Wyciek z Capcom ID ujawnił 11,7 mln adresów e-mail graczy i ich adresy IP

Capcom potwierdził, że włamywacz wykradł dane klientów z Capcom ID — konta, za pomocą którego gracze logują się do usług internetowych firmy i grają online w część jej gier. Łup obejmuje ponad jedenaście milionów adresów e-mail, a przy każdym z nich znalazły się data utworzenia konta, godzina ostatniego logowania, liczba logowań oraz adres IP użyty przy ostatnim logowaniu. To właśnie takie połączenie danych czyni wyciek użytecznym dla przestępców: oszust, który zna twój adres, wie, że grasz w gry Capcomu, i mniej więcej orientuje się, skąd ostatnio się łączyłeś, może napisać bardzo przekonujący, fałszywy e-mail od pomocy technicznej.

Dla osób, które założyły konto, by grać online w najnowszą odsłonę Street Fightera albo korzystać z witryny Capcomu, realnym zagrożeniem jest fala prób phishingu, a nie wyczyszczenie konta bankowego. Wydawca serii Resident Evil, Monster Hunter i Mega Man zapewnia, że wśród ujawnionych danych nie było informacji o kartach kredytowych. Nie potwierdził też, by wyciekły hasła ustawione przez samych klientów. Jego zalecenie jest jednoznaczne: jeśli dostaniesz wiadomość rzekomo od Capcomu lub powiązanej z nim firmy, nie otwieraj zawartych w niej linków ani załączników.

Dokładna liczba podana przez Capcom to 11 774 247 rekordów z całego świata. Znacznie mniejsza grupa ucierpiała poważniej. W przypadku 43 kont ujawnione dane obejmowały również datę urodzenia, płeć, kraj lub region oraz pseudonim. W 196 przypadkach napastnicy bez upoważnienia zmienili hasło do logowania, co BleepingComputer uznał za próbę odcięcia właścicieli od ich kont. Capcom informuje, że zresetował te hasła, a wszystkie usługi powiązane z Capcom ID, w tym gry, nadal działają.

W komunikacie nie wyjaśniono najważniejszych kwestii. Capcom twierdzi, że ustalił i usunął sposób, w jaki przeprowadzono atak, ale nie podaje, na czym on polegał. Nie ujawnił też, jak długo napastnik miał dostęp do systemu, zanim wykryto podejrzaną aktywność. Zmiany haseł trudno również pogodzić z zapewnieniami dotyczącymi bezpieczeństwa haseł: osoba, która zresetowała dane logowania do 196 kont, musiała mieć jakiś dostęp do mechanizmów zarządzania kontami, nawet jeśli nie znała oryginalnych haseł. Jak podaje Help Net Security, do ataku nie przyznała się żadna grupa, a Capcom wciąż bada jego pełny zakres.

Gracze nie muszą rezygnować ze swoich adresów e-mail — Capcom zapewnia, że zarejestrowane adresy nadal mogą być używane. Warto jednak podjąć dobrze znane środki ostrożności, bo po tym wycieku są jeszcze pilniejsze. Zmień hasło do Capcom ID, jeśli używasz go również w innych serwisach. Zachowaj ostrożność wobec każdej wiadomości wspominającej o historii twojego konta, niedawnym logowaniu albo problemie z profilem, bo właśnie takie informacje wyciekły. Zamiast klikać link w e-mailu, przejdź bezpośrednio na strony pomocy technicznej Capcomu.

Capcom podaje, że wykrył podejrzaną aktywność 19 października i zablokował ją tego samego dnia. 20 października powołał wewnętrzny sztab reagowania na incydent, a 21 października zgłosił naruszenie do policji prefektury Osaka i japońskiej Komisji ds. Ochrony Danych Osobowych. Przeprosiny opublikował 22 października. Firma skontaktuje się z poszkodowanymi klientami etapami, jak podaje BleepingComputer, i uruchomiła specjalne kanały pomocy: bezpłatną infolinię w Japonii, formularze kontaktowe online dla obu Ameryk oraz Europy, Bliskiego Wschodu i Afryki, a także adres e-mail dla Azji i Oceanii.

Tak duży wyciek to nowość dla Capcomu. Poprzedni poważny incydent — atak ransomware Ragnar Locker z listopada 2020 roku — dotknął wewnętrzną sieć firmy i mógł objąć nawet 390 000 osób, jak podawał Capcom. Później ustalono, że napastnicy dostali się do niej przez przestarzałe urządzenie VPN. Wówczas celem były wewnętrzne systemy firmy. Tym razem zaatakowano konto, z którego do logowania korzystają miliony graczy.

Tagi: cyberbezpieczeństwo, gry wideo, Kali Reis, Cody Rhodes, Callina Liang, Capcom, David Dastmalchian, wyciek danych, Street Fighter, phishing