Wat is er gebeurd
De Japanse gameontwikkelaar Capcom heeft op 22 oktober 2026 een datalek bij zijn accountdienst CAPCOM ID bekendgemaakt. Een onbevoegde partij heeft gegevens van 11.774.247 accounts wereldwijd ingezien. Capcom ontdekte de eerste signalen op 19 oktober en deed op 21 oktober aangifte bij de politie.
Bij 196 accounts heeft de aanvaller ook het wachtwoord gewijzigd; die accounts zijn inmiddels hersteld. Capcom heeft niet bekendgemaakt hoe de aanvaller binnenkwam of wie erachter zit.
Wie worden getroffen
Het gaat vooral om e-mailadressen en aanmeldgegevens, zoals het moment van aanmaken en laatste aanmelding, het aantal aanmeldingen en het laatst gebruikte IP-adres. Bij 43 accounts zijn ook geboortedatum, geslacht, land en gebruikersnaam ingezien.
Volgens Capcom zijn er geen betaalkaartgegevens gelekt en is niet vastgesteld dat de wachtwoorden die gebruikers zelf hebben ingesteld zijn buitgemaakt. De games blijven gewoon speelbaar. Capcom waarschuwt wel dat de gegevens kunnen worden misbruikt voor phishingberichten die zich voordoen als Capcom.
Wat betekent dit voor uw organisatie
Veel medewerkers gebruiken hun zakelijke e-mailadres ook voor privédiensten zoals gameaccounts, webwinkels en apps. Lekt zo een adres samen met aanmeldgegevens, dan kunnen criminelen dat gebruiken voor geloofwaardige phishing, ook richting uw organisatie.
Hergebruikte wachtwoorden zijn het grootste risico: wie hetzelfde wachtwoord gebruikt voor een privéaccount en voor zijn werkaccount, maakt het aanvallers makkelijk zodra een van die diensten lekt.
Wat kunt u nu doen
- Wijzig het wachtwoord van uw CAPCOM ID als u een account hebt, en ook op andere diensten waar u hetzelfde wachtwoord gebruikt.
- Spreek met medewerkers af dat zij hun zakelijke e-mailadres niet gebruiken voor privéaccounts zoals games en webwinkels.
- Zorg dat zakelijke wachtwoorden uniek zijn, bijvoorbeeld met een wachtwoordmanager, en dat MFA verplicht is op alle werkaccounts.
- Waarschuw medewerkers voor berichten die zich voordoen als Capcom of een andere bekende dienst en vragen om in te loggen of gegevens te bevestigen.
- Controleer via Have I Been Pwned welke zakelijke e-mailadressen van uw domein in bekende datalekken voorkomen.