Capcom affirme qu’une cyberattaque a exposé plus de 11,7 millions de dossiers CAPCOM ID dans le monde, notamment les adresses e-mail des clients, les dates de dernière connexion, le nombre de connexions et les adresses IP associées à la connexion la plus récente.
L’éditeur japonais de jeux vidéo a confirmé le 22 octobre qu’un accès non autorisé à son service d’adhésion avait compromis 11 774 247 dossiers. Les attaquants ont également modifié les mots de passe de 196 comptes. Une mise à jour du 23 octobre a révélé que 19 de ces comptes avaient servi à accéder à des informations personnelles supplémentaires via le service d’achat en ligne de Capcom.
Pour les joueurs qui utilisent CAPCOM ID afin d’accéder à des services en ligne et à certains jeux, la priorité immédiate est de protéger leurs comptes contre les accès non autorisés et les communications frauduleuses. Bien que Capcom n’ait pas confirmé que les mots de passe d’origine des clients aient été exposés, les informations compromises pourraient aider des criminels à créer des tentatives d’hameçonnage convaincantes.
La violation de données de Capcom expose des données de compte et des informations client supplémentaires
Selon la divulgation officielle de Capcom du 22 octobre, l’entreprise a détecté une activité suspecte le 19 octobre et confirmé le même jour l’existence d’un accès non autorisé.
Le 20 octobre, les enquêteurs avaient établi que des informations client associées à CAPCOM ID avaient été compromises. Capcom a signalé l’incident aux autorités japonaises le 21 octobre, avant de rendre publique la violation le lendemain.
L’enquête initiale a identifié trois catégories d’informations affectées :
- 11 774 247 dossiers : Adresses e-mail et métadonnées de compte, notamment les dates de création du compte, les dates de dernière connexion, le nombre de connexions et les adresses IP associées à la connexion la plus récente.
- 43 de ces dossiers : Informations personnelles supplémentaires, notamment les dates de naissance, le sexe, le pays ou la région et les pseudonymes.
- 196 comptes : Mots de passe de connexion modifiés sans autorisation. Capcom affirme avoir déjà réinitialisé les mots de passe concernés.
Ces chiffres correspondent à des dossiers CAPCOM ID et ne doivent pas être automatiquement interprétés comme représentant 11,7 millions de personnes distinctes.
Capcom a indiqué n’avoir confirmé aucune exposition des mots de passe définis à l’origine par les clients. Les informations de carte bancaire ne faisaient pas non plus partie des données compromises.
La mise à jour du 23 octobre révèle une exposition supplémentaire concernant 19 comptes
Dans sa divulgation officielle de suivi du 23 octobre, Capcom a confirmé que les attaquants avaient utilisé 19 des 196 comptes dont les mots de passe avaient été modifiés pour accéder aux pages client de son site d’achat en ligne e-Capcom.
Les conclusions ont également été rapportées par Security NEXT, qui a détaillé les informations personnelles supplémentaires exposées par l’intermédiaire de ces comptes.
Les informations compromises comprenaient :
- Données d’identification personnelles : Noms, sexe et dates de naissance.
- Coordonnées : Numéros de téléphone et adresses personnelles.
- Historique des achats et des comptes : Historique des achats, historique des demandes des clients et informations enregistrées dans les carnets d’adresses des membres.
Les 19 comptes concernés étaient tous enregistrés au Japon.
Cette évolution est importante, car elle étend la violation au-delà des adresses e-mail et des métadonnées de compte de base. Pour ces 19 clients, les informations supplémentaires pourraient potentiellement permettre des tentatives d’usurpation d’identité plus ciblées ou d’autres formes de fraude.
Capcom a indiqué avoir identifié et corrigé la méthode utilisée pour l’attaque. Dans sa mise à jour du 23 octobre, l’entreprise a déclaré avoir achevé son évaluation de l’impact de l’incident. Elle continuera de surveiller CAPCOM ID et les services associés tout en mettant en œuvre des mesures préventives.
L’incident fait suite à d’autres expositions importantes de données de consommateurs. Auparavant, ASOS avait révélé un incident de prise de contrôle de comptes touchant 138 828 clients, soulignant les risques qui peuvent persister après que des criminels ont obtenu accès aux informations de compte.
