A Capcom confirmou, em comunicado oficial publicado em 22/10/2026, que um terceiro obteve acesso não autorizado a informações de clientes ligadas ao CAPCOM ID, a conta unificada usada pela desenvolvedora japonesa de jogos para serviços online e login em alguns títulos. Segundo a empresa, a atividade suspeita foi detectada em 19/10/2026, quando o acesso foi bloqueado e a invasão confirmada no mesmo dia; no dia seguinte (20/10), a Capcom formou um comitê interno de resposta ao incidente, confirmou o acesso a dados de clientes e identificou troca não autorizada de senha em algumas contas, além de notificar um órgão externo de supervisão de segurança da informação; em 21/10, o caso foi comunicado à polícia de Osaka e à Comissão de Proteção de Informações Pessoais do Japão.
No total, 11.774.247 registros de endereços de e-mail e identificadores de sistema foram expostos em todo o mundo. Desse total, 43 registros continham também data de nascimento, gênero, país/região e apelido, e 196 contas tiveram a senha alterada sem autorização - já redefinidas pela empresa. Também vazaram data de criação e de último login da conta, número de logins e o endereço IP usado no último acesso. A Capcom afirma não haver indícios de que as senhas definidas pelos próprios clientes tenham sido comprometidas e que dados de cartão de crédito não foram afetados; os serviços e o acesso aos jogos continuam funcionando normalmente.
Por que isso importa para uma PME brasileira: mesmo que o CAPCOM ID não seja uma ferramenta de trabalho, o caso traz duas lições diretas. Primeiro, listas de e-mails vazadas junto com dados de login são matéria-prima para campanhas de phishing direcionado - o nome da marca vazada é só o gancho inicial da mensagem, mas o golpe seguinte pode mirar qualquer conta da vítima, inclusive as corporativas. Segundo, a cronologia da Capcom - detecção em 19/10, comitê de resposta formado em 20/10 e notificação às autoridades em 21/10, ou seja, em menos de 48 horas - é um modelo de disciplina que vale para qualquer porte de empresa, e lembra o prazo de até 3 dias úteis que a LGPD e a ANPD exigem para a comunicação de incidentes de segurança envolvendo dados pessoais.
O que fazer agora: tenha um plano simples e documentado de resposta a incidentes, com quem decide, quem comunica e em que prazo - antes que um incidente real force a improvisar; oriente funcionários e clientes a redobrar a atenção com mensagens que pareçam vir de serviços online que usam (jogos, lojas, aplicativos), já que vazamentos como esse alimentam ondas de phishing nas semanas seguintes; ative a autenticação em duas etapas nas contas de e-mail corporativo e nos sistemas que guardam dados de clientes, para que uma senha reaproveitada de outro serviço vazado não vire porta de entrada no seu negócio; e, se a empresa mantém uma base de clientes com dados cadastrais, monitore periodicamente o Have I Been Pwned com os domínios de e-mail usados pela empresa.
Fonte primária: comunicado oficial da Capcom sobre o incidente.
