Capcom zufolge hat ein Cyberangriff weltweit mehr als 11,7 Millionen CAPCOM-ID-Datensätze offengelegt, darunter Kunden-E-Mail-Adressen, Daten der letzten Anmeldung, die Anzahl der Anmeldungen und IP-Adressen, die mit der letzten Anmeldung verbunden waren.
Der japanische Videospielpublisher bestätigte am 22. Oktober, dass durch den unbefugten Zugriff auf seinen Mitgliederservice 11.774.247 Datensätze kompromittiert wurden. Die Angreifer änderten außerdem die Passwörter von 196 Konten. Ein Update vom 23. Oktober ergab, dass 19 dieser Konten verwendet wurden, um über Capcoms Online-Shop auf weitere personenbezogene Informationen zuzugreifen.
Für Gamer, die CAPCOM ID für den Zugriff auf Onlinedienste und bestimmte Spiele verwenden, besteht die unmittelbare Sorge darin, ihre Konten vor unbefugtem Zugriff und betrügerischen Nachrichten zu schützen. Obwohl Capcom nicht bestätigt hat, dass die ursprünglichen Passwörter der Kunden offengelegt wurden, könnten die kompromittierten Informationen Kriminellen dabei helfen, überzeugende Phishing-Versuche zu erstellen.
Capcom-Datenpanne legt Kontodaten und weitere Kundeninformationen offen
Laut der offiziellen Mitteilung von Capcom vom 22. Oktoberstellte das Unternehmen am 19. Oktober verdächtige Aktivitäten fest und bestätigte noch am selben Tag den unbefugten Zugriff.
Bis zum 20. Oktober hatten die Ermittler festgestellt, dass mit CAPCOM ID verbundene Kundeninformationen kompromittiert worden waren. Capcom meldete den Vorfall am 21. Oktober den japanischen Behörden, bevor das Unternehmen die Datenpanne am folgenden Tag öffentlich bekannt gab.
Bei der ersten Untersuchung wurden drei Kategorien betroffener Informationen ermittelt:
- 11.774.247 Datensätze: E-Mail-Adressen und Kontometadaten, darunter Daten der Kontoerstellung, Daten der letzten Anmeldung, die Anzahl der Anmeldungen und IP-Adressen, die mit der letzten Anmeldung verbunden waren.
- 43 dieser Datensätze: Weitere personenbezogene Informationen, darunter Geburtsdaten, Geschlecht, Land oder Region sowie Nicknames.
- 196 Konten: Anmeldepasswörter wurden ohne Genehmigung geändert. Capcom zufolge wurden die betroffenen Passwörter bereits zurückgesetzt.
Die Zahlen beziehen sich auf CAPCOM-ID-Datensätze und sollten nicht automatisch als 11,7 Millionen einzigartige Personen interpretiert werden.
Capcom erklärte, man habe keine Offenlegung von Passwörtern bestätigt, die ursprünglich von Kunden festgelegt worden waren. Auch Kreditkarteninformationen waren nicht in den kompromittierten Daten enthalten.
Update vom 23. Oktober enthüllt weitere Offenlegung bei 19 Konten
In seiner offiziellen Folgemitteilung vom 23. Oktoberbestätigte Capcom, dass Angreifer 19 der 196 Konten, deren Passwörter geändert worden waren, nutzten, um auf Kundenseiten der Online-Shopping-Website e-Capcom zuzugreifen.
Die Ergebnisse wurden auch von Security NEXTveröffentlicht, das die zusätzlichen personenbezogenen Informationen aufführte, die über diese Konten offengelegt wurden.
Zu den kompromittierten Informationen gehörten:
- Persönliche Identifikationsdaten: Namen, Geschlecht und Geburtsdaten.
- Kontaktinformationen: Telefonnummern und Wohnadressen.
- Einkaufs- und Kontodaten: Kaufhistorien, Verläufe von Kundenanfragen und in den Adressbüchern der Mitglieder gespeicherte Informationen.
Alle 19 betroffenen Konten waren in Japan registriert.
Diese Entwicklung ist bedeutsam, weil sie die Datenpanne über E-Mail-Adressen und grundlegende Kontometadaten hinaus erweitert. Für diese 19 Kunden könnten die zusätzlichen Informationen potenziell gezieltere Identitätsbetrugsversuche oder andere Betrugsformen ermöglichen.
Capcom erklärte, man habe die Angriffsmethode identifiziert und beseitigt. In seinem Update vom 23. Oktober teilte das Unternehmen mit, die Bewertung der Auswirkungen des Vorfalls abgeschlossen zu haben. Capcom werde CAPCOM ID und verwandte Dienste weiterhin überwachen und zugleich vorbeugende Maßnahmen umsetzen.
Der Vorfall folgt auf weitere größere Datenoffenlegungen bei Verbraucherdiensten. Zuvor hatte ASOS einen Vorfall mit Kontenübernahmen offengelegt, von dem 138.828 Kunden betroffen warenund der die Risiken verdeutlichte, die fortbestehen können, nachdem Kriminelle Zugriff auf Kontoinformationen erlangt haben.
