千万账户裸奔，三十年RPG老店谢幕

同一周期内，两家老牌大厂先后“出事”：卡普空确认 Capcom ID 发生重大数据泄露，11,774,247 个电子邮箱及相关账户信息暴露；大洋彼岸的 EA 则宣布裁撤 400 个岗位，直接关闭了做了三十多年 RPG 的 BioWare。

两件事看似不相关——一个是安全问题，一个是财务问题——但放到产业盘面上看，它们其实是同一道题：存量时代，大厂正在为过去的扩张集中买单。安全上的欠账与业务上的欠账，现在一起到期了。

🚨 1177万个邮箱，是怎么“裸奔”的

数据泄露最可怕的地方，往往不是泄了什么，而是让所有人知道你没守住。

先还原事件。卡普空于 2025 年 10 月 22 日在其官网安全信息页发布《关于 Capcom ID 发生未授权访问的通知》，确认旗下 Capcom ID 服务发生重大数据泄露，涉及全球超过 1170 万个账户。泄露内容是 11,774,247 个电子邮箱地址及关联账户信息，具体包括账号创建时间、最后登录时间、登录次数、最近一次登录的 IP 地址——四个字段，勾勒出每个账户的“活跃度画像”。

其中受影响最深的是 43 个账户，泄露了出生日期、性别、国家或地区以及昵称。另外有 196 个账户的密码被未经授权修改——卡普空已重置这些密码，并强调未发现玩家原始密码泄露，信用卡等支付信息也不在受影响数据范围内。

响应速度上，大厂的标准动作倒是没掉链子：

10 月 19 日首次发现异常迹象，随即在调查的同时封堵未经授权的访问；10 月 20 日成立内部特别工作组；10 月 21 日向警方及日本个人信息保护委员会报案——依据日本《个人信息保护法》，发生可能导致用户权益受损的重大泄露事件时，运营方有义务向监管机构报告并公示。从发现到报案，三天。

但从产业逻辑看，这份时间线只说明一件事：应急流程是成熟的，防线本身失守了。千万级账户意味着千万级攻击面，而账户体系恰恰是 卡普空 近年平台化战略的基础设施——账号联动、商城、会员服务都挂在上面。平台化的收益有多大，攻击面的成本就有多大，这笔账以前没人细算，现在被迫摊开算了。

🔓 泄的不是数据，是钓鱼产业链的原料

一份泄露名单的价值，不在黑市标价，而在它能骗到多少人。

单看泄露字段，这次事件的“敏感度”并不算顶级——没有明文密码，没有支付信息，深度信息只涉及 43 个账户。但危险恰恰藏在组合里：邮箱 + 登录次数 + 最近登录 IP + 最后登录时间，这套数据足以让攻击者精准筛选出“高活跃、近期在线”的真实用户，再冒充 卡普空 或相关公司发起定向钓鱼。

卡普空 自己也在公告中承认了这一点：公司正在逐一联系受影响用户，提醒大家警惕声称来自卡普空或相关公司的可疑邮件。换句话说，官方已经预判到了攻击的第二阶段。

业内对这类事件的风险定价其实早有参照：卡普空 在 2020 年 11 月就遭遇过 Ragnar Locker 勒索组织入侵，约 1TB 内部数据被窃并在暗网公开，当时泄露的已包括玩家与合作伙伴信息。五年之内第二次在账户与数据管理上“失守”，安全投入的优先级问题已经不需要再解释。

对日本监管而言，个人信息保护委员会已依据《个人信息保护法》介入调查，后续若查实运营方在访问控制、数据最小化等管理层面存在瑕疵，行政指导乃至整改命令都可能接踵而至；但品牌信任层面的损耗，从公告发出的那一刻就已经开始计息。

对厂商而言，真正的教训不是“要重视安全”这句正确的废话，而是：在账号资产千万级的体量下，安全预算必须前置，事后阻断永远是被动的。

🪦 三十年老店，倒在了IP矩阵的排序里

没有工作室能靠情怀续命，哪怕它写进了半部 RPG 史。

把镜头切到欧美。BioWare 宣布关闭，这家工作室三十多年里做出的作品单拎出来任何一部都是行业坐标：初代 博德之门、无冬之夜、星球大战：旧共和国武士、龙腾世纪、质量效应，以及 圣歌。从 CRPG 黄金时代到主机时代的叙事巅峰，BioWare 几乎定义了“西方 RPG”这个品类的一半。