Ce que les joueurs de Capcom doivent faire pour protéger leurs comptes
Pour les utilisateurs de CAPCOM ID, la principale préoccupation à long terme pourrait être la manière dont les attaquants tenteront d’exploiter les informations exposées après la violation initiale.
Capcom a averti que les informations exposées pourraient être utilisées à mauvais escient dans des e-mails frauduleux ou d’autres communications usurpant l’identité de l’entreprise ou de parties associées.
Les joueurs doivent donc se montrer particulièrement prudents face aux messages inattendus affirmant que leur compte a été suspendu, que leur mot de passe doit être réinitialisé immédiatement ou qu’ils doivent vérifier leurs informations personnelles pour continuer à jouer.
Bien que Capcom n’ait pas signalé de campagne d’hameçonnage avérée résultant de cet incident, cette possibilité mérite toute l’attention nécessaire.
Les joueurs peuvent prendre plusieurs mesures concrètes pour réduire leur exposition:
- Vérifiez directement votre compte CAPCOM ID. Rendez-vous sur le site officiel de CAPCOM ID plutôt que de suivre les liens contenus dans des e-mails ou SMS inattendus. Vérifiez que vous pouvez accéder à votre compte et examinez les informations de compte disponibles pour repérer toute modification non autorisée.
- Modifiez les mots de passe réutilisés ailleurs. Capcom n’a pas exigé de réinitialisation du mot de passe pour tous les utilisateurs et affirme avoir déjà réinitialisé les mots de passe des 196 comptes concernés. Néanmoins, toute personne utilisant le même mot de passe pour plusieurs services de jeux, d’achat ou de messagerie devrait le remplacer par un mot de passe unique. Il s’agit d’une mesure de précaution, et non d’une preuve que son mot de passe a été volé.
- Méfiez-vous des tentatives d’hameçonnage usurpant l’identité de Capcom. Les attaquants qui ont accès à de véritables informations de compte peuvent être en mesure de créer des messages semblant plus crédibles. Évitez les liens et pièces jointes suspects et ne communiquez pas vos identifiants de connexion ni vos informations personnelles à des interlocuteurs inattendus. Des tactiques de tromperie similaires sont apparues dans des campagnes d’hameçonnage utilisant des invitations de calendrier Microsoft 365.
- Surveillez les comptes de messagerie et d’achat associés. Les alertes de connexion inattendues, les demandes de réinitialisation de mot de passe ou les modifications des informations de compte doivent être vérifiées sur les sites officiels des services concernés. Les clients peuvent également consulter le guide d’eSecurity Planet pour vérifier si leurs informations personnelles ont été exposées lors d’une violation de données.
- Contactez Capcom si vous constatez une activité suspecte. Les clients qui ne peuvent pas accéder à leur compte ou qui pensent que leurs informations ont été utilisées à mauvais escient peuvent contacter l’entreprise via son formulaire d’assistance officiel.
Capcom affirme informer individuellement les clients concernés et continuer à surveiller ses services. CAPCOM ID reste opérationnel et l’entreprise indique que l’incident n’a pas empêché les clients d’accéder à ses jeux ou d’y jouer.
Pour les joueurs, la distinction est importante : l’exposition d’une adresse e-mail ne signifie pas nécessairement que quelqu’un peut accéder à leur compte. Elle peut toutefois fournir aux criminels un point de départ pour des escroqueries convaincantes, en particulier lorsqu’elle est combinée à des détails sur l’activité du compte ou à d’autres informations personnelles.
Les clients doivent vérifier les alertes de sécurité par l’intermédiaire des canaux officiels de Capcom, utiliser des mots de passe uniques pour leurs différents comptes et être particulièrement attentifs aux communications inattendues faisant référence à leur activité de jeu.
Pour les 19 clients dont les informations d’achat ont été exposées, il est particulièrement important de surveiller les communications suspectes faisant référence à de véritables achats, adresses ou informations personnelles.
Bien que Capcom affirme avoir corrigé la méthode utilisée pour l’attaque, les informations exposées pourraient rester utiles aux escrocs longtemps après la réponse immédiate de sécurité de l’entreprise.
Plus d’actualités sur la cybersécurité : pour découvrir un autre exemple de la manière dont des informations client exposées peuvent alimenter des escroqueries ciblées, consultez le rapport d’eSecurity Planet sur la violation de données de SafePal ayant touché près de 40 000 clients.