Утечка Capcom ID раскрыла 11,7 млн адресов почты игроков и их IP

Capcom подтвердила, что злоумышленник похитил клиентские данные из Capcom ID — учётной записи, с помощью которой игроки входят в веб-сервисы компании и играют онлайн в некоторые её игры. Среди похищенных данных — более одиннадцати миллионов адресов электронной почты. Для каждого адреса указаны дата создания учётной записи, время последнего входа, число входов и IP-адрес, с которого был выполнен последний вход. Именно сочетание этих сведений делает утечку ценной для преступников: мошенник, который знает ваш адрес, знает, что вы играете в игры Capcom, и примерно понимает, откуда вы подключались в последний раз, может составить очень убедительное поддельное письмо от службы поддержки.

Для тех, кто создал учётную запись, чтобы играть онлайн в последнюю Street Fighter или пользоваться сайтом Capcom, практический риск — волна фишинговых атак, а не опустошённый банковский счёт. Издатель Resident Evil, Monster Hunter и Mega Man заявляет, что среди затронутых данных не было сведений о кредитных картах, и не подтверждает утечку паролей, которые пользователи установили сами. Рекомендация компании предельно ясна: если вам пришло сообщение якобы от Capcom или связанной с ней компании, не открывайте ссылки и вложения.

Согласно уведомлению Capcom, всего пострадали 11 774 247 записей по всему миру. Небольшая группа пользователей пострадала сильнее. В данных 43 учётных записей также оказались дата рождения, пол, страна или регион и никнейм. В 196 учётных записях злоумышленники без разрешения изменили пароль для входа — BleepingComputer расценило это как попытку лишить владельцев доступа. Capcom сообщает, что сбросила эти пароли и все сервисы, связанные с Capcom ID, включая игры, продолжают работать.

В уведомлении остаются без ответа самые важные вопросы. Capcom заявляет, что установила способ атаки и устранила проблему, но не описывает его и не сообщает, как долго злоумышленник имел доступ к системе до того, как подозрительную активность обнаружили. Изменение паролей также плохо сочетается с заверениями о безопасности паролей: тот, кто сбросил данные для входа в эти 196 учётных записей, каким-то образом получил доступ к настройкам аккаунтов, даже не зная исходных паролей. По данным Help Net Security, ни одна группа не взяла на себя ответственность за атаку, а Capcom сообщает, что расследование её полного масштаба продолжается.

Игрокам не нужно отказываться от своего адреса электронной почты: Capcom заявляет, что зарегистрированные адреса можно и дальше использовать. Рекомендации знакомые, но после этой утечки следовать им особенно важно. Смените пароль Capcom ID, если используете его где-либо ещё. С подозрением относитесь к любым сообщениям, в которых упоминаются история вашей учётной записи, недавний вход или проблема с безопасностью профиля: именно эти сведения и попали в утечку. Вместо того чтобы переходить по ссылке из письма, откройте страницы поддержки Capcom напрямую.

Capcom сообщает, что обнаружила подозрительную активность 19 октября и заблокировала её в тот же день, 20 октября создала внутренний штаб реагирования на инцидент, а 21 октября сообщила о взломе префектуральной полиции Осаки и Комиссии по защите персональной информации Японии. Извинения компания опубликовала 22 октября. Capcom свяжется с пострадавшими клиентами поэтапно, сообщает BleepingComputer, и открыла специальные каналы поддержки: бесплатную горячую линию в Японии, онлайн-формы для обращений из Северной и Южной Америки, Европы, Ближнего Востока и Африки, а также адрес электронной почты для Азии и Океании.

Для Capcom это утечка беспрецедентного масштаба. Последний крупный инцидент произошёл в ноябре 2020 года: атака вируса-вымогателя Ragnar Locker затронула внутреннюю сеть компании и, по данным Capcom, могла коснуться до 390 000 человек. Позже компания установила, что злоумышленники проникли в сеть через старое VPN-устройство. Тогда целью стали внутренние системы компании. На этот раз пострадала учётная запись, с помощью которой миллионы игроков входят в систему.

Теги: кибербезопасность, видеоигры, Kali Reis, Cody Rhodes, утечка данных, Capcom, Callina Liang, David Dastmalchian, фишинг