日本游戏厂商卡普空（Capcom）于 2026 年 10 月 22 日发布公告，确认统一账号系统 CAPCOM ID 遭第三方未授权访问，受影响记录达 11,774,247 条。CAPCOM ID 用于管理旗下游戏的在线功能、网络服务与多人模式，覆盖《街头霸王 6》《怪物猎人》《生化危机》等作品，因此这次泄露影响的是全球范围的玩家账号。
泄露了什么
按官方公告，全部 1,177 万条记录中包含注册邮箱地址，以及系统侧标识信息：账号创建时间、最后登录时间、登录次数、最后一次登录使用的客户端 IP。另有 43 条记录额外泄露了出生日期、性别、国家/地区与昵称。官方明确：由用户自行设置的 CAPCOM ID 登录密码未被确认泄露，信用卡等支付信息不受影响。
但有一个细节值得单独拎出来：至少 196 个账号的密码被他人擅自修改，卡普空已对这些账号执行重置。这说明攻击者不只是读了数据，在有限范围内还具备写入账号的能力。另有报道称 19 个账号的官方网络商店账户页面被访问，涉及姓名、电话、邮编、住址、性别、生日、购买记录、客服咨询记录与通讯录信息。
时间线
- 10 月 19 日：发现账号系统存在可疑活动，当天阻断访问并确认发生未授权访问，同时开始定位攻击手法。
- 10 月 20 日：成立内部事件响应总部，确认客户信息受影响，并向外部 IT 安全监督委员会报告。
- 10 月 21 日：完成应急处置，查明并封堵攻击路径，向大阪府警察与日本个人信息保护委员会报案。
- 10 月 22 日：对外发布公告并致歉，说明将逐一通知受影响用户、开设专门客服渠道。
从发现到公开披露三天，节奏算紧。但公告没有说明攻击者通过什么入口进入、潜伏了多久、数据是否已被出售，也未做任何归因。这几点在后续披露或监管文件中通常才会补齐。
影响评估：邮箱加登录元数据为什么不能算无关紧要
1,177 万条”只有邮箱和登录信息”的数据，在社工链条里比一条高敏感记录更好用。邮箱确认了账号真实存在且活跃；登录时间与次数能判断用户活跃周期；最后登录 IP 能推断地区与网络环境。三者组合足以写出一封”我们检测到您的账号在某月某日有异常登录，请验证”的邮件，时间点、地点、措辞全部对得上真实行为。
对企业的间接风险在于撞库。游戏账号的邮箱往往与电商、支付、社交账号重复，攻击者拿到确认有效的邮箱清单后，撞库命中率会明显高于盲打。卡普空在公告中提醒用户警惕冒充公司名义的邮件，不要点击链接或打开附件，这一提示对应的正是接下来几周最可能出现的攻击形态。
处置建议
- CAPCOM ID 用户：改为唯一密码，不与任何其他站点复用；检查账号内是否绑定陌生会话或第三方登录。
- 凡是用同一邮箱注册过电商、支付类服务的，一并排查异地登录记录。
- 对”卡普空官方”发来的邮件保持怀疑：官方不会在邮件里索要密码，也不应通过邮件链接直接跳转登录。
- 企业侧：把游戏、论坛这类娱乐账号纳入员工邮箱泄露监控，它们经常是撞库的第一块多米诺骨牌。
- 运营账号系统的团队：把”未授权密码修改”设为独立告警项，本次 196 个账号的异常改密是唯一能提前暴露入侵的行为信号。