Capcom akhirnya buka suara. Lewat pengumuman resmi bertanggal 22 Oktober 2026, perusahaan asal Osaka itu mengonfirmasi bahwa layanan akun CAPCOM ID mereka terkena akses tidak sah oleh pihak ketiga, dan 11.774.247 record pengguna terekspos. Angka itu berlaku untuk total seluruh dunia, bukan per wilayah.
Yang perlu dicatat sejak awal: ini bukan cerita 11,7 juta akun dibajak. Angka itu adalah jumlah record yang terekspos, isinya alamat email plus data teknis akun. Jumlah akun yang benar-benar diambil alih jauh lebih kecil, dan itu bagian terpenting sebelum panik.
Apa yang bocor, dan apa yang tidak
Capcom merinci kebocoran dalam tiga lapis, dan pembedaan ini yang bikin kasusnya lebih jelas dari judul berita kebanyakan.
- 11.774.247 record: alamat email dan informasi pengenal spesifik sistem. Capcom mendefinisikan ini sebagai tanggal dan waktu pembuatan akun, tanggal dan waktu login terakhir, jumlah login, serta alamat IP klien yang dipakai saat login terakhir.
- 43 record: dari total di atas, sebagian kecil juga menyertakan tanggal lahir, jenis kelamin, negara/wilayah, dan nickname.
- 196 akun: dari total yang sama, password login CAPCOM ID diubah secara tidak sah. Capcom sudah mereset password akun-akun tersebut.
Yang tidak bocor juga eksplisit: password yang kamu set sendiri. Capcom menyatakan pihaknya tidak menemukan bukti bahwa password buatan pengguna ikut terekspos, dan data kartu kredit tidak termasuk dalam cakupan kebocoran. Layanan CAPCOM ID tetap bisa dipakai, dan Capcom memastikan tidak ada dampak terhadap gameplay di semua gamenya.
Soal nomor telepon dan alamat rumah: keduanya tidak ada dalam daftar data yang terekspos, termasuk pada 43 akun yang datanya lebih lengkap.
Kronologi: terdeteksi 19 Oktober, lapor polisi 21 Oktober
Menurut pengumuman resminya, Capcom menemukan jejak dugaan akses tidak sah pada 19 Oktober dan langsung memutus akses tersebut. Di hari yang sama, akses tidak sah itu terkonfirmasi. Keesokan harinya, 20 Oktober, Capcom membentuk markas tanggap internal, dan dari hasil investigasi terungkap bahwa sebagian data pengguna CAPCOM ID memang bocor, sekaligus menemukan adanya perubahan password tidak sah di sejumlah akun.
Pada 21 Oktober, Capcom melaporkan insiden ini ke kepolisian Jepang dan ke Komisi Perlindungan Informasi Pribadi (PPC) Jepang. Pengumuman ke publik baru keluar 22 Oktober, atau tiga hari setelah deteksi awal.
Soal penyebab, Capcom menyebut sudah mengidentifikasi metode serangan dan menyelesaikan penanganannya, tapi tidak mengungkap detail teknisnya ke publik. Yang jelas, ini bukan kelalaian pengguna, melainkan akses pihak ketiga ke sistem mereka. Beberapa media mengaitkan waktu kejadian dengan kerentanan PHP yang ramai pekan itu, tapi Capcom sendiri tidak pernah menyatakan ada kaitan. Jadi jangan anggap itu fakta.
Kenapa email dan IP tetap berbahaya
Sekilas, email doang terdengar ringan. Praktiknya tidak, karena tiga hal.
Pertama, kombinasi email, tanggal daftar, jumlah login, dan IP terakhir adalah bahan mentah untuk spear phishing yang meyakinkan. Penipu bisa menyebut kapan akun dibuat atau kapan terakhir kamu masuk, sehingga email palsu terasa seperti benar dari Capcom.
Kedua, email yang terkonfirmasi aktif di sebuah layanan game bernilai untuk credential stuffing: dicoba di layanan lain dengan harapan kamu memakai password yang sama.
Ketiga, IP terakhir membocorkan perkiraan wilayah dan penyedia internetmu, cukup untuk membuat pesan penipuan terasa personal.
Yang harus kamu lakukan sekarang
- Ganti password CAPCOM ID kalau kamu merasa perlu, dan jangan pakai password yang sama di layanan lain. Untuk 196 akun yang kena ubah paksa, Capcom sudah meresetnya.
- Aktifkan autentikasi dua faktor di CAPCOM ID dan di email yang kamu pakai mendaftar. Ini lapisan yang paling sering menyelamatkan akun saat password sudah beredar.
- Waspada email yang mengaku dari Capcom. Capcom secara khusus meminta pengguna berhati-hati terhadap email atau pesan mencurigakan yang mengatasnamakan perusahaan atau pihak terkait. Jangan klik tautan di dalamnya, jangan buka lampirannya.
- Curigai permintaan data tambahan. Email yang meminta verifikasi akun, konfirmasi pembayaran, atau data pribadi demi “pemulihan akun” adalah pola penipuan klasik pasca-kebocoran. Capcom tidak akan meminta password lewat email.
- Periksa riwayat login dan email pemulihan. Kalau ada login dari perangkat atau lokasi yang tidak kamu kenali, segera ganti password dan hubungi dukungan resmi Capcom di wilayahmu.
- Kalau kamu pernah menyimpan kartu di layanan Capcom, pantau mutasi transaksi saja. Capcom menyatakan data kartu tidak termasuk yang bocor, jadi tak perlu membekukan kartu kecuali ada transaksi aneh.
Capcom akan menghubungi pemilik akun terdampak secara bertahap dan sudah membuka kanal dukungan khusus, termasuk nomor bebas pulsa di Jepang serta formulir dukungan untuk Amerika dan Eropa. Untuk pengguna di Indonesia, jalur yang tersedia adalah dukungan pelanggan Capcom Asia.
Capcom pernah kena serangan ransomware pada 2020. Bedanya, kali ini cakupannya lebih sempit: email dan metadata akun, dengan korban data pribadi yang jauh lebih sedikit. Itu kabar baik yang relatif, bukan alasan mengabaikan imbauan phishing-nya.
Foto: NOIRLab/NSF/AURA/T. Slovinský via Wikimedia Commons (CC BY 4.0) – rak server. Ilustrasi: bukan infrastruktur Capcom.
