Capcom vient de reconnaître une fuite de données portant sur 11 774 247 enregistrements liés à Capcom ID, le compte qui donne accès aux services web de l'éditeur. Il est aussi obligatoire pour jouer en ligne à certains de ses jeux, dont Street Fighter 6. La société d'Osaka assure qu'aucune carte bancaire n'est concernée. L'annonce tombe en pleine Paris Games Week, où son stand accueille cette semaine l'équipe de Monster Hunter.
Capcom a repéré l'intrusion le 19 octobre et l'a signalée deux jours plus tard à la police de la préfecture d'Osaka ainsi qu'à la Commission japonaise de protection des informations personnelles, avant de la rendre publique le 22.
Adresses e-mail, adresses IP et 196 comptes détournés
Pour l'ensemble des enregistrements, l'intrus a eu accès à l'adresse e-mail et à une série d'identifiants techniques : date de création du compte, date de la dernière connexion, nombre de connexions et adresse IP utilisée lors de cette dernière connexion. Pour 43 comptes, la fuite comprend aussi la date de naissance, le genre, le pays ou la région et le pseudo. Capcom ne mentionne aucun nom réel et ne donne aucune répartition par pays, le chiffre étant présenté comme un total mondial.
Le point le plus sérieux concerne 196 comptes dont le mot de passe a été changé par l'attaquant. Capcom les a réinitialisés et dit n'avoir constaté aucune compromission des mots de passe choisis par les joueurs. L'éditeur affirme avoir identifié et neutralisé la méthode d'attaque, mais il ne précise ni comment l'intrus a pu modifier ces mots de passe ni comment ils sont stockés. Les services liés à Capcom ID restent ouverts et les jeux fonctionnent normalement.
Début novembre 2020, un rançongiciel avait déjà chiffré une partie du réseau interne de Capcom, qui avait trouvé sur les machines touchées le message d'un groupe se présentant comme Ragnar Locker. Au terme de l'enquête, en avril 2021, l'éditeur a confirmé le vol de données de 15 649 personnes, principalement des partenaires commerciaux et des salariés, anciens ou actuels, sur environ 390 000 potentiellement exposées.
Mot de passe, double authentification et faux mails aux couleurs de Capcom
Capcom ne demande à personne de changer son mot de passe et précise que l'adresse e-mail enregistrée peut continuer à servir. L'attaquant a pourtant pu modifier le mot de passe de 196 comptes. Par précaution, mieux vaut changer le mot de passe Capcom ID, ainsi que celui des autres sites où il était réutilisé. Le service propose aussi une double authentification, à activer depuis la page Compte avec une application comme Google Authenticator ou Microsoft Authenticator. La FAQ de Capcom ID conseille de la désactiver sur l'ancien téléphone avant d'en changer, faute de quoi la connexion devient impossible depuis le nouveau.
Le danger immédiat vient des mails frauduleux. Capcom prévient que les informations concernées pourraient servir à envoyer des messages qui se font passer pour lui ou pour ses partenaires. Devant un message suspect, l'éditeur demande de ne cliquer sur aucun lien et de n'ouvrir aucune pièce jointe. Un faux message d'alerte de sécurité pourrait citer la date de dernière connexion ou l'adresse IP pour paraître crédible. La même prudence vaut pour un mail qui parle de Monster Hunter Wilds, des remakes de Resident Evil sortis sur Switch 2 ou du film Street Fighter. Pour vérifier un mail qui promet une récompense ou signale une connexion suspecte, on ouvre soi-même le site officiel, jamais le lien reçu.
Capcom n'a pas dit quand il contacterait les clients concernés. En Europe, le support de l'éditeur répond aux questions par son formulaire en ligne.
