Japoński gigant branży gier Capcom potwierdził poważny cyberatak na system CAPCOM ID, wykorzystywany przez graczy korzystających z usług internetowych firmy. W wyniku nieuprawnionego dostępu ujawniono informacje związane z 11 774 247 kontami użytkowników na całym świecie. Przestępcy uzyskali dostęp do adresów e-mail oraz danych technicznych dotyczących rejestracji i logowania, a w przypadku 196 kont doszło również do nieautoryzowanej zmiany haseł. Producent popularnych serii Resident Evil, Monster Hunter i Street Fighter ostrzega przed wiadomościami phishingowymi podszywającymi się pod firmę. Capcom zapewnia, że nie potwierdzono wycieku haseł ustawionych przez użytkowników ani numerów kart płatniczych, jednak skala naruszenia sprawia, że jest to jeden z najpoważniejszych ostatnich incydentów dotyczących danych graczy.

22 października 2026 roku Capcom opublikował oficjalny komunikat potwierdzający naruszenie bezpieczeństwa swojej usługi kont internetowych. Według przedsiębiorstwa pierwsze ślady podejrzanej aktywności wykryto 19 października, a następnie natychmiast rozpoczęto blokowanie nieuprawnionego dostępu oraz analizę przyczyn zdarzenia. Dzień później potwierdzono, że informacje części klientów rzeczywiście zostały ujawnione. Firma powołała specjalny zespół reagowania na incydent, poinformowała właściwe japońskie instytucje i rozpoczęła przygotowania do indywidualnego powiadamiania poszkodowanych.

Skala wycieku jest wyjątkowo duża, zwłaszcza że dotyczy usługi wykorzystywanej przez fanów gier na całym świecie. CAPCOM ID nie jest pojedynczym kontem przypisanym do jednej produkcji, lecz wspólnym systemem tożsamości wykorzystywanym w różnych usługach i wybranych grach Capcomu. Oznacza to, że nawet osoby, które nie korzystają z tego systemu regularnie, mogły założyć konto przy okazji gry lub rejestracji w jednym z serwisów wydawcy.

Wyciek 11 774 247 kont CAPCOM ID. Jakie dane zdobyli przestępcy?

Według informacji ujawnionych przez Capcom naruszenie objęło dokładnie 11 774 247 rekordów zawierających adresy e-mail i informacje techniczne dotyczące kont. Liczba obejmuje użytkowników z różnych krajów i regionów świata. Przedsiębiorstwo nie przedstawiło osobnego zestawienia wskazującego, ilu poszkodowanych pochodzi z Polski.

Najważniejszą kategorią ujawnionych danych są adresy poczty elektronicznej wykorzystywane przy rejestracji. Wraz z nimi przestępcy uzyskali dostęp do informacji systemowych, w tym daty utworzenia konta, daty ostatniego logowania, liczby logowań oraz adresu IP wykorzystywanego podczas ostatniego połączenia.

Choć takie informacje mogą wydawać się mniej wrażliwe niż hasła lub numery kart płatniczych, ich ujawnienie nie jest obojętne dla bezpieczeństwa użytkowników. Adres e-mail stanowi podstawowy identyfikator w wielu usługach internetowych, natomiast informacje dotyczące logowania mogą pomagać w przygotowaniu bardziej przekonujących wiadomości podszywających się pod operatora platformy.

W przypadku 43 rekordów ujawniono również dodatkowe dane osobowe, obejmujące datę urodzenia, płeć, kraj lub region oraz pseudonim użytkownika. To niewielka grupa w porównaniu z całkowitą liczbą objętych incydentem kont, jednak zakres ujawnionych informacji jest w tych przypadkach szerszy.

Ważne jest prawidłowe rozróżnienie zakresu naruszenia. Nie wszystkie 11,77 mln rekordów zawierały daty urodzenia czy inne rozszerzone informacje osobowe. Capcom potwierdził, że dodatkowe dane tej kategorii ujawniono tylko w 43 przypadkach.

Hakerzy zmienili hasła na 196 kontach. Czy wyciekły hasła pozostałych graczy?

Jednym z najbardziej niepokojących elementów incydentu jest potwierdzona możliwość nieautoryzowanej zmiany haseł w systemie CAPCOM ID. Firma ustaliła, że przestępcy dokonali takich operacji w przypadku 196 kont użytkowników.

Capcom poinformował, że wszystkie hasła zmienione bez zgody właścicieli zostały już zresetowane. Producent nadal analizuje jednak pełne konsekwencje nieautoryzowanego dostępu oraz ewentualne działania przeprowadzone przy użyciu zagrożonych kont.

