Fuite chez Capcom : le principal risque arrive maintenant par e-mail
Plus de 11,7 millions d’adresses liées à CAPCOM ID ont été exposées. Les mots de passe et cartes bancaires ne sont pas annoncés comme volés, mais les messages frauduleux peuvent devenir plus crédibles.
Prêt à lire l’article.
Dans cet article
Capcom a confirmé qu’un tiers avait accédé aux données de 11 774 247 comptes CAPCOM ID. L’incident ne signifie pas que les cartes bancaires ou tous les mots de passe ont été volés. Il donne néanmoins aux fraudeurs une information précieuse : une adresse réellement liée à un service de jeux vidéo.
Ce que Capcom a confirmé
L’entreprise dit avoir détecté une activité suspecte le 19 octobre et bloqué l’accès. Son avis du 22 octobre recense plus de 11,7 millions de comptes touchés. Pour 43 comptes, des données supplémentaires — date de naissance, genre, pays ou région et pseudonyme — ont été exposées. Capcom indique aussi que 196 comptes ont subi un changement de mot de passe non autorisé et que ces accès ont été réinitialisés.
Le 21 octobre, le groupe a signalé l’incident à la police et à l’autorité japonaise de protection des données. Il dit avoir corrigé la vulnérabilité et commencé à contacter les personnes concernées. Ces informations proviennent de l’entreprise victime ; une enquête extérieure complète n’est pas encore publique.
Pourquoi une simple adresse e-mail compte
L’hameçonnage, ou phishing, consiste à imiter un service connu pour pousser une personne à cliquer, donner son mot de passe ou payer. Un fraudeur qui sait qu’une adresse utilise CAPCOM ID peut écrire : « votre compte a été bloqué après l’incident ». Le contexte réel augmente les chances que le destinataire agisse trop vite.
Un exemple prudent : au lieu d’ouvrir le bouton dans l’e-mail, l’utilisateur tape lui-même l’adresse officielle de Capcom dans son navigateur ou ouvre l’application habituelle. Il vérifie ensuite l’activité du compte et change son mot de passe s’il l’a réutilisé ailleurs. L’authentification à deux facteurs ajoute une étape de protection.
Les limites du communiqué
Capcom affirme que les mots de passe choisis par les clients et les données bancaires ne sont pas compromis. Cela réduit certains risques, mais ne supprime ni l’usurpation d’identité par e-mail ni l’exposition des adresses IP. L’entreprise ne détaille pas encore l’identité de l’attaquant, la durée exacte de l’accès ni l’ensemble des contrôles qui ont échoué.
Les chiffres publiés ont aussi évolué entre les premiers avis et les mises à jour. Cela est fréquent pendant une enquête : le périmètre se précise. Il faut donc dater chaque affirmation et éviter de confondre « pas de preuve trouvée » avec « impossibilité absolue ».
Ce que cela change pour les entreprises africaines
Le service CAPCOM ID est mondial ; aucun chiffre par pays africain n’a été publié. La leçon pour une PME ou une plateforme locale est toutefois directe : après une fuite, expliquer exactement les données concernées permet aux clients d’agir. Dire seulement « vos comptes restent sécurisés » n’est pas suffisant.
Une notification utile doit donner la date, les informations exposées, les actions déjà prises et un canal officiel. Elle doit aussi avertir que des fraudeurs peuvent profiter de l’annonce elle-même.
Sources
- Capcom — avis officiel du 22 octobre 2026
- Capcom — mise à jour du 23 octobre 2026
- PC Gamer — vérification indépendante du périmètre et conseils pratiques, 23 octobre 2026
Sources consultées le 27 octobre 2026. L’enquête reste ouverte.