Dans cet article Dans cet article
Si vous avez un jour créé un compte Capcom pour jouer à Street Fighter, Resident Evil ou Monster Hunter, votre adresse e-mail circule peut-être déjà entre de mauvaises mains. L’éditeur japonais a reconnu le 22 octobre 2026 qu’un accès non autorisé à son service CAPCOM ID avait exposé les données de plus de 11,7 millions de comptes dans le monde.
CAPCOM ID est le compte unique qui relie les joueurs aux services en ligne de l’éditeur, comme Steam pour Valve ou le compte Nintendo pour la Switch. Cette fuite a une particularité : les mots de passe ne seraient pas concernés, mais tout ce qui permet de vous écrire de façon crédible l’est. Que risquent concrètement les joueurs, et comment s’en protéger ?
Ce que Capcom a laissé échapper
Le communiqué publié par l’éditeur détaille trois cercles de victimes. Le premier, le plus large, compte 11 774 247 comptes dont l’adresse e-mail a fuité, accompagnée d’identifiants techniques : date de création du compte, date de dernière connexion, nombre de connexions et adresse IP utilisée lors de la dernière visite.
Le deuxième cercle ne réunit que 43 comptes, mais la date de naissance, le sexe, le pays et le pseudonyme de ces joueurs ont aussi été exposés. Le troisième concerne 196 comptes dont l’intrus a modifié le mot de passe pour en prendre le contrôle, avant que Capcom ne les réinitialise.
Selon l’avis officiel publié par Capcom, aucune fuite des mots de passe choisis par les utilisateurs n’a été constatée, et les informations de carte bancaire ne figurent pas parmi les données dérobées. Le dommage est donc moins financier qu’exploitable : une liste de joueurs actifs, avec leur adresse et leurs habitudes de connexion.
Trois jours entre la découverte et la plainte
L’éditeur a publié une chronologie précise de sa réaction, qui montre une détection rapide mais une intrusion à la durée inconnue :
- 19 octobre 2026 : Capcom repère des traces d’accès suspect sur CAPCOM ID, coupe l’accès et lance l’enquête ;
- 20 octobre 2026 : une cellule de crise est créée, la fuite de données et les mots de passe modifiés sont confirmés ;
- 21 octobre 2026 : l’incident est signalé à la police et à la Commission japonaise de protection des informations personnelles ;
- 22 octobre 2026 : le communiqué public annonce 11 774 247 comptes touchés dans le monde.
Le point faible de ce calendrier tient dans ce qu’il ne dit pas. Capcom affirme avoir identifié la méthode employée et bloqué l’accès, mais la date réelle du début de l’intrusion n’est pas communiquée, pas plus que la technique utilisée par l’attaquant.
Une fuite trente fois plus large que celle de 2020
Ce n’est pas la première fois que l’éditeur d’Osaka doit présenter ses excuses. En novembre 2020, une attaque par rançongiciel avait déjà visé son réseau. Dans son bilan du 12 janvier 2021, Capcom chiffrait à 16 415 le nombre de personnes dont les données avaient été confirmées comme compromises, et à environ 390 000 le nombre maximal de personnes potentiellement concernées.
La comparaison est sévère. Les 11,77 millions de comptes de 2026 représentent environ trente fois le pire scénario envisagé en 2020, et plus de 700 fois le nombre de victimes alors confirmées. Entre les deux incidents, l’éditeur a pourtant fait de son compte unique la porte d’entrée de ses jeux en ligne, ce qui a mécaniquement concentré les données des joueurs au même endroit.
Nous présentons nos plus profondes excuses pour le grand désagrément et l’inquiétude causés à nos clients ainsi qu’à toutes les personnes concernées.
Capcom, communiqué publié sous la signature de son président Haruhiro Tsujimoto, annonce de la fuite de données CAPCOM ID, 22 octobre 2026
Le vrai danger arrive par e-mail
Une adresse e-mail seule semble peu de chose. Associée à la certitude que son propriétaire joue aux jeux Capcom, à sa date d’inscription et à son dernier jour de connexion, elle devient la matière première d’un hameçonnage sur mesure. Un faux message évoquant votre compte, votre dernière session ou une récompense en jeu aura toutes les chances de paraître authentique.
L’éditeur le reconnaît lui-même dans son avis : il demande de n’ouvrir ni lien ni pièce jointe dans les messages suspects, qui pourraient usurper son identité ou celle de ses partenaires. Le scénario n’a rien de théorique, comme l’a montré la fuite Revolut, où un faux e-mail officiel a suffi à récupérer des papiers d’identité.
Les gestes à adopter si vous avez un compte Capcom
Capcom indique qu’il contactera les personnes concernées par étapes, via des canaux de support propres à chaque région. En attendant, quelques précautions simples réduisent fortement le risque :
- méfiez-vous de tout message se réclamant de Capcom, même s’il cite des détails exacts sur votre compte ;
- connectez-vous à votre compte en tapant vous-même l’adresse du site, jamais depuis un lien reçu ;
- changez le mot de passe de tout autre service où vous réutilisiez celui de votre compte Capcom ;
- surveillez les demandes de réinitialisation de mot de passe que vous n’avez pas sollicitées.
Ces réflexes valent au-delà de Capcom. Les comptes de jeu sont devenus des cibles régulières, et des identifiants volés peuvent resservir ailleurs bien après une fuite, comme dans le piratage d’OpenCode, où des clés d’API dérobées ont servi à d’autres.
Un compte unique, un risque unique
Les éditeurs poussent tous vers le compte maison, qui leur permet de suivre les joueurs d’un jeu à l’autre et de leur proposer services et achats. Capcom ne fait pas exception, et l’incident illustre le revers de cette centralisation : une seule brèche suffit à exposer d’un coup les joueurs de toutes ses licences, soit près de 11,8 millions de comptes.
La suite dépendra de ce que l’enquête révélera sur la durée de l’intrusion et sur l’usage déjà fait des données. Les autorités japonaises sont saisies depuis le 21 octobre, et les prochains messages de l’éditeur diront si ces 11,7 millions d’adresses ont déjà été revendues ou si la porte a été refermée à temps. D’ici là, chaque e-mail portant le logo de Capcom mérite un second regard.
