Une fuite chez Capcom expose 11,7 millions d’adresses e-mail de joueurs

Capcom a confirmé qu’un intrus avait extrait des données clients de Capcom ID, le compte utilisé par les joueurs pour se connecter aux services en ligne de l’entreprise et jouer à certains de ses jeux sur Internet. La fuite concerne plus de onze millions d’adresses e-mail, auxquelles sont associés la date de création du compte, l’heure de la dernière connexion, le nombre de connexions effectuées et l’adresse IP utilisée lors de cette dernière connexion. C’est cette combinaison qui rend les données utiles aux criminels : un escroc qui connaît votre adresse e-mail, sait que vous jouez aux jeux Capcom et peut situer approximativement votre dernière connexion est en mesure de rédiger un faux e-mail d’assistance particulièrement convaincant.

Pour les personnes qui ont créé un compte afin de jouer en ligne au dernier Street Fighter ou d’utiliser un site de Capcom, le risque concret est une vague de tentatives d’hameçonnage, et non un compte bancaire vidé. L’éditeur de Resident Evil, Monster Hunter et Mega Man indique qu’aucune donnée de carte bancaire ne figure parmi les informations concernées et n’a confirmé aucune fuite des mots de passe choisis par les clients eux-mêmes. Son conseil est sans détour : si vous recevez un message prétendant venir de Capcom ou d’une entreprise liée, n’ouvrez ni les liens ni les pièces jointes qu’il contient.

Le chiffre exact indiqué par Capcom est de 11 774 247 enregistrements dans le monde. Un groupe beaucoup plus restreint a été plus durement touché. Pour 43 comptes, les données exposées comprennent également la date de naissance, le genre, le pays ou la région et le pseudonyme. Sur 196 comptes, les attaquants ont modifié le mot de passe de connexion sans autorisation, ce que BleepingComputer interprète comme une tentative d’en empêcher les propriétaires d’accéder à leur compte. Capcom affirme avoir réinitialisé ces mots de passe et précise que tous les services associés à Capcom ID, jeux compris, continuent de fonctionner.

L’avis de Capcom laisse sans réponse les principales questions. L’entreprise affirme avoir identifié et neutralisé la méthode utilisée lors de l’attaque, sans toutefois la décrire, et n’a pas précisé combien de temps l’intrus a eu accès aux données avant que l’activité ne soit repérée. Les modifications de mots de passe cadrent par ailleurs mal avec les assurances données au sujet de ces derniers : la personne qui a réinitialisé les 196 comptes a nécessairement eu un moyen d’accéder aux paramètres des comptes, même sans connaître les mots de passe d’origine. Selon Help Net Security, aucun groupe n’a revendiqué l’attaque, et Capcom indique que son enquête sur l’ampleur totale de l’incident est toujours en cours.

Les joueurs n’ont pas besoin d’abandonner leur adresse e-mail : Capcom affirme que les adresses enregistrées peuvent continuer à être utilisées. Les mesures utiles sont bien connues, mais cette fuite les rend d’autant plus urgentes. Modifiez le mot de passe de votre Capcom ID si vous le réutilisez sur d’autres services. Méfiez-vous de tout message faisant référence à l’historique de votre compte, à une connexion récente ou à un problème de sécurité lié à votre profil : ce sont précisément les informations qui ont été divulguées. Rendez-vous directement sur les pages d’assistance de Capcom plutôt que de suivre un lien reçu par e-mail.

Capcom indique avoir détecté l’activité suspecte le 19 octobre et l’avoir bloquée le jour même, avoir mis en place une cellule interne de gestion de l’incident le 20 octobre, puis avoir signalé la fuite à la police préfectorale d’Osaka et à la Commission de protection des informations personnelles du Japon le 21 octobre, avant de publier ses excuses le 22 octobre. L’entreprise contactera les clients concernés par étapes, selon BleepingComputer, et a mis en place des canaux d’assistance dédiés : un numéro gratuit au Japon, des formulaires de demande en ligne pour les Amériques ainsi que pour l’Europe, le Moyen-Orient et l’Afrique, et une adresse e-mail pour l’Asie et l’Océanie.

L’ampleur de l’incident est sans précédent pour Capcom. La dernière attaque majeure, une attaque par rançongiciel menée par Ragnar Locker en novembre 2020, avait visé le réseau de l’entreprise et aurait pu toucher jusqu’à 390 000 personnes, selon Capcom, qui a par la suite attribué l’intrusion à un ancien appareil VPN. Cette fois-là, les systèmes internes de l’entreprise étaient la cible. Cette fois, c’est le compte utilisé par des millions de joueurs pour se connecter qui a été visé.

Étiquettes: jeux vidéo, cybersécurité, Kali Reis, David Dastmalchian, Street Fighter, Cody Rhodes, Callina Liang, Capcom, fuite de données