Une intrusion détectée le 19 octobre a exposé les informations de 11 774 247 comptes CAPCOM ID dans le monde. Les mots de passe et données bancaires seraient restés hors d’atteinte, mais l’ampleur de la base compromise ouvre la voie à des campagnes de phishing ciblées.
Fuite de données Capcom : quelles informations ont été consultées ?
Le tiers non autorisé a accédé aux adresses e-mail associées à CAPCOM ID, le compte commun aux services web de l’éditeur et au jeu en ligne dans certains titres. Chaque enregistrement comprenait également la date de création du compte, l’heure de la dernière connexion, le nombre de connexions et l’adresse IP utilisée lors de l’accès le plus récent.
Un ensemble beaucoup plus restreint de 43 fiches contenait aussi la date de naissance, le genre, le pays ou la région et le pseudonyme des utilisateurs. Capcom indique avoir repéré l’activité suspecte le 19 octobre et commencé à la bloquer le jour même.
L’incident a été signalé le 21 octobre à la police de la préfecture d’Osaka ainsi qu’à la Commission japonaise de protection des informations personnelles. L’entreprise affirme avoir identifié puis neutralisé la méthode employée, sans préciser le vecteur d’intrusion.
196 mots de passe modifiés, 19 clients davantage exposés
Les attaquants ont changé le mot de passe de connexion de 196 comptes. Capcom les a depuis réinitialisés et assure n’avoir trouvé aucun élément indiquant que les mots de passe choisis par les utilisateurs avaient eux-mêmes été compromis.
Une seconde communication publiée le 23 octobre précise que l’intrus a ouvert les pages de la boutique e-Capcom liées à 19 de ces comptes. Pour ces clients situés au Japon, les noms, numéros de téléphone, adresses postales et historiques d’achat ont ainsi été visibles.
Les informations de carte bancaire ne sont pas concernées. CAPCOM ID et les jeux de l’éditeur restent par ailleurs disponibles, l’incident n’ayant pas entraîné d’interruption générale des services.
Le phishing constitue désormais le risque principal
La combinaison d’une adresse e-mail, d’un pseudonyme, de données de connexion et, dans certains cas, d’informations personnelles facilite la création de messages frauduleux crédibles. Les détenteurs d’un CAPCOM ID doivent donc se méfier des courriels prétendant provenir de Capcom, particulièrement lorsqu’ils demandent une connexion, une réinitialisation ou la transmission d’informations supplémentaires.
Source : Capcom’s Official Notice
