Le message arrive un matin, l’air parfaitement officiel : « Activité inhabituelle détectée sur votre compte, merci de confirmer votre identité sous 24 heures. » Logo soigné, ton pressant, bouton bien visible. Pour des millions de joueurs, ce scénario n’a rien d’hypothétique cette semaine. Le 22 octobre 2026, l’éditeur japonais Capcom (Resident Evil, Street Fighter, Monster Hunter) a reconnu qu’un intrus avait consulté les données de 11 774 247 comptes CAPCOM ID, l’identifiant qui sert à ses services en ligne et à certains de ses jeux. Au-delà de cette affaire, c’est une bonne occasion de faire le point : que faire quand le compte d’un jeu ou d’un service que l’on utilise se retrouve dans une fuite de données ?
Ce qui a fuité chez Capcom, et pourquoi c’est déjà suffisant pour les escrocs
Dans son communiqué officiel, Capcom détaille la nature des informations consultées : pour l’immense majorité des comptes, l’adresse e-mail, la date de création du compte, la date et l’heure de la dernière connexion, le nombre de connexions et l’adresse IP utilisée lors de cette dernière visite. Pour 43 comptes seulement, la date de naissance, le genre, le pays et le pseudo ont aussi été exposés. Les numéros de carte bancaire ne font pas partie du lot, assure l’éditeur, et les mots de passe choisis par les joueurs n’auraient pas fuité.
Le tableau n’est pas totalement rassurant pour autant. Capcom a constaté que 196 comptes avaient vu leur mot de passe modifié à l’insu de leur propriétaire ; ils ont depuis été réinitialisés. Un second communiqué, publié le 23 octobre, précise que 19 de ces comptes ont servi à entrer dans l’espace client de la boutique en ligne japonaise de l’éditeur, avec accès au nom, à l’adresse postale, au téléphone et à l’historique d’achats. Pour qui veut suivre l’affaire de près, Gameulous a retracé la chronologie de la fuite des comptes CAPCOM ID, de la détection le 19 octobre au signalement à la police d’Osaka deux jours plus tard.
Une adresse e-mail seule ne permet pas de vider un compte. Mais associée au nom d’une marque connue et à la date exacte de votre dernière connexion, elle devient un appât redoutable. Un faux message qui mentionne ce détail paraît soudain beaucoup plus crédible. Capcom le reconnaît d’ailleurs lui-même : ces informations pourraient servir à envoyer des e-mails, des SMS ou à passer des appels en se faisant passer pour l’éditeur ou ses partenaires.
Le premier réflexe : vérifier, sans cliquer
Quand une fuite fait les gros titres, la tentation est grande de cliquer sur le premier message reçu à ce sujet. C’est exactement ce qu’espèrent les fraudeurs. La bonne méthode consiste à ne jamais passer par un lien reçu par e-mail ou par SMS, et à se rendre soi-même sur le site officiel du service, en tapant l’adresse dans le navigateur ou via l’application déjà installée.
Pour savoir si votre adresse figure dans des fuites connues, le site Have I Been Pwned, créé par le chercheur en sécurité Troy Hunt, permet de faire une vérification gratuite. Il ne couvre pas forcément chaque incident dès le premier jour, mais il donne une bonne idée de l’exposition passée d’une adresse. Les entreprises concernées par une fuite à risque élevé ont aussi l’obligation de prévenir les personnes touchées : en Europe, c’est l’article 34 du RGPD qui l’impose, en plus de la notification à l’autorité de contrôle (la CNIL en France) sous 72 heures prévue par l’article 33. Capcom indique de son côté qu’il contactera individuellement les joueurs concernés.
Mot de passe : le vrai danger, c’est la réutilisation
Le scénario le plus courant après une fuite n’est pas l’attaque du compte piraté lui-même, mais celle de tous les autres. Si vous utilisez le même mot de passe pour votre compte de jeu, votre messagerie et votre banque, une seule brèche suffit à ouvrir toutes les portes. Les pirates testent automatiquement les couples e-mail et mot de passe récupérés sur des dizaines de sites : c’est ce qu’on appelle le « credential stuffing ».
Concrètement, après l’annonce d’une fuite :
- changez le mot de passe du compte concerné, depuis le site ou l’application officielle ;
- changez-le aussi partout où vous utilisiez le même, en commençant par votre messagerie, qui sert à réinitialiser tout le reste ;
- activez la double authentification (un code envoyé sur une application ou par SMS en plus du mot de passe) lorsque le service la propose ;
- adoptez un gestionnaire de mots de passe, qui génère et retient un mot de passe différent pour chaque site.
Reconnaître le faux message qui va suivre
Les campagnes d’hameçonnage (phishing) surfent presque toujours sur l’actualité. Un e-mail « Capcom » qui tombe pile au moment de la fuite n’a rien d’une coïncidence. Quelques signaux doivent alerter : l’urgence (« sous 24 heures », « dernier avertissement »), la promesse d’un cadeau ou d’un dédommagement, une adresse d’expéditeur légèrement différente du nom officiel, un lien qui mène vers un domaine inconnu, ou encore une demande de mot de passe, de code reçu par SMS ou de coordonnées bancaires. Aucun service sérieux ne vous demandera votre mot de passe par e-mail.
Les joueurs sont une cible de choix, car leurs comptes ont de la valeur : objets virtuels, monnaie de jeu, bibliothèques de titres achetés au fil des années, parfois une carte bancaire enregistrée. Les plus jeunes y sont particulièrement exposés. Si vos enfants jouent en ligne, un rappel simple fait souvent la différence : on ne donne jamais son mot de passe, même à quelqu’un qui prétend être « le support » ou offrir des objets gratuits.
Que faire si vous vous êtes fait piéger ?
Si vous avez cliqué ou saisi des informations sur une fausse page, pas de panique, mais agissez vite. Changez immédiatement le mot de passe du compte concerné et de tous ceux qui partagent le même. Si vous avez communiqué des coordonnées bancaires, contactez votre banque pour faire opposition. En France, la plateforme publique Cybermalveillance.gouv.fr propose un diagnostic en ligne et oriente vers les bons interlocuteurs ; le service 17Cyber, accessible depuis ce site, permet aussi d’échanger avec un conseiller.
Signaler les messages frauduleux aide aussi les autres : les e-mails suspects peuvent être transmis à Signal Spam, et les SMS frauduleux au 33700, un numéro gratuit mis en place par les opérateurs.
Une fuite de plus, et une habitude à prendre
Capcom n’en est pas à son premier incident : en novembre 2020, l’éditeur avait déjà été victime du rançongiciel Ragnar Locker, avec des données internes et personnelles dérobées. Cette fois, ce sont directement les comptes des joueurs qui sont concernés, même si l’entreprise assure que l’accès aux jeux n’est pas affecté. L’histoire montre surtout qu’aucun service, si connu soit-il, n’est à l’abri.
La meilleure protection reste donc préventive : un mot de passe unique par service, la double authentification activée partout où c’est possible et une saine méfiance envers tout message pressant. Trois habitudes qui ne prennent que quelques minutes à mettre en place et qui transforment une fuite de données en simple contrariété plutôt qu’en vrai problème.