Co szczególnie istotne, firma nie potwierdziła ujawnienia haseł, które użytkownicy samodzielnie ustawili podczas rejestracji lub późniejszej zmiany danych logowania. To bardzo ważna informacja, ponieważ kradzież bazy haseł mogłaby prowadzić do prób masowego przejmowania kont także w innych serwisach internetowych.

Nie należy jednak utożsamiać braku potwierdzenia wycieku haseł z całkowitym wyeliminowaniem ryzyka. Skoro przestępcom udało się zmienić hasła na części kont, oznacza to, że incydent nie ograniczał się wyłącznie do odczytania adresów e-mail. Sposób uzyskania takich możliwości pozostaje elementem prowadzonego przez firmę postępowania wyjaśniającego.

Na obecnym etapie nie wiadomo publicznie, czy napastnicy wykorzystali podatność techniczną, przejęte poświadczenia administracyjne czy inny mechanizm dostępu. Capcom potwierdził wdrożenie działań awaryjnych i zidentyfikowanie metody ataku, ale nie opublikował jej szczegółowego opisu.

Resident Evil, Monster Hunter i Street Fighter. Których graczy dotyczy zagrożenie?

Capcom jest jednym z najważniejszych producentów i wydawców gier komputerowych na świecie. W jego portfolio znajdują się między innymi Resident Evil, Monster Hunter, Street Fighter, Devil May Cry oraz Mega Man. Marka jest rozpoznawalna również w Polsce, a poszczególne produkcje mają wielomilionowe społeczności graczy.

Naruszenie nie dotyczy jednak bezpośrednio danych zapisanych we wszystkich wymienionych grach. Jego przedmiotem jest system CAPCOM ID, czyli wspólna usługa kont internetowych używana w określonych funkcjach online, stronach i usługach powiązanych z wydawcą.

Przykładowo CAPCOM ID wykorzystuje Street Fighter 6, gdzie system kont jest związany z wybranymi funkcjami sieciowymi. Konto może być również używane w innych usługach internetowych Capcomu, w zależności od konkretnej produkcji i sposobu korzystania z jej funkcji.

Nie oznacza to, że każdy, kto kiedykolwiek kupił Resident Evil czy Monster Hunter, automatycznie znalazł się wśród poszkodowanych. Kluczowe jest to, czy dana osoba posiada konto CAPCOM ID i czy jej informacje znalazły się w zbiorze objętym naruszeniem.

Firma zapowiedziała indywidualne powiadamianie użytkowników, których informacje zostały ujawnione. Osoby posiadające CAPCOM ID powinny więc zwrócić uwagę na korespondencję dotyczącą incydentu, zachowując jednocześnie ostrożność wobec wiadomości podszywających się pod wydawcę.

Największe zagrożenie po wycieku? Fałszywe wiadomości od Capcomu

W oficjalnym komunikacie przedsiębiorstwo wyraźnie ostrzegło przed możliwością wykorzystania ujawnionych informacji do wysyłania fałszywych wiadomości. To jeden z najbardziej prawdopodobnych scenariuszy wtórnego wykorzystania danych, szczególnie gdy przestępcy dysponują dużą bazą adresów e-mail należących do osób zainteresowanych określoną marką.

Oszust nie musi już masowo wysyłać przypadkowych wiadomości z nadzieją, że część odbiorców korzysta z usług Capcomu. Może kierować komunikację do adresów pochodzących bezpośrednio z naruszonej bazy, wykorzystując rozpoznawalność wydawcy i zainteresowanie jego grami.

Przykładowa wiadomość phishingowa może informować o rzekomej konieczności potwierdzenia konta po cyberataku, obowiązkowej zmianie hasła albo zablokowaniu funkcji sieciowych. Innym możliwym wariantem są fikcyjne nagrody, bezpłatne dodatki do gier, specjalne promocje czy kody umożliwiające odebranie zawartości cyfrowej.

To potencjalne scenariusze oszustw, a nie potwierdzone kampanie, które Capcom wykrył już w związku z tym incydentem. Na moment publikacji firma ostrzega przed ryzykiem podszywania się pod nią, ale nie podała liczby skutecznych wyłudzeń wykorzystujących ujawnione dane.

Szczególnie niebezpieczne mogą okazać się wiadomości zachęcające do natychmiastowego działania. Oszust może próbować wykorzystać obawy graczy związane z ujawnionym wyciekiem, informując, że brak szybkiej reakcji doprowadzi do utraty konta lub dostępu do zakupionych produktów.

Właśnie dlatego użytkownicy powinni zachować ostrożność nawet wtedy, gdy wiadomość zawiera poprawną nazwę usługi lub informacje sugerujące znajomość historii konta.

Wyciek adresów IP i dat logowania. Czy przestępcy mogą namierzyć graczy?

