Datenleck bei Capcom: 11,7 Millionen Capcom-ID-Datensätze offengelegt

Capcom bestätigte am 22. Oktober 2026, dass ein Dritter unbefugten Zugriff auf CAPCOM ID, den Account-Service hinter dem Online-Spiel in Street Fighter 6 und Monster Hunter, erlangt hatte und dass 11.774.247 Datensätze offengelegt wurden. Präsident und COO Haruhiro Tsujimoto unterzeichnete die Entschuldigung. Das Unternehmen versichert, dass das Account-System und alle damit verbundenen Spiele während des Vorfalls weiterhin online blieben.

Die CAPCOM ID ist der einheitliche Login-Code des Publishers für seine Webdienste und Voraussetzung für das Online-Spielen in mehreren seiner Spiele. Daher existiert für die meisten Spieler, die in den letzten Jahren ein Capcom-Spiel online gespielt haben, ein Konto. Die Pressemitteilung unterteilt den Schaden in drei Stufen. Alle 11.774.247 Datensätze enthielten eine E-Mail-Adresse und sogenannte systemspezifische Identifikationsinformationen. 43 dieser Datensätze enthielten zusätzlich Geburtsdatum, Geschlecht, Land oder Region und einen Nicknamen. Bei 196 Konten wurden die Passwörter unbefugt geändert. Capcom hat diese bereits zurückgesetzt und ermittelt nun das Ausmaß des Zugriffs.

Die Identifikationsdaten sind genauer als die Formulierung vermuten lässt: Erstellungszeitpunkt des Kontos, Zeitpunkt der letzten Anmeldung, Gesamtzahl der Anmeldungen und die beim letzten Login verwendete Client-IP-Adresse. Laut der von RockPaperShotgun entdeckten Mitteilung bestätigt das Unternehmen keine Kompromittierung von selbst festgelegten Kundenpasswörtern.

Bei den Zahlungsdaten lässt die Mitteilung keinen Raum:

„Kreditkarteninformationen gehörten nicht zu den betroffenen Daten.“

— Capcom

Die Zeitspanne war kurz. Capcom bemerkte am 19. Oktober verdächtige Aktivitäten, sperrte noch am selben Tag den Zugriff und bestätigte den Einbruch noch am selben Tag. Am 20. Oktober wurde ein internes Krisenzentrum eingerichtet, nachdem das Unternehmen den Zugriff auf registrierte Kundendaten bestätigt und seinen externen IT-Sicherheitsausschuss informiert hatte. Am 21. Oktober benachrichtigte Capcom die Polizei der Präfektur Osaka und die japanische Datenschutzkommission. Drei Tage von der Entdeckung bis zur Veröffentlichung konkreter Zahlen sind schneller als bei den meisten Publishern üblich, und das ist mir lieber als eine bloße Mitteilung über laufende Ermittlungen.

Dies ist bereits die zweite derartige Meldung des Unternehmens. Ein Ragnar-Locker-Ransomware-Angriff im November 2020 führte dazu, dass rund 390.000 Personen potenziell betroffen waren, 16.415 Fälle wurden bestätigt. Die genaue Schadenshöhe wurde erst nach monatelangen Nachforschungen ermittelt. Der Angriff zielte auf interne Systeme und Partnerdatensätze ab, nicht auf einen Account-Service. Damit ist dies das erste Mal, dass die eigene Spielerschaft des Publishers selbst Ziel eines Angriffs wurde.

Das praktische Risiko besteht nun im E-Mail-Postfach. Capcom warnt davor, dass die offengelegten Adressen für E-Mails missbraucht werden könnten, die sich als der Publisher oder seine Partner ausgeben, und rät Kunden dringend, keine Anhänge zu öffnen oder verdächtigen Links zu folgen. In Japan ist eine spezielle Support-Hotline unter 0120-801-271 von 10:00 bis 20:00 Uhr JST erreichbar. Kunden aus Amerika und EMEA können ein Anfrageformular auf capcom-support.com nutzen, und Kunden aus Asien und Ozeanien wenden sich bitte an [email protected].

