Capcom a révélé qu'un tiers a accédé aux informations client de 11 774 247 comptes Capcom ID le 19 octobre, une violation que l'éditeur de Resident Evil et Monster Hunter qualifie d'exposition d'adresses e-mail et de métadonnées de connexion, mais sans aucune donnée bancaire.
Ce qui a été volé
Capcom a indiqué que l'attaquant a obtenu accès aux adresses e-mail et à des identifiants système : la date et l'heure de création d'un compte, l'heure de la dernière connexion, le nombre total de connexions et l'adresse IP utilisée lors de cette dernière connexion. Pour 43 comptes, l'intrus a également pu voir la date de naissance, le genre, le pays ou la région et le pseudonyme.
Les mots de passe définis par les utilisateurs n'ont pas fuité, mais Capcom a confirmé que l'attaquant a modifié les mots de passe de 196 comptes sans autorisation, et a précisé que ces mots de passe ont déjà été réinitialisés. L'entreprise, qui a signalé l'incident à la police préfectorale d'Osaka et à la Commission japonaise de protection des informations personnelles, a déclaré avoir achevé ses mesures d'urgence et « identifié et traité la méthode d'attaque impliquée dans cet incident », sans détailler les circonstances de la violation.
Mise en garde contre le phishing pour les joueurs
Capcom a indiqué à ses clients qu'ils peuvent continuer à utiliser les adresses e-mail enregistrées auprès de Capcom ID, mais a averti que les informations exposées pourraient servir à envoyer des messages frauduleux. « Si vous recevez un e-mail ou un message suspect, veuillez faire preuve de prudence et vous abstenir d'accéder aux URL qu'il contient ou d'ouvrir tout fichier joint », a déclaré l'entreprise.
Il s'agit de la deuxième grande violation chez Capcom en six ans, après une attaque par rançongiciel en novembre 2020 qui a volé des centaines de milliers de données personnelles, dont les noms et adresses de clients et d'anciens employés. Capcom a déclaré ne pas s'attendre à ce que ses jeux vidéo soient affectés par ce nouvel incident, et s'est excusé auprès de ses clients, ajoutant qu'elle notifiera les utilisateurs dont les comptes ont été consultés et publiera des mises à jour complémentaires sur son site officiel si de nouveaux faits apparaissent.
