ciblé. La leçon dépasse le jeu vidéo : dans une fuite, ce n’est pas le mot de passe qui fait la différence, c’est la précision des données qui permet de tromper la victime.