Wśród informacji ujawnionych podczas incydentu znalazły się adresy IP ostatniego połączenia oraz daty logowania. To dane, których znaczenie dla prywatności bywa niedoceniane, ponieważ użytkownicy nie zawsze postrzegają je jako informacje osobowe.

Adres IP może umożliwiać przybliżone określenie lokalizacji połączenia oraz identyfikację dostawcy usług internetowych. W zależności od rodzaju adresu, sposobu korzystania z sieci i dostępnych dodatkowych informacji jego wartość identyfikacyjna może być różna.

Sam adres IP nie ujawnia automatycznie dokładnego adresu zamieszkania użytkownika ani nie zapewnia przestępcy dostępu do jego komputera. Może jednak stanowić dodatkowy element profilu wykorzystywanego w analizie danych lub przygotowywaniu prób oszustwa.

Daty utworzenia konta i ostatniego logowania mogą z kolei pozwalać na odróżnienie aktywnych użytkowników od tych, którzy nie korzystają już regularnie z usług Capcomu. W połączeniu z adresem e-mail i innymi informacjami takie dane mogą ułatwiać personalizowanie fałszywych komunikatów.

W praktyce największym bezpośrednim zagrożeniem dla przeciętnego gracza pozostaje phishing, a nie automatyczne przejęcie urządzenia na podstawie adresu IP. Nie zmienia to faktu, że ujawnienie informacji technicznych dotyczących milionów użytkowników jest poważnym naruszeniem bezpieczeństwa.

Co z danymi kart płatniczych i zakupami w grach?

Capcom przekazał również ważną informację dotyczącą danych finansowych: numery kart płatniczych nie znajdowały się wśród informacji objętych potwierdzonym naruszeniem. Oznacza to, że na podstawie obecnych ustaleń nie ma podstaw do twierdzenia, iż cyberprzestępcy uzyskali dane kart wykorzystywanych przez graczy do dokonywania zakupów.

Firma zapewniła ponadto, że incydent nie wpływa na możliwość korzystania z gier. Usługi wykorzystujące CAPCOM ID pozostają dostępne, a producent nie poinformował o konieczności wyłączenia wszystkich systemów sieciowych.

Nie oznacza to jednak, że użytkownicy powinni całkowicie zignorować sprawę. Nawet jeśli dane płatnicze nie zostały ujawnione, przestępcy mogą próbować zdobyć je później, wykorzystując wiadomości phishingowe lub fałszywe formularze autoryzacji.

Przykładowo użytkownik może zostać przekierowany na stronę przypominającą oficjalny serwis wydawcy, która będzie wymagać ponownego podania danych karty w celu rzekomego zabezpieczenia konta. Takie żądanie należy traktować z dużą ostrożnością i weryfikować wyłącznie poprzez samodzielne wejście do oficjalnej usługi.

Capcom wykrył włamanie 19 października. Co firma zrobiła po incydencie?

Z przedstawionej przez przedsiębiorstwo chronologii wynika, że pierwsze podejrzane działania wykryto 19 października 2026 roku. Tego samego dnia firma potwierdziła nieautoryzowany dostęp i rozpoczęła działania mające zablokować dalszą aktywność napastnika.

20 października powołano wewnętrzny sztab reagowania kryzysowego. Analiza wykazała, że część informacji zarejestrowanych w CAPCOM ID została ujawniona, a na wybranych kontach doszło do nieautoryzowanej zmiany haseł. O incydencie powiadomiono również zewnętrzny organ doradczy firmy zajmujący się bezpieczeństwem informacji.

21 października Capcom zgłosił sprawę policji w prefekturze Osaka oraz japońskiej Komisji Ochrony Danych Osobowych. Następnego dnia opublikowano szczegółowy komunikat dla klientów i inwestorów, zawierający zakres potwierdzonych naruszeń oraz zalecenia dotyczące bezpieczeństwa.

Firma poinformowała, że przeprowadziła już niezbędne awaryjne działania zabezpieczające i zidentyfikowała sposób przeprowadzenia ataku. Zapowiedziała również dalszą analizę incydentu oraz wzmocnienie systemu ochrony informacji.

Na obecnym etapie nie ujawniono tożsamości sprawców ani informacji pozwalających jednoznacznie przypisać włamanie konkretnej grupie cyberprzestępczej. Nie ma również potwierdzenia, że za atakiem stała grupa ransomware lub że Capcom otrzymał żądanie zapłaty okupu.

To nie pierwszy poważny cyberatak na Capcom. W 2020 roku firma również padła ofiarą przestępców

Nowy incydent przypomina o wcześniejszym, poważnym cyberataku na Capcom, do którego doszło w listopadzie 2020 roku. Wówczas przedsiębiorstwo zostało zaatakowane przy użyciu oprogramowania ransomware, a przestępcy uzyskali dostęp do wewnętrznych informacji firmy.

