Capcom-lekkasje avslører e-postadressene til 11,7 millioner spillere

Capcom har bekreftet at en uvedkommende hentet ut kundedata fra Capcom ID, kontoen spillerne bruker for å logge inn på selskapets nettjenester og spille enkelte av spillene deres på nett. Dataene omfatter mer enn elleve millioner e-postadresser. For hver adresse følger også datoen kontoen ble opprettet, tidspunktet for siste innlogging, hvor mange ganger kontoen er brukt til innlogging, og IP-adressen som ble brukt sist. Det er nettopp denne kombinasjonen som gjør lekkasjen nyttig for kriminelle: En svindler som kjenner e-postadressen din, vet at du spiller Capcom-spill og har en omtrentlig idé om hvor du sist koblet deg til fra, kan skrive en svært overbevisende falsk e-post fra kundestøtten.

For alle som opprettet en konto for å spille den nyeste Street Fighter på nett eller bruke en Capcom-nettside, er den praktiske risikoen en bølge av phishing – ikke en tømt bankkonto. Utgiveren bak Resident Evil, Monster Hunter og Mega Man sier at ingen kredittkortopplysninger var blant dataene som ble rammet, og har ikke bekreftet at kundenes egne passord er lekket. Rådet er tydelig: Hvis du får en melding som utgir seg for å komme fra Capcom eller et tilknyttet selskap, må du ikke åpne lenker eller vedlegg.

Det nøyaktige tallet Capcom oppgir, er 11 774 247 kontooppføringer på verdensbasis. En langt mindre gruppe ble rammet hardere. For 43 kontoer omfatter de eksponerte opplysningene også fødselsdato, kjønn, land eller region og kallenavn. På 196 kontoer endret angriperne innloggingspassordet uten tillatelse, noe BleepingComputer tolket som et forsøk på å stenge eierne ute. Capcom sier at passordene er tilbakestilt, og at alle tjenester knyttet til Capcom ID – også spillene – fortsatt er i drift.

Varslingen etterlater de største spørsmålene ubesvart. Capcom sier at selskapet har identifisert og håndtert angrepsmetoden, men beskriver den ikke. Det er heller ikke opplyst hvor lenge den uvedkommende hadde tilgang før aktiviteten ble oppdaget. Passordendringene står dessuten i et underlig forhold til beroligelsen om passordene: Den som tilbakestilte de 196 innloggingene, hadde en eller annen tilgang til kontoinnstillingene, selv uten å se de opprinnelige passordene. Ifølge Help Net Security har ingen gruppe tatt på seg ansvaret for angrepet, og Capcom sier at etterforskningen av det fulle omfanget fortsatt pågår.

Spillerne trenger ikke å bytte e-postadresse, ettersom Capcom sier at registrerte adresser fortsatt kan brukes. De nyttige tiltakene er de velkjente, men lekkasjen gjør dem enda viktigere. Bytt passordet til Capcom ID hvis du bruker det samme passordet andre steder. Vær på vakt mot meldinger som viser til kontohistorikken din, en nylig innlogging eller et sikkerhetsproblem med profilen din – nettopp slike opplysninger er lekket. Gå direkte til Capcoms støttesider i stedet for å følge en lenke i en e-post.

Capcom sier at selskapet oppdaget den mistenkelige aktiviteten 19. oktober og blokkerte den samme dag. Dagen etter opprettet det et internt hovedkvarter for hendelseshåndtering, og 21. oktober varslet det politiet i Osaka-prefekturet og Japans Personal Information Protection Commission. Beklagelsen ble publisert 22. oktober. Selskapet vil kontakte berørte kunder, i etapper ifølge BleepingComputer, og har opprettet egne kanaler for henvendelser: en gratis telefonlinje i Japan, nettbaserte kontaktskjemaer for Amerika og for Europa, Midtøsten og Afrika, samt en e-postadresse for Asia og Oseania.

Omfanget er nytt for Capcom. Den forrige store hendelsen, et løsepengevirusangrep fra Ragnar Locker i november 2020, rammet selskapets eget nettverk og kan ha berørt opptil 390 000 personer, ifølge Capcom. Selskapet fant senere ut at inntrengningen skjedde via en gammel VPN-enhet. Den gangen var målet selskapets interne systemer. Denne gangen var det kontoen millioner av spillere bruker for å logge inn.

Tagger: cybersikkerhet, dataspill, Kali Reis, Street Fighter, Cody Rhodes, Callina Liang, Capcom, David Dastmalchian, datalekkasje, phishing