A Capcom admitiu esta semana que terceiros tiveram acesso não autorizado aos dados de 11.774.247 contas Capcom ID, a conta gratuita necessária para usar as funcionalidades online de vários jogos da editora, como Street Fighter 6. A empresa garante que não houve exposição de dados de cartões de crédito e que apenas 196 contas tiveram as palavras-passe alteradas pelo atacante.
O que foi exposto
Segundo o comunicado da Capcom, a informação a que o atacante acedeu inclui, em todas as contas afetadas:
- o endereço de correio eletrónico;
- a data e a hora de criação da conta;
- a data e a hora do último início de sessão;
- o número total de inícios de sessão;
- o endereço IP usado no último início de sessão.
Num grupo muito mais reduzido, de 43 contas, os dados expostos foram mais abrangentes e incluem também a data de nascimento, o género, o país ou a região e o nome de utilizador.
A Capcom indica que o atacante não conseguiu aceder às palavras-passe definidas pelos próprios utilizadores. Ainda assim, conseguiu alterar, sem autorização, as de 196 contas. A empresa já as repôs para impedir que essas contas fossem tomadas.
Quanto a cartões de crédito, a editora afirma que nenhuma informação deste tipo foi afetada. Fora as 196 contas com palavras-passe alteradas, os restantes utilizadores podem continuar a usar o Capcom ID normalmente. A empresa vai notificar as pessoas cujas contas foram acedidas.
A Capcom detetou sinais de acesso não autorizado na segunda-feira, 19 de outubro, e bloqueou-o de imediato. No dia seguinte formou uma equipa de resposta ao incidente. A 21 de outubro comunicou o caso à polícia e à Comissão de Proteção de Informação Pessoal do Japão, e a divulgação pública aconteceu na quinta-feira, dia 22.
A empresa deu por concluída a resposta de emergência e identificou e corrigiu o método usado no ataque. Os serviços Capcom ID e os jogos continuam disponíveis.
O principal alerta da Capcom prende-se com o uso que pode ser dado aos endereços de correio eletrónico. Como foram expostos, os utilizadores podem passar a receber mensagens fraudulentas que se fazem passar pela editora. A empresa aconselha a que quem receba mensagens suspeitas não abra as ligações nem os anexos que contenham.
No comunicado, a Capcom afirma que “leva este assunto extremamente a sério” e promete continuar a investigação, reforçar a segurança da informação e publicar novas informações no seu site oficial caso surjam factos adicionais que justifiquem divulgação. A empresa pede ainda desculpa aos clientes e às restantes partes interessadas.
Este é o segundo grande incidente de segurança da editora. Em novembro de 2020, a Capcom revelou ter sido vítima de um ataque de ransomware, que levou ao roubo de centenas de milhares de dados pessoais dos seus servidores, incluindo nomes e moradas de clientes e de antigos funcionários.