Tamten incydent dotyczył między innymi danych pracowników, dokumentów biznesowych i informacji związanych z działalnością przedsiębiorstwa. W kolejnych komunikatach Capcom przedstawiał wyniki śledztwa oraz aktualizował liczbę rekordów, których bezpieczeństwo zostało naruszone.

Nie ma jednak podstaw, aby łączyć atak z października 2026 roku z grupą odpowiedzialną za incydent z 2020 roku. Podobieństwo polega na tym, że w obu przypadkach cyberprzestępcy zdołali naruszyć bezpieczeństwo rozpoznawalnego producenta gier, ale obecnie ujawniony zakres ataku dotyczy przede wszystkim systemu kont użytkowników.

Wspomnienie wcześniejszej sprawy pokazuje również, że konsekwencje cyberataków mogą być odczuwalne przez wiele lat, a nawet firmy posiadające doświadczenie w reagowaniu na podobne incydenty nie są całkowicie odporne na kolejne włamania.

Masz CAPCOM ID? Sprawdź konto i uważaj na próby oszustwa

Użytkownicy korzystający z CAPCOM ID powinni przede wszystkim upewnić się, że nadal mają dostęp do swojego konta i nie zauważyli nieautoryzowanych zmian jego ustawień. W przypadku jakichkolwiek nieprawidłowości warto skontaktować się bezpośrednio z oficjalnym działem pomocy Capcomu.

Choć firma nie potwierdziła wycieku haseł ustawionych przez użytkowników, profilaktyczna zmiana hasła może być rozsądnym działaniem, szczególnie jeśli było ono wcześniej używane również w innych serwisach. Hasła nie powinny być ponownie wykorzystywane w wielu usługach, ponieważ naruszenie jednego konta może wówczas prowadzić do prób przejęcia pozostałych.

Najważniejsze jest jednak zachowanie ostrożności wobec wiadomości przychodzących pocztą elektroniczną. Nawet jeśli nadawca podaje się za Capcom i informuje o konieczności zabezpieczenia konta, nie należy bezrefleksyjnie otwierać przesłanych linków. Bezpieczniej jest samodzielnie otworzyć oficjalną stronę usługi i sprawdzić dostępne tam komunikaty.

Warto również uważać na wiadomości dotyczące fikcyjnych nagród, promocji lub bezpłatnych dodatków do gier. W przypadku wycieku dużej bazy adresów e-mail oszuści mogą wykorzystywać zainteresowania użytkowników do przygotowywania szczególnie przekonujących ofert.

Jeżeli otrzymasz wiadomość wymagającą podania hasła, kodu jednorazowego lub danych karty na zewnętrznej stronie, zweryfikuj jej autentyczność niezależnym kanałem. Sam fakt, że wiadomość wspomina prawdziwą grę albo konkretną usługę Capcomu, nie stanowi dowodu, że pochodzi od producenta.

Prawie 12 milionów kont. Nawet wyciek bez haseł może być poważnym zagrożeniem

Wyciek danych z CAPCOM ID jest kolejnym przykładem pokazującym, że bezpieczeństwo cyfrowej tożsamości nie ogranicza się wyłącznie do ochrony haseł i kart płatniczych. Adresy e-mail, identyfikatory kont, informacje o logowaniu i dane techniczne również mogą mieć istotną wartość dla cyberprzestępców.

W przypadku Capcomu skala naruszenia jest ogromna. Ponad 11,7 mln rekordów związanych z kontami użytkowników trafiło poza kontrolę firmy, a część kont została dodatkowo dotknięta nieautoryzowaną zmianą haseł. Choć przedsiębiorstwo zapewnia o wdrożeniu działań zabezpieczających, pełna analiza skutków zdarzenia nadal trwa.

Z perspektywy graczy najważniejszym bezpośrednim ryzykiem pozostają potencjalne próby phishingu i podszywania się pod wydawcę. Capcom dysponuje ogromnym portfolio rozpoznawalnych marek, które mogą zostać wykorzystane jako przynęta w fałszywych wiadomościach.

Cyberatak na Capcom pokazuje, że nawet konto założone wyłącznie po to, by skorzystać z funkcji ulubionej gry, może stać się elementem wielomilionowego wycieku danych. Dlatego niezależnie od tego, czy korzystamy z bankowości internetowej, sklepu online czy platformy dla graczy, podstawowe zasady bezpieczeństwa pozostają takie same: unikalne hasła, ostrożność wobec wiadomości i weryfikowanie próśb o podanie danych poza podejrzanym linkiem.