De Japanse gameuitgever Capcom, bekend van Street Fighter, Monster Hunter en Resident Evil, is getroffen door een datalek in CAPCOM ID. Dat is het accountsysteem waarmee spelers inloggen op de onlinediensten van het bedrijf. Volgens het officiële persbericht van 22 oktober 2026 heeft een buitenstaander toegang gekregen tot gegevens van 11.774.247 accounts wereldwijd. Het gaat vooral om e-mailadressen en technische logingegevens; creditcardinformatie zit er volgens Capcom niet bij.
Omdat CAPCOM ID een wereldwijd account is, kunnen ook spelers in Nederland en België getroffen zijn. Hoeveel accounts uit de Benelux erbij zitten, heeft Capcom niet bekendgemaakt.
Wat is CAPCOM ID?
CAPCOM ID is één centraal account voor de verschillende webdiensten van Capcom. Voor een aantal games heeft u het bovendien nodig om online te kunnen spelen. Wie bijvoorbeeld Street Fighter 6 of Monster Hunter Wilds online speelt, heeft er dus waarschijnlijk een, ook als u het account al jaren niet meer bewust gebruikt.
Capcom laat weten dat de noodmaatregelen zijn afgerond. Diensten die CAPCOM ID gebruiken blijven beschikbaar en het incident heeft geen invloed op het spelen van de games.
Welke gegevens zijn gelekt?
Het lek draait vooral om accountinformatie, niet om adressen of betaalgegevens. Capcom geeft de volgende verdeling:
| Accounts | Welke gegevens |
|---|---|
| 11.774.247 (totaal) | E-mailadres, datum en tijd van aanmaken, datum en tijd van de laatste login, totaal aantal logins, IP-adres van de laatste login |
| 43 (onderdeel van totaal) | Daarnaast geboortedatum, geslacht, land of regio en bijnaam |
| 196 (onderdeel van totaal) | Wachtwoord zonder toestemming gewijzigd door de aanvallers; Capcom heeft het al gereset |
| Niet getroffen | Creditcardgegevens |
Rond de wachtwoorden is het beeld tweeledig. Capcom zegt geen aanwijzingen te hebben dat de door klanten zelf ingestelde wachtwoorden zijn buitgemaakt. Tegelijk konden de aanvallers bij 196 accounts het wachtwoord aanpassen. Dat betekent dat ze in elk geval bij een deel van de accounts wijzigingen konden doorvoeren. Het bedrijf onderzoekt nog hoe groot de impact precies is.
Tijdlijn van het incident
Capcom beschrijft in het persbericht de volgende stappen (Japanse data):
| Datum | Wat er gebeurde |
|---|---|
| 19 oktober 2026 | Verdachte activiteit rond CAPCOM ID opgemerkt; toegang direct geblokkeerd en dezelfde dag bevestigd dat er is ingebroken; noodmaatregelen gestart |
| 20 oktober 2026 | Intern crisisteam opgezet; vastgesteld dat klantgegevens zijn ingezien en enkele wachtwoorden zijn gewijzigd; externe adviescommissie voor IT-beveiliging ingelicht |
| 21 oktober 2026 | Aangifte bij de politie van de prefectuur Osaka en melding bij de Japanse toezichthouder voor persoonsgegevens |
| 22 oktober 2026 | Openbare bekendmaking en excuses aan klanten |
Wie achter de aanval zit en hoe de aanvallers binnenkwamen, maakt Capcom niet bekend. Het bedrijf zegt de aanvalsmethode te hebben achterhaald en afgesloten, en kondigt extra maatregelen aan om herhaling te voorkomen.
Grootste risico: nep-mails uit naam van Capcom
Een lijst met ruim elf miljoen e-mailadressen van gamers, inclusief het moment van de laatste login en het aantal logins, is goud waard voor oplichters. Met zulke details kunnen ze phishingmails sturen die verrassend echt lijken. Capcom waarschuwt daarom voor ongevraagde berichten die om extra informatie vragen of links en bijlagen bevatten.
Heeft u een CAPCOM ID? Dan zijn dit verstandige stappen:
- Klik niet op links in mails die van Capcom lijken te komen. Gaat het om een melding over uw account, typ dan zelf het webadres in de browser.
- Controleer of u nog kunt inloggen. Werkt uw wachtwoord niet meer, dan hoort uw account mogelijk bij de 196 gewijzigde accounts. Neem in dat geval contact op met de officiële support.
- Gebruikt u hetzelfde wachtwoord ook elders? Verander het daar. Capcom vond geen bewijs van gestolen wachtwoorden, maar hergebruik maakt elk volgend lek gevaarlijker.
- Zet tweestapsverificatie aan op gekoppelde accounts zoals Steam, PlayStation Network, Xbox en uw e-mailaccount.
Capcom gaat getroffen klanten zelf informeren. Voor Europa en het Midden-Oosten verwijst het bedrijf naar het supportformulier op capcom-support.com en naar het e-mailadres feedback@capcom.com. In Japan is ook een aparte telefoonlijn geopend.
Krijgt u een mail waarin om geld wordt gevraagd of met openbaarmaking van gegevens wordt gedreigd? Lees dan ook ons artikel over de hack bij Flink en de afpersingsmails aan klanten: de les daar, niet betalen en niet reageren, geldt net zo goed hier.
En de AVG?
Het persbericht noemt alleen Japanse instanties. Of Capcom het lek ook heeft gemeld bij Europese privacytoezichthouders, zoals de Autoriteit Persoonsgegevens in Nederland of de Gegevensbeschermingsautoriteit in België, is niet bekend. De AVG verplicht organisaties in het algemeen om een datalek met persoonsgegevens van mensen in de EU te melden, maar Capcom heeft daar niets over gezegd. Beide toezichthouders hebben voor zover bekend nog geen verklaring over deze zaak gepubliceerd.
Niet de eerste keer
Capcom werd in november 2020 al getroffen door de ransomwaregroep Ragnar Locker, die volgens berichten van destijds zo'n 1 TB aan data buitmaakte. Later onderzoek wees een verouderd VPN-apparaat aan als toegangspunt. Dit keer was het accountsysteem van de spelers zelf het doelwit.
Veelgestelde vragen
Is mijn CAPCOM ID-wachtwoord gestolen?
Volgens Capcom is er geen bewijs dat wachtwoorden die klanten zelf hebben ingesteld zijn gelekt. Uitzondering zijn 196 accounts waarvan de aanvallers het wachtwoord hebben gewijzigd; die zijn inmiddels gereset.
Lopen mijn creditcardgegevens gevaar?
Nee, volgens het officiële persbericht vallen creditcardgegevens buiten het lek.
Kan ik nog online spelen met Street Fighter 6 of Monster Hunter Wilds?
Ja. Diensten die CAPCOM ID vereisen werken en de toegang tot de games is niet geblokkeerd.
Hoe weet ik of mijn account getroffen is?
Capcom zegt getroffen klanten te gaan informeren. Let wel op nep-mails die zulke meldingen nabootsen: controleer uw account altijd via de officiële website.
Hoeveel Nederlanders en Belgen zijn getroffen?
Dat is niet bekend. Capcom noemt alleen het wereldwijde totaal van 11.774.247 accounts.
Omslagfoto: hoofdkantoor van Capcom in Osaka, Tokumeigakarinoaoshima, CC0, via Wikimedia Commons.
