Violazione di Capcom ID, esposte le email di 11,7 milioni di giocatori

Capcom ha confermato che un intruso ha sottratto i dati dei clienti da Capcom ID, l’account che i giocatori usano per accedere ai servizi web dell’azienda e giocare online ad alcuni dei suoi titoli. Il bottino comprende oltre undici milioni di indirizzi email, ciascuno associato alla data di creazione dell’account, all’ora dell’ultimo accesso, al numero di accessi effettuati e all’indirizzo IP utilizzato per l’ultima connessione. È proprio questa combinazione a rendere i dati utili ai criminali: uno truffatore che conosce il vostro indirizzo, sa che giocate ai titoli Capcom e ha un’idea di dove vi siete connessi l’ultima volta può scrivere un’email falsa dell’assistenza molto credibile.

Per chi ha creato un account per giocare online all’ultimo Street Fighter o usare un sito Capcom, il rischio concreto è un’ondata di phishing, non il conto in banca svuotato. L’editore di Resident Evil, Monster Hunter e Mega Man dichiara che tra i dati coinvolti non figurano informazioni sulle carte di credito e non ha confermato la fuga delle password scelte dagli utenti. Il consiglio è chiaro: se ricevete un messaggio che sostiene di provenire da Capcom o da un’azienda collegata, non aprite i link né gli allegati.

La cifra esatta indicata da Capcom è di 11.774.247 record in tutto il mondo. Un gruppo molto più ristretto è stato colpito in modo più grave. Per 43 account, i dati esposti comprendono anche data di nascita, genere, Paese o regione e nickname. Su 196 account, gli aggressori hanno modificato la password di accesso senza autorizzazione, in quello che BleepingComputer interpreta come un tentativo di impedire ai titolari di accedere. Capcom afferma di aver reimpostato quelle password e che tutti i servizi collegati a Capcom ID, compresi i giochi, sono ancora operativi.

L’avviso lascia aperte le domande più importanti. Capcom dichiara di aver individuato e neutralizzato il metodo usato nell’attacco, ma non lo descrive e non ha detto per quanto tempo l’intruso abbia avuto accesso prima che l’attività venisse rilevata. Anche le modifiche alle password stonano con le rassicurazioni in merito: chi ha reimpostato quei 196 accessi è riuscito in qualche modo a raggiungere i controlli degli account, pur senza conoscere le password originali. Secondo Help Net Security, nessun gruppo ha rivendicato l’attacco; Capcom afferma inoltre che le indagini sulla sua portata complessiva sono ancora in corso.

I giocatori non devono abbandonare il proprio indirizzo email: Capcom dichiara che quelli registrati possono continuare a essere utilizzati. Le precauzioni utili sono quelle consuete, ma questa fuga di dati le rende ancora più urgenti. Cambiate la password di Capcom ID se la riutilizzate altrove. Diffidate di qualsiasi messaggio che faccia riferimento alla cronologia del vostro account, a un accesso recente o a un problema di sicurezza del profilo: sono proprio le informazioni finite in rete a fornire questo contesto. Visitate direttamente le pagine di assistenza di Capcom invece di seguire i link contenuti nelle email.

Capcom afferma di aver rilevato l’attività sospetta il 19 ottobre e di averla bloccata quello stesso giorno; il 20 ottobre ha istituito un’unità interna di risposta agli incidenti e il 21 ottobre ha segnalato la violazione alla Osaka Prefectural Police e alla Personal Information Protection Commission del Giappone, prima di pubblicare le proprie scuse il 22 ottobre. L’azienda contatterà i clienti coinvolti, a scaglioni secondo BleepingComputer, e ha attivato canali di assistenza dedicati: una linea gratuita in Giappone, moduli di richiesta online per le Americhe e per Europa, Medio Oriente e Africa, e un indirizzo email per Asia e Oceania.

Per Capcom si tratta di una violazione senza precedenti per dimensioni. Il precedente grave incidente, un attacco ransomware di Ragnar Locker nel novembre 2020, aveva colpito la rete interna dell’azienda e avrebbe potuto coinvolgere fino a 390.000 persone, secondo Capcom, che in seguito ha ricondotto l’accesso iniziale a un vecchio dispositivo VPN. In quel caso, il bersaglio erano i sistemi interni dell’azienda. Questa volta, invece, è stato colpito l’account che milioni di giocatori usano per accedere.

Tag: videogiochi, sicurezza informatica, Kali Reis, Street Fighter, Cody Rhodes, David Dastmalchian, violazione dei dati, Callina Liang, Capcom, phishing