Ataque à Capcom expõe 11,7 milhões de e-mails de jogadores e os seus IP

A Capcom confirmou que um intruso extraiu registos de clientes do Capcom ID, a conta que os jogadores usam para iniciar sessão nos serviços online da empresa e jogar alguns dos seus títulos através da Internet. O conjunto de dados inclui mais de onze milhões de endereços de email, cada um acompanhado da data de criação da conta, da hora do último início de sessão, do número de vezes que foi utilizada e do endereço IP usado nesse acesso mais recente. É esta combinação que torna a fuga de dados útil para os criminosos: um burlão que saiba o seu endereço, saiba que joga títulos da Capcom e tenha uma ideia aproximada do local a partir do qual se ligou pela última vez pode escrever um email falso de apoio ao cliente bastante convincente.

Para quem criou uma conta para jogar o mais recente Street Fighter online ou utilizar um site da Capcom, o risco prático é uma vaga de tentativas de phishing, não ficar com a conta bancária a zeros. A editora responsável por Resident Evil, Monster Hunter e Mega Man afirma que os dados afetados não incluíam informações de cartões de crédito e não confirmou qualquer fuga das palavras-passe escolhidas pelos próprios clientes. O seu conselho é direto: se receber uma mensagem que alegue ser da Capcom ou de uma empresa relacionada, não abra os respetivos links nem anexos.

O número exato indicado pela Capcom é de 11 774 247 registos em todo o mundo. Um grupo muito mais pequeno foi afetado de forma mais grave. Em 43 contas, os dados expostos incluem também a data de nascimento, o género, o país ou região e o nome de utilizador. Em 196 contas, os atacantes alteraram a palavra-passe de início de sessão sem autorização, o que o BleepingComputer interpretou como uma tentativa de impedir os titulares de acederem às contas. A Capcom afirma que repôs essas palavras-passe e que todos os serviços associados ao Capcom ID, incluindo os jogos, continuam a funcionar.

O comunicado deixa em aberto as questões mais importantes. A Capcom afirma ter identificado e resolvido o método usado no ataque, mas não o descreve, nem revelou durante quanto tempo o intruso teve acesso antes de a atividade ser detetada. As alterações às palavras-passe também não se coadunam com a garantia dada sobre estas: quem repôs as credenciais de acesso às 196 contas teve algum meio de aceder aos controlos das contas, mesmo sem ver as palavras-passe originais. Segundo o Help Net Security, nenhum grupo reivindicou o ataque, e a Capcom diz que a investigação à sua dimensão total continua em curso.

Os jogadores não precisam de abandonar o endereço de email, uma vez que a Capcom afirma que os endereços registados podem continuar a ser utilizados. As medidas úteis são as habituais, mas esta fuga torna-as mais urgentes. Altere a palavra-passe do Capcom ID se a reutilizar noutros serviços. Desconfie de qualquer mensagem que mencione o histórico da sua conta, um início de sessão recente ou um problema de segurança no seu perfil, porque esse contexto é precisamente o que foi exposto. Aceda diretamente às páginas de apoio da Capcom, em vez de seguir um link recebido por email.

A Capcom afirma ter detetado a atividade suspeita a 19 de outubro e bloqueado o acesso nesse mesmo dia; a 20 de outubro, criou uma estrutura interna de resposta a incidentes e, a 21 de outubro, comunicou a fuga à Osaka Prefectural Police e à Personal Information Protection Commission do Japão, antes de publicar um pedido de desculpas a 22 de outubro. A empresa contactará os clientes afetados por fases, segundo o BleepingComputer, e abriu canais de apoio específicos: uma linha gratuita no Japão, formulários de contacto online para as Américas e para a Europa, o Médio Oriente e África, e um endereço de email para a Ásia e a Oceânia.

A dimensão do incidente é inédita para a Capcom. O último incidente de grande escala, um ataque de ransomware Ragnar Locker em novembro de 2020, atingiu a rede interna da empresa e poderá ter afetado até 390 000 pessoas, segundo a Capcom, que mais tarde identificou um dispositivo VPN antigo como ponto de entrada. Nessa altura, o alvo foram os sistemas internos da empresa. Desta vez, foi a conta que milhões de jogadores usam para iniciar sessão.

Etiquetas: cibersegurança, videojogos, Kali Reis, Street Fighter, Cody Rhodes, David Dastmalchian, Callina Liang, Capcom, fuga de dados, phishing