但公告同时确认了一个更沉重的细节：下一代 质量效应 项目的开发已经终止。

事实上 BioWare 的收缩早有征兆。此前 Dragon Age 系列的新作已经让团队元气大伤，工作室仅余 50 名员工，而本轮 400 人的裁员中，这 50 人全部在列；Skate 的开发方 Ripple Effect 也被同步缩编。EA 给出的官方口径是——"把人才和投资集中到我们认为对玩家和长期增长最有机会的地方”。

这句话翻译过来就是算术题：RPG 是出了名的长周期、高成本、高不确定性品类，一款作品动辄五年起步、上亿美金投入；而 EA 的现金流支柱是年货化的体育矩阵，确定性极强。当增长故事讲不动、资本市场只认“效率”两个字的时候，长周期资产的排序只能往后挪——哪怕它背着三十年的历史和一整个品类的记忆。

Bloomberg 记者 Jason Schreier 在报道中援引多位 BioWare 现任及前任员工的说法：这次关闭并不令人意外，而是工作室持续多年收缩的最后一步——从 圣歌 的失败重做，到 龙腾世纪：影障守护者 销量未达预期后的骨干流失，每一步都有迹可循。

📉 400个岗位，是EA算出来的答案

裁员名单不长，但每一行都是一道算术题。

EA 官方确认的数字是 400 个岗位被裁撤，CEO Andrew Wilson 在致全体员工的内部信（经 IGN、The Verge 等媒体获取并报道）中给出了“聚焦核心、放弃与战略不符的机会”的解释。BioWare 的 50 人全部在列，Ripple Effect 缩编，剩下约 350 个名额没有一次性公布，而是随着消息发酵陆续浮出水面——Respawn、Maxis、Full Circle、EA Motive 等多个工作室均在波及范围内。

把 EA 手里的业务资产摆上棋盘，取舍逻辑一目了然：

值得注意的不是谁被裁，而是裁到谁：Respawn、EA Motive 这些并非"边缘资产"的工作室也被波及——说明这不是一次针对单一团队的手术，而是一轮全局性的资源再分配。当行业从增量竞争切换到存量竞争，大厂的动作高度趋同：砍掉所有不能在两三年内兑现的业务，把资源堆到确定性最高的产品线上。

🧭 大厂的双面考题，也是出海厂商的

安全是防守题，聚焦是取舍题，两头都在考验家底。

把两起事件放在一张表里对照，共性会更清晰：

一个在为账号体系的扩张补安全课，一个在为业务线的扩张补效率课——扩张年代的欠账，正在同一个时间窗口集中偿还。

对中国出海厂商来说，这两面镜子都不只是“参考消息”，而是可以直接对照自查的清单。

安全这一面，有三条值得立刻落地的动作。其一，安全预算前置：出海产品的账号体系一旦过百万级，就该把渗透测试、异常登录监控、应急响应演练列入年度固定开支，而不是等出事再补——卡普空 三天完成从发现到报案，流程是及格的，但防线失守本身说明前置投入不足。其二，数据最小化：这次泄露的登录 IP、登录次数等字段，平时是“活跃度画像”的原料，出事时就是攻击者的筛选器——不收集用不上的数据，是最便宜的止损方式，这一点在 GDPR 之下更是硬性义务，违反最高可处全球营业额 4% 的罚款。其三，预案里写好“第二阶段”：钓鱼攻击永远跟着数据泄露一起来，公告发出当天就该同步给客服、社区和邮件网关打好补丁，卡普空 这次做到了，很多中小出海团队未必。

聚焦这一面，本质是给长周期业务定价。EA 用一纸公告证明，再厚的历史资产也扛不过财务模型的排序。出海厂商在立项和续作决策时，不妨把 EA 的算法摆到桌面上：这个项目能不能在两到三年内自证商业模型？它依赖的现金流支柱够不够稳？如果没有 EA 式的年货矩阵做底盘，就更没有资格在长周期押注上蒙眼狂奔——中小团队的容错窗口比大厂还窄，一次圣歌式的失败可能就是终点。

存量时代的规则其实很简单：扩张时欠下的每一笔账——安全上的、业务上的——都会在收缩时连本带息地还。对还在出海路上的团队来说，最好的时机不是公告发出之后，而是现在就把这两道题答完。

小结

卡普空的调查仍在进行，千万级邮箱暴露引发的钓鱼风险可能会持续数月；EA 的整合也远未结束，剩下 350 个岗位的分布与各工作室的后续命运值得关注。

两件事合在一起，指向同一个判断：游戏大厂的“过冬方式”已经从扩张抢位切换到收缩保质——安全欠账要用钱和信任还，业务欠账要用工作室和 IP 还。存量时代，容错率的下降速度比所有人预想的都快，下一份为旧账买单的公告，可能来自任何一家还沉浸在扩张叙事里的公司。