Capcom mengonfirmasi bahwa pihak ketiga masuk ke CAPCOM ID, sistem akun yang dipakai untuk layanan web dan sebagian gim daring perusahaan itu. Menurut Help Net Security, sebanyak 11.774.247 rekaman terakses. Capcom mendeteksi aktivitas mencurigakan pada 19 Oktober 2026 dan mengonfirmasi penyusupan pada hari yang sama.
Data apa saja yang terakses
Setiap rekaman berisi alamat surel dan metadata akun: tanggal pembuatan akun, waktu login terakhir, jumlah login, dan alamat IP yang dipakai saat login terakhir. Untuk 43 akun, data yang terakses lebih banyak, yaitu tanggal lahir, jenis kelamin, negara atau wilayah, dan nama panggilan.
Capcom menyatakan data kartu kredit tidak terdampak. Perusahaan juga mengatakan belum menemukan bukti bahwa kata sandi yang dibuat pelanggan bocor. Angka 11,7 juta menghitung rekaman, bukan jumlah orang. Capcom belum menyebut berapa pemilik akun yang unik.
196 akun diambil alih sandinya
Penyerang mengubah kata sandi pada 196 akun tanpa izin pemiliknya, sehingga pemilik terkunci dari akun masing-masing. BleepingComputer melaporkan bahwa Capcom sudah mengatur ulang sandi akun-akun itu. Capcom belum membuka metode masuk awal penyerang, sehingga belum jelas apakah ini credential stuffing. Perusahaan hanya mengatakan sudah mengetahui cara serangan dilakukan dan menambah langkah pengamanan.
Langkah penanganan yang diumumkan Capcom: pada 20 Oktober perusahaan membentuk markas penanganan insiden internal dan memberi tahu komite pengawas keamanan TI eksternal. Pada 21 Oktober, Capcom melapor ke Kepolisian Prefektur Osaka dan Komisi Perlindungan Informasi Pribadi Jepang. Sampai laporan Help Net Security terbit, belum ada kelompok yang mengaku bertanggung jawab. CAPCOM ID dan gim yang memakainya tetap bisa diakses.
Yang perlu dilakukan pemain
Risiko terbesar bagi pemegang akun adalah phishing. Alamat surel yang terhubung ke akun Capcom, berikut metadata login, kini berpotensi dipakai untuk pesan palsu yang mengatasnamakan Capcom. Capcom meminta pengguna waspada terhadap surel yang meminta informasi tambahan atau memuat tautan dan lampiran, dan tidak membukanya bila mencurigakan.
Pemain Street Fighter 6 dan gim Capcom lain yang memakai CAPCOM ID sebaiknya mengganti sandi dengan yang unik, terutama bila sandi yang sama dipakai di layanan lain. Aktifkan autentikasi dua langkah bila tersedia, dan buka situs resmi Capcom langsung dari peramban, bukan dari tautan di surel. Capcom akan memberi tahu pelanggan terdampak secara bertahap dan membuka kanal bantuan di tiap wilayah, termasuk formulir daring untuk Amerika serta Eropa, Timur Tengah, dan Afrika.
Capcom pernah terkena serangan ransomware pada November 2020 yang menyangkut data hingga 350.000 pelanggan, mitra, dan karyawan. Investigasi insiden kali ini masih berjalan, dan perusahaan berjanji memperbarui situsnya bila ada informasi baru.
Sumber: BleepingComputer dan Help Net Security. Gambar: BleepingComputer