Neben den E-Mail-Adressen betroffen sind laut Capcom das Erstellungsdatum des Kontos, der Zeitstempel der letzten Anmeldung, die Zahl der Logins sowie die beim letzten Login verwendete IP-Adresse. Bei einer kleinen Teilmenge von 43 Konten wurden zusätzlich Geburtsdatum, Geschlecht, Nickname und Land offengelegt.
Bei weiteren 196 Konten änderten die Angreifer die CAPCOM-ID-Passwörter, um die Inhaber auszusperren; das Unternehmen setzte diese Passwörter zurück. In einer Mitteilung erklärte Capcom, dass Passwörter aller übrigen registrierten Mitglieder nicht offengelegt wurden und Kreditkartendaten nicht betroffen sind.
Wann der Einbruch stattfand, ist unklar. Capcom entdeckte am 19. Oktober verdächtige Aktivitäten und bestätigte den unbefugten Zugriff. Eine Untersuchung wurde umgehend eingeleitet; bereits am Folgetag stand fest, dass Kundendaten kompromittiert worden waren. Am 21. Oktober meldete das Unternehmen den Vorfall der Polizei und der japanischen Personal Information Protection Commission.
Die Online-Dienste des Unternehmens sind nach eigenen Angaben nicht beeinträchtigt. Capcom rief Nutzerinnen und Nutzer zur Wachsamkeit gegenüber unaufgeforderten Nachrichten und E-Mails auf, die zusätzliche Informationen abfragen oder URLs beziehungsweise Anhänge enthalten.
Im Zuge der Untersuchung identifizierte Capcom den Weg des Eindringens und setzte Sicherheitsmaßnahmen um, um vergleichbare Vorfälle zu verhindern. Einzelheiten zum initialen Zugang nannte das Unternehmen nicht. Die Benachrichtigung der betroffenen Kunden soll schrittweise erfolgen, offenbar wegen der großen Zahl betroffener Konten; für Supportanfragen wurden regionsspezifische Kontaktwege eingerichtet.
Capcom ist unter anderem für Reihen wie Resident Evil, Monster Hunter, Street Fighter und Mega Man bekannt, beschäftigt 4.000 Mitarbeiter und erzielt einen Jahresumsatz von 1,24 Milliarden US-Dollar.
Bereits im November 2020 war das Unternehmen Ziel eines Angriffs, zu dem sich die Ransomware-Gruppe Ragnar Locker bekannte. Die Angreifer gaben an, ein Terabyte an Daten erbeutet zu haben; Capcom warnte anschließend, dass bis zu 390.000 Personen betroffen sein könnten. Im April 2021 teilte das Unternehmen mit, dass sich die Angreifer über ein altes VPN-Gerät Zugang verschafft hatten.