Dataläcka hos Capcom röjer 11,7 miljoner spelares mejladresser

Capcom har bekräftat att en obehörig person hämtade kunduppgifter från Capcom ID, kontot som spelare använder för att logga in på företagets webbtjänster och spela vissa av dess spel online. Materialet omfattar över elva miljoner e-postadresser. Till varje adress hör datumet då kontot skapades, tidpunkten för den senaste inloggningen, antalet inloggningar och IP-adressen som användes vid den senaste inloggningen. Det är just den kombinationen som gör läckan användbar för kriminella: en bedragare som känner till din e-postadress, vet att du spelar Capcom-spel och ungefär varifrån du senast anslöt kan skriva ett mycket övertygande falskt mejl från kundsupporten.

För den som skapade ett konto för att spela det senaste Street Fighter online eller använda en Capcom-webbplats är den praktiska risken en våg av nätfiske, inte ett tömt bankkonto. Utgivaren bakom Resident Evil, Monster Hunter och Mega Man uppger att inga kreditkortsuppgifter fanns bland de berörda uppgifterna, och har inte bekräftat att lösenord som kunderna själva valt har läckt. Rådet är tydligt: öppna inte länkar eller bilagor i meddelanden som påstår sig komma från Capcom eller ett närstående företag.

Den exakta siffran i Capcoms meddelande är 11 774 247 poster världen över. En betydligt mindre grupp drabbades hårdare. För 43 konton omfattar de exponerade uppgifterna även födelsedatum, kön, land eller region och smeknamn. För 196 konton ändrade angriparna inloggningslösenordet utan tillstånd, något som BleepingComputer tolkade som ett försök att stänga ute kontoinnehavarna. Capcom uppger att lösenorden har återställts och att alla tjänster kopplade till Capcom ID, inklusive spelen, fortfarande fungerar.

Meddelandet lämnar de största frågorna obesvarade. Capcom säger sig ha identifierat och åtgärdat angreppsmetoden, men beskriver den inte, och har inte uppgett hur länge angriparen hade åtkomst innan aktiviteten upptäcktes. Lösenordsändringarna går också illa ihop med försäkran om lösenorden: den som återställde de 196 inloggningarna hade någon väg in i kontohanteringen, även utan att se de ursprungliga lösenorden. Enligt Help Net Security har ingen grupp tagit på sig attacken, och Capcom uppger att utredningen av dess fulla omfattning fortfarande pågår.

Spelare behöver inte överge sin e-postadress, eftersom Capcom säger att registrerade adresser kan fortsätta användas. De användbara åtgärderna är välbekanta, men läckan gör dem mer angelägna. Byt lösenordet till Capcom ID om du använder samma lösenord någon annanstans. Var misstänksam mot alla meddelanden som nämner din kontohistorik, en nylig inloggning eller ett säkerhetsproblem med din profil – just den typen av uppgifter har läckt. Gå direkt till Capcoms supportsidor i stället för att klicka på en länk i ett mejl.

Capcom uppger att den misstänkta aktiviteten upptäcktes den 19 oktober och blockerades samma dag. Företaget inrättade en intern incidentledningscentral den 20 oktober och rapporterade intrånget till Osaka-prefekturens polis och Japans Personal Information Protection Commission den 21 oktober, innan det publicerade sin ursäkt den 22 oktober. Företaget kommer att kontakta berörda kunder i omgångar, enligt BleepingComputer, och har öppnat särskilda supportkanaler: ett avgiftsfritt telefonnummer i Japan, formulär för förfrågningar online i Amerika respektive Europa, Mellanöstern och Afrika samt en e-postadress för Asien och Oceanien.

Omfattningen är ny för Capcom. Den senaste större incidenten, en ransomwareattack från Ragnar Locker i november 2020, drabbade företagets eget nätverk och kan ha påverkat upp till 390 000 personer, enligt Capcom, som senare spårade intrångsvägen till en äldre VPN-enhet. Då var företagets interna system måltavlan. Den här gången var det kontot som miljontals spelare använder för att logga in.

Taggar: cybersäkerhet, Kali Reis, Street Fighter, Cody Rhodes, datorspel, Callina Liang, Capcom, David Dastmalchian, dataläcka