Capcom, violazione dei dati CAPCOM ID: coinvolti 11,7 milioni di account

Capcom, l'editore di Street Fighter, Monster Hunter e Resident Evil, ha confermato che un soggetto esterno è riuscito ad accedere senza autorizzazione ai dati di CAPCOM ID, il sistema di account con cui i giocatori entrano nei servizi online della casa giapponese. Secondo il comunicato ufficiale del 22 ottobre 2026, la violazione riguarda 11.774.247 account in tutto il mondo: per ciascuno sono stati esposti l'indirizzo email e alcuni dati tecnici sugli accessi. Restano fuori, assicura l'azienda, i dati delle carte di credito.

Per chi gioca dall'Italia la notizia non è lontana come sembra: CAPCOM ID è un account globale e serve per le funzioni online di diversi titoli. Il numero degli utenti italiani coinvolti non è stato comunicato.

Che cos'è CAPCOM ID

CAPCOM ID è un profilo unico che permette di usare con le stesse credenziali i vari servizi web di Capcom. Per alcuni giochi è anche obbligatorio se si vuole accedere alle modalità online. Chi ha collegato un account a Street Fighter 6 o a Monster Hunter Wilds, per esempio, con buona probabilità ne possiede uno, magari creato anni fa e poi dimenticato.

Capcom precisa che dopo l'intervento d'emergenza tutti i servizi basati su CAPCOM ID funzionano normalmente e che l'accesso ai giochi non è stato interrotto.

Quali dati sono stati esposti

Il grosso della fuga riguarda informazioni legate all'account più che dati anagrafici. Il dettaglio fornito dall'azienda è il seguente:

Sulle password il quadro è doppio. Da un lato Capcom dichiara di non aver riscontrato alcuna compromissione delle password impostate dagli utenti. Dall'altro, su 196 account qualcuno è riuscito a cambiare la password di accesso: segno che gli aggressori hanno avuto, almeno in parte, la possibilità di intervenire sugli account. L'azienda dice di continuare a verificare la portata dell'incidente.

La cronologia dell'attacco

Il comunicato ricostruisce i giorni tra la scoperta e l'annuncio pubblico (orari e date del Giappone):

Capcom non ha spiegato chi ci sia dietro l'attacco né come sia avvenuto l'accesso. Afferma di aver individuato il metodo usato e di averlo neutralizzato, e promette nuove misure per evitare che succeda di nuovo.

Il rischio principale: email false a nome di Capcom

Un elenco di oltre undici milioni di indirizzi email associati a giocatori, con data dell'ultimo accesso e numero di login, è materiale prezioso per chi organizza campagne di phishing. Un messaggio che cita dettagli reali dell'account risulta molto più credibile. Non a caso l'azienda invita a diffidare di comunicazioni non richieste che chiedono ulteriori informazioni o che contengono link e allegati.

Alcune precauzioni sensate per chi ha un CAPCOM ID:

1. Non aprire link nelle email "di Capcom". Se arriva un avviso su un problema all'account, meglio raggiungere il sito digitando l'indirizzo a mano invece di cliccare.
2. Controllare se si riesce ancora ad accedere. Se la password non funziona più, l'account potrebbe essere tra i 196 modificati: in quel caso conviene rivolgersi al supporto ufficiale.
3. Cambiare la password ovunque sia stata riutilizzata. Capcom non ha trovato prove di furto delle password, ma usare la stessa combinazione su più servizi moltiplica il danno in caso di nuove fughe.
4. Attivare la verifica in due passaggi sugli account collegati, come Steam, PlayStation Network, Xbox e la casella email.

Capcom ha annunciato che contatterà direttamente i clienti coinvolti. Per l'area Europa e Medio Oriente il canale indicato è il modulo sul sito di assistenza (capcom-support.com) oppure l'indirizzo feedback@capcom.com; in Giappone è attiva anche una linea telefonica dedicata.

E il GDPR?

Il comunicato cita soltanto le autorità giapponesi. Capcom non ha detto se abbia informato anche autorità europee per la protezione dei dati; il regolamento europeo (GDPR) prevede in generale l'obbligo di notifica quando una violazione riguarda dati personali di persone che si trovano nell'UE, ma su questo punto l'azienda non ha fornito dettagli. Per l'Italia l'autorità di riferimento è il Garante per la protezione dei dati personali, che finora non ha diffuso comunicazioni sul caso.

Non è la prima volta per Capcom

Nel novembre 2020 Capcom era stata colpita dal ransomware del gruppo Ragnar Locker, che secondo quanto riportato all'epoca aveva sottratto circa 1 TB di dati; l'indagine successiva aveva indicato come porta d'ingresso un vecchio dispositivo VPN. Questa volta l'obiettivo è stato direttamente il sistema di account dei giocatori.

Il caso arriva in un periodo intenso per la sicurezza dei servizi online; per un altro episodio recente legato a furti di dati su larga scala si può leggere il nostro articolo sull'arresto ad Amsterdam di un presunto leader di ShinyHunters.

Domande frequenti

La mia password CAPCOM ID è stata rubata?

Secondo Capcom non ci sono prove che le password scelte dagli utenti siano state compromesse. Fanno eccezione 196 account in cui gli aggressori hanno cambiato la password; l'azienda le ha già reimpostate.

I dati della mia carta di credito sono a rischio?

No, stando al comunicato ufficiale: le informazioni delle carte di credito non rientrano tra i dati coinvolti.

Posso continuare a giocare online a Street Fighter 6 o Monster Hunter Wilds?

Sì. I servizi che richiedono CAPCOM ID sono attivi e l'accesso ai giochi non è stato bloccato.

Come faccio a sapere se il mio account è coinvolto?

Capcom ha dichiarato che informerà i clienti interessati. Attenzione però alle email che imitano questi avvisi: per verificare, conviene accedere al proprio account passando dal sito ufficiale.

Quanti utenti italiani sono stati colpiti?

Il dato non è stato comunicato. Capcom indica solo il totale mondiale di 11.774.247 account.

Foto di copertina: sede di Capcom a Osaka, Tokumeigakarinoaoshima, CC0, via Wikimedia Commons.