Was Capcom-Spieler zum Schutz ihrer Konten tun sollten
Für CAPCOM-ID-Nutzer könnte die größte anhaltende Sorge darin bestehen, wie Angreifer versuchen, die offengelegten Informationen nach der ursprünglichen Datenpanne auszunutzen.
Capcom warnte, dass offengelegte Informationen in betrügerischen E-Mails oder anderen Nachrichten missbraucht werden könnten, in denen sich die Absender als das Unternehmen oder verbundene Parteien ausgeben.
Das bedeutet, dass Gamer bei unerwarteten Nachrichten besonders vorsichtig sein sollten, in denen behauptet wird, ihre Konten seien gesperrt worden, ihre Passwörter müssten sofort zurückgesetzt werden oder sie müssten personenbezogene Daten bestätigen, um weiterspielen zu können.
Obwohl Capcom keine bestätigte Phishing-Kampagne infolge dieses Vorfalls gemeldet hat, verdient diese Möglichkeit Aufmerksamkeit.
Spieler können mehrere praktische Schritte unternehmen:
- Prüfen Sie Ihr CAPCOM-ID-Konto direkt. Besuchen Sie die offizielle CAPCOM-ID-Website statt Links in unerwarteten E-Mails oder Textnachrichten zu folgen. Vergewissern Sie sich, dass Sie auf Ihr Konto zugreifen können, und prüfen Sie alle verfügbaren Kontoinformationen auf unbefugte Änderungen.
- Ändern Sie Passwörter, die Sie andernorts wiederverwenden. Capcom hat nicht für jeden Nutzer einen Passwort-Reset verlangt und erklärt, die Passwörter der 196 betroffenen Konten bereits zurückgesetzt zu haben. Dennoch sollte jeder, der dasselbe Passwort für mehrere Spiele-, Shopping- oder E-Mail-Dienste verwendet, es durch ein einzigartiges Passwort ersetzen. Dies ist eine Vorsichtsmaßnahme und kein Beleg dafür, dass das Passwort gestohlen wurde.
- Seien Sie bei Phishing-Versuchen im Namen von Capcom wachsam. Angreifer mit Zugriff auf echte Kontoinformationen könnten in der Lage sein, Nachrichten zu erstellen, die glaubwürdiger wirken. Meiden Sie verdächtige Links und Anhänge und geben Sie unerwarteten Anrufern keine Anmeldedaten oder personenbezogenen Informationen. Ähnliche Täuschungsmethoden sind bei Phishing-Kampagnen mit Kalendereinladungen für Microsoft 365 aufgetreten.
- Überwachen Sie verknüpfte E-Mail- und Shopping-Konten. Unerwartete Anmeldewarnungen, Anfragen zum Zurücksetzen von Passwörtern oder Änderungen an Kontoinformationen sollten über die offiziellen Websites der jeweiligen Dienste untersucht werden. Kunden können außerdem den Leitfaden von eSecurity Planet zur Überprüfung, ob personenbezogene Daten bei einer Datenpanne offengelegt wurden konsultieren.
- Kontaktieren Sie Capcom, wenn Sie verdächtige Aktivitäten feststellen. Kunden, die nicht auf ihre Konten zugreifen können oder glauben, dass ihre Informationen missbraucht wurden, können das Unternehmen über sein offizielles Supportformular erreichen.
Capcom zufolge werden betroffene Kunden individuell benachrichtigt, und das Unternehmen wird seine Dienste weiterhin überwachen. CAPCOM ID bleibt in Betrieb, und das Unternehmen erklärt, der Vorfall habe Kunden nicht daran gehindert, auf seine Spiele zuzugreifen oder sie zu spielen.
Für Gamer ist die Unterscheidung wichtig: Eine offengelegte E-Mail-Adresse bedeutet nicht zwangsläufig, dass jemand auf das Konto zugreifen kann. Sie kann Kriminellen jedoch einen Ausgangspunkt für überzeugende Betrugsversuche bieten, insbesondere in Verbindung mit Details zu Kontoaktivitäten oder anderen personenbezogenen Informationen.
Kunden sollten Sicherheitswarnungen über offizielle Capcom-Kanäle überprüfen, für ihre Konten einzigartige Passwörter verwenden und unerwarteten Nachrichten, die sich auf ihre Spielaktivitäten beziehen, besondere Aufmerksamkeit schenken.
Für die 19 Kunden, deren Einkaufsinformationen offengelegt wurden, ist es besonders wichtig, auf verdächtige Nachrichten zu achten, die sich auf tatsächliche Käufe, Adressen oder persönliche Details beziehen.
Obwohl Capcom erklärt, die Angriffsmethode beseitigt zu haben, könnten die offengelegten Informationen Betrügern noch lange nach der unmittelbaren Sicherheitsreaktion des Unternehmens nützlich sein.
Weitere Nachrichten zur Cybersicherheit: Als weiteres Beispiel dafür, wie offengelegte Kundeninformationen gezielte Betrugsversuche befeuern können, lesen Sie den Bericht über die SafePal-Datenpanne, von der fast 40.000 Kunden betroffen waren.