Capcom: утекли 11,7 млн почт CAPCOM ID. Хакеры сменили 196 паролей

Capcom - японский издатель игр вроде Resident Evil, Street Fighter и Monster Hunter. 19 октября 2026 года компания заметила подозрительный доступ к CAPCOM ID (единый логин для онлайн-игр и сайтов фирмы), 22 октября опубликовала извинение: утекли 11 774 247 записей с почтой по всему миру. Онлайн в играх не отключали, карты в выборку не попали. Риск для обычного игрока - не «украли сохранения», а правдоподобные письма с ссылкой «подтвердите аккаунт».

Что именно утекло

По официальному релизу Capcom от 22 октября в широкой выборке оказались адрес электронной почты и служебные поля: когда аккаунт создали, когда последний раз входили, сколько раз логинились и с какого IP был последний вход. Это 11 774 247 записей суммарно по всем регионам. Для 43 аккаунтов дополнительно сняли дату рождения, пол, страну или регион и ник.

Компания отдельно пишет: утечки паролей, которые игроки ставили сами, не подтверждена. Кредитные карты в затронутых данных не числятся. Сервисы на CAPCOM ID, включая онлайн в играх, остаются доступны. Смысл цифр простой: хакер получил список «вот эти люди точно играют в Capcom» плюс технический след последнего входа, а не полный профиль с адресом доставки у всех подряд.

196 паролей сменили не владельцы

Отдельная строка в том же релизе: на 196 аккаунтах из той же кучи логин-пароль CAPCOM ID сменили без согласия владельца. Capcom говорит, что эти пароли уже сбросили со своей стороны и дальше смотрит, не залезли ли дальше. 23 октября вышел второй релиз: из этих 196 у 19 человек (все в Японии) посторонний зашёл в личный кабинет японского магазина e-Capcom. Там уже ФИО, телефон, индекс, адрес, пол, дата рождения, история покупок, переписка с поддержкой и записная книжка адресов.

Для остальных 177 из 196, по заявлению фирмы, следов дополнительного съёма данных после смены пароля не нашли. Карты снова не в списке. Если у вас японский магазин Capcom и вам пришло персональное письмо от компании - это как раз та узкая группа, а не все 11,7 млн.

Как это выглядит по дням

19 октября: подозрительная активность, доступ режут, в тот же день подтверждают, что чужой уже побывал внутри. 20 октября: внутренняя штаб-квартира по инциденту, фиксация утечки части клиентских данных и факта смены паролей, доклад внешнему совету по безопасности. 21 октября: заявление в полицию префектуры Осака и в японскую комиссию по защите персональных данных. 22 октября: публичное извинение. 23 октября: уточнение по 19 кабинетам e-Capcom.

Метод взлома Capcom в открытых текстах не расписывает. Пишет только, что способ атаки «выявили и закрыли». Для игрока это значит: латают дыру, игры не глушат, а вас просят не кормить фишинг. Полиция и регулятор уже в курсе, отдельная горячая линия для Японии - 0120-801-271 с 10:00 до 20:00 по токийскому времени.

Почему это бьёт не только японцев

CAPCOM ID нужен, чтобы зайти в онлайн Street Fighter 6, части экосистемы Monster Hunter и Resident Evil, плюс веб-сервисы издателя. Почта в базе - мировая. IP последнего входа помогает понять регион и провайдера, даты логина - насколько аккаунт «живой». Для мошенника этого хватает, чтобы написать: «мы заметили вход 19 октября с вашего IP, срочно подтвердите, иначе бан». Игра при этом спокойно запускается, поэтому человек не в панике «всё пропало», а в режиме «ну ладно, кликну».

43 профиля с ником и датой рождения - капля, но именно они удобны для персонализации. 196 сменённых паролей - попытка перехватить сессию, пока владелец спит. 19 японских кабинетов магазина показывают потолок: когда пароль уже чужой, открывается ФИО и адрес. Европейскому или российскому игроку тот же сценарий грозит не доставкой фигурки на дом, а тем, что на почту придёт «счёт Capcom» или «восстановление Steam через партнёра».

Что сделать за десять минут

1. Зайти в CAPCOM ID с того устройства, которым обычно играете, и посмотреть почту, привязанную к аккаунту. Если пароль не пускает - сначала официальный сброс на сайте Capcom, не по ссылке из письма.
2. Включить двухфакторную аутентификацию, если ещё не включена. Без второго фактора смена пароля с чужой стороны проходит тише.
3. Не открывать вложения и не жать кнопки в письмах про «инцидент Capcom», «компенсацию» или «проверку карты». Компания сама обещает писать затронутым, но ссылка в письме - классический ход после утечки почты.
4. Если тот же пароль стоял на почте, Steam или PlayStation Network - сменить его там отдельно. Capcom утверждает, что ваши исходные пароли ID не подтверждены как украденные, но совпадение паролей никто за вас не проверяет.
5. Для Европы и Америки форма обратной связи лежит на capcom-support.com. Не кормите «поддержку» в Telegram и Discord с аватаром Леона Кеннеди.

Онлайн в самих играх после инцидента не отключали. Если матч в Street Fighter стартует как обычно, это не доказательство, что ваша почта вне списка 11,7 млн.

Фишинг, который уже можно ждать

Capcom прямо предупреждает: утёкшие поля могут пойти на письма и сообщения «от имени компании или связанных лиц». Шаблон простой. Тема: инцидент с CAPCOM ID. Текст знает вашу почту и намекает на дату последнего входа. Ссылка ведёт на страницу, которая рисует форму пароля. Дальше либо кража текущего логина, либо «обновите карту для компенсации 5000 йен».

Отличить подделку: настоящие уведомления Capcom не просят CVV и не ведут на домены вроде capcom-id-secure.xyz. Горячая линия с номером 0120 есть в японском контуре; для остальных регионов - формы на официальном саппорте, не чат в мессенджере. Если письмо пришло на ящик, который вы никогда не светили в Capcom, это либо старый аккаунт, либо чужая база, склеенная с этой.

Что это говорит про индустрию

Единый ID удобен: один логин на файтинг, хоррор и магазин. Цена удобства - одна дыра тянет почту миллионов игроков сразу. Capcom в 2020-х уже жила с крупными инцидентами вокруг внутренних сетей; нынешний кейс бьёт не в исходники игр, а в клиентскую обвязку. Параллельно в конце октября чешская студия Warhorse (Kingdom Come: Deliverance) тоже отрапортовала о чужом доступе к системам и данным, без публикации клиентской базы. Издатели больших франшиз стали регулярной мишенью не только из-за билдов, но из-за аккаунтов, на которых висит онлайн.

Для игрока вывод скучный и рабочий. Почта из игрового ID - такой же актив, как логин банка, только письма приходят с картинкой Немезиса. Карту в этом конкретном сливе, по тексту Capcom, не забрали. Пароль, который вы сами придумали, компания не подтверждает как украденный. Зато список адресов уже достаточно большой, чтобы ближайшие недели кормить волну «срочных» писем. Двухфакторка и привычка не кликать - дешевле, чем разбирать чужой вход в PSN через месяц.

Источники

Первичные тексты - релизы Capcom от 22 и 23 октября 2026 на IR-сайте. Цифры 11 774 247, 43, 196 и 19 взяты оттуда, не из пересказов.