Capcom gibt an, die verwendete Angriffsmethode identifiziert und behoben zu haben. Betroffene Kunden werden direkt kontaktiert, und weitere Informationen werden auf der Website veröffentlicht. Registrierte Adressen funktionieren bis dahin wie gewohnt. Da es für Online-Spieler dieser Spiele keine Möglichkeit gibt, sich von der Phishing-Warnung abzumelden, ist diese Warnung besonders aussagekräftig.

Elf Millionen Gaming-Adressen mit zugehörigen Anmeldezeitstempeln ergeben ein funktionierendes Phishing-Kit, und gefälschte E-Mails zum Zurücksetzen von Passwörtern, die als CAPCOM-ID-Benachrichtigungen getarnt sind, werden nicht lange auf sich warten lassen. Besonders die 196 unautorisierten Passwortänderungen sind bemerkenswert, da das Ändern eines Passworts mehr Zugriff erfordert als das Lesen einer Tabelle mit E-Mail-Adressen.

CAPCOM ID verwaltet so viele Konten, weil fast alle Spiele des Publishers mittlerweile darüber laufen. Resident Evil 2 verkaufte sich 20 Millionen Mal und wurde damit zum meistverkauften Teil der Reihe, vor Resident Evil 5 mit 19 Millionen und Resident Evil 7 mit 18,4 Millionen. Analyst Rhys Elliott von Alinea Analytics bezifferte Capcoms Steam-Umsatz auf 617 Millionen US-Dollar, davon 309 Millionen US-Dollar Nettogewinn. Allein Requiem erzielte auf der Plattform über 200 Millionen US-Dollar.

Das Tempo hat sich auch in diesem Jahr nicht verlangsamt. Onimusha: Way of the Sword verkaufte sich am Veröffentlichungstag, dem 4. September, eine Million Mal und katapultierte die Serie damit über die Marke von zehn Millionen verkauften Exemplaren. Resident Evil Requiem wurde mit 8,5 Millionen verkauften Einheiten zum bisher am schnellsten verkauften Spiel der Reihe, und die neue IP Pragmata erreichte im Sommer 2,5 Millionen verkaufte Einheiten.

Requiem sah in seinen frühen Entwürfen ganz anders aus. Produzent Masachika Kawata beschrieb die ursprünglichen Pläne für Resident Evil Requiem als ein Online-Konzept, das Regisseur Koshi Nakanishi weiterentwickelte, das Team dann aber verwarf. Leon war zunächst der einzige Protagonist, bis Grace Ashcroft hinzugefügt wurde, da seine Kampffähigkeiten die Umsetzung des Horrors erschwerten.

Executive Producer Jun Takeuchi hat die Reihe in zwei Handlungsstränge unterteilt: nummerierte Teile, die die aktuelle Geschichte erzählen, und Remakes, die die Vergangenheit abdecken. Ein Plan für den Punkt, an dem sich die beiden Stränge treffen, existiert bereits. Diese Struktur lässt Fans die Remakes von Resident Evil 5 und Resident Evil 6 als Frage des Wann betrachten, obwohl Insider Dusk Golem behauptet, dass sich keines der beiden derzeit in aktiver Entwicklung befindet.

Die nächste bestätigte Veröffentlichung ist Resident Evil Veronica, das Remake des 2000 erschienenen Code Veronica, das im Juni auf dem Summer Game Fest angekündigt wurde. Ein Werbevideo für den Halloween-Sale zeigt Fans mit einem Hound Wolf Squad-Shirt und einer wiederholten Sprachausgabe aus dem Originaltrailer – ein Hinweis auf Chris Redfield und Claire in Resident Evil Veronica. Das Remake soll 2027 erscheinen, wobei Gerüchte auf die zweite Jahreshälfte hindeuten. Für den Story-DLC „Requiem“ gibt es noch kein Erscheinungsdatum.