Datalæk hos Capcom afslører 11,7 millioner spilleres e-mailadresser

Capcom har bekræftet, at en ubuden gæst hentede kundedata fra Capcom ID, den konto, spillerne bruger til at logge ind på virksomhedens webtjenester og spille nogle af dens spil online. Dataene omfatter mere end elleve millioner e-mailadresser, og til hver adresse er der knyttet oplysninger om, hvornår kontoen blev oprettet, tidspunktet for seneste login, hvor mange gange der er logget ind, og IP-adressen ved det seneste login. Det er netop kombinationen, der gør lækket nyttigt for kriminelle: En svindler, som kender din e-mailadresse, ved, at du spiller Capcom-spil, og nogenlunde ved, hvorfra du sidst loggede på, kan skrive en meget overbevisende falsk mail fra kundeservice.

For alle, der har oprettet en konto for at spille det seneste Street Fighter online eller bruge et Capcom-websted, er den praktiske risiko en bølge af phishing – ikke en tømt bankkonto. Spiludgiveren bag Resident Evil, Monster Hunter og Mega Man siger, at de berørte data ikke omfattede kreditkortoplysninger, og har ikke bekræftet, at kundernes egne adgangskoder er blevet lækket. Rådet er kontant: Hvis du modtager en besked, der angiveligt kommer fra Capcom eller en tilknyttet virksomhed, skal du ikke åbne links eller vedhæftede filer i den.

Det præcise tal i Capcoms meddelelse er 11.774.247 konti på verdensplan. En langt mindre gruppe blev ramt hårdere. For 43 konti omfatter de eksponerede data også fødselsdato, køn, land eller region og kaldenavn. På 196 konti ændrede angriberne loginadgangskoden uden tilladelse, hvilket BleepingComputer opfattede som et forsøg på at låse ejerne ude. Capcom siger, at adgangskoderne er blevet nulstillet, og at alle tjenester knyttet til Capcom ID, herunder spillene, stadig fungerer.

Meddelelsen lader de største spørgsmål stå åbne. Capcom siger, at virksomheden har identificeret og håndteret angrebsmetoden, men beskriver den ikke, og har heller ikke oplyst, hvor længe den ubudne gæst havde adgang, før aktiviteten blev opdaget. Ændringerne af adgangskoderne harmonerer heller ikke helt med forsikringen om, at adgangskoderne ikke er berørt: Den, der nulstillede de 196 adgangskoder, havde en vej ind til kontostyringen, selv uden at se de oprindelige adgangskoder. Ifølge Help Net Security har ingen gruppe taget ansvaret for angrebet, og Capcom siger, at undersøgelsen af det fulde omfang stadig er i gang.

Spillerne behøver ikke opgive deres e-mailadresse, da Capcom siger, at registrerede adresser fortsat kan bruges. De nyttige forholdsregler er de velkendte, men lækket gør dem mere presserende. Skift adgangskoden til Capcom ID, hvis du genbruger den andre steder. Vær på vagt over for enhver besked, der nævner din kontohistorik, et nyligt login eller et sikkerhedsproblem med din profil, for netop den slags oplysninger er blevet lækket. Gå direkte til Capcoms supportsider i stedet for at følge et link i en e-mail.

Capcom siger, at virksomheden opdagede den mistænkelige aktivitet den 19. oktober og blokerede den samme dag, oprettede et internt beredskabshovedkvarter den 20. oktober og anmeldte bruddet til politiet i Osaka-præfekturet og Japans kommission for beskyttelse af personoplysninger den 21. oktober, inden undskyldningen blev offentliggjort den 22. oktober. Virksomheden vil kontakte de berørte kunder i etaper, ifølge BleepingComputer, og har oprettet særlige supportkanaler: en gratis hotline i Japan, onlineformularer til henvendelser fra Nord- og Sydamerika samt Europa, Mellemøsten og Afrika, og en e-mailadresse til Asien og Oceanien.

Omfanget er nyt for Capcom. Ved virksomhedens seneste større hændelse, et Ragnar Locker-ransomwareangreb i november 2020, blev Capcoms eget netværk ramt, og ifølge virksomheden kan op til 390.000 personer være blevet berørt. Senere sporede Capcom indgangen til en gammel VPN-enhed. Dengang var det virksomhedens interne systemer, der var målet. Denne gang var det den konto, millioner af spillere bruger til at logge ind.

Tags: cybersikkerhed, computerspil, Kali Reis, Street Fighter, Cody Rhodes, Callina Liang, Capcom, David Dastmalchian, datalæk, phishing