Capcom piraté : 11,7 millions de comptes CAPCOM ID touchés, des mots de passe changés

Capcom a été piraté, et le compte que vous utilisez pour jouer en ligne à Street Fighter 6 ou Monster Hunter fait peut-être partie du lot. L’éditeur japonais a reconnu jeudi 22 octobre qu’un tiers avait eu accès aux données de CAPCOM ID, son compte unifié. Bilan provisoire : 11 774 247 enregistrements touchés dans le monde. L’information figure dans un communiqué d’excuses publié sur le site investisseurs de Capcom, complété le lendemain par un second rapport.

CAPCOM ID sert à accéder aux services web de l’éditeur et il est exigé pour jouer en ligne à certains de ses titres. Selon PCMag, il est utilisé notamment par les séries Street Fighter, Monster Hunter et Resident Evil, ainsi que par la boutique numérique de Capcom.

Des adresses e-mail par millions, des mots de passe modifiés sur 196 comptes

Le gros du volume concerne les adresses e-mail et des métadonnées de connexion. Capcom liste la date et l’heure de création du compte, la date et l’heure de la dernière connexion, le nombre de connexions et l’adresse IP utilisée lors de la dernière connexion. Pour 43 enregistrements seulement, la date de naissance, le sexe, le pays ou la région et le pseudonyme ont aussi été exposés.

Le point le plus sensible tient en un chiffre : sur 196 comptes, le mot de passe a été changé sans autorisation. Capcom affirme n’avoir constaté aucune fuite des mots de passe choisis par les joueurs eux-mêmes. Les 196 comptes ont été réinitialisés. Les données de carte bancaire ne font pas partie des informations touchées, insiste l’éditeur.

Le second rapport, daté du 23 octobre, précise ce que ces prises de contrôle ont permis. Pour 19 des 196 comptes, l’intrus s’est connecté à l’espace client d’e-Capcom, la boutique en ligne japonaise de l’éditeur. Il a pu y consulter le nom, le numéro de téléphone, l’adresse postale, le sexe, la date de naissance, l’historique d’achats, les échanges avec le service client et le carnet d’adresses enregistré. Les 19 clients concernés sont tous au Japon. Capcom indique avoir terminé l’enquête sur l’étendue des dégâts, tout en poursuivant la surveillance de CAPCOM ID.

Quatre jours entre la détection et l’annonce

La chronologie fournie par l’éditeur est serrée. Le lundi 19 octobre, Capcom repère une activité suspecte, coupe l’accès et confirme l’intrusion le jour même. Le 20, une cellule de crise interne est constituée et le comité externe de supervision de la sécurité informatique est prévenu. Le 21, la police de la préfecture d’Osaka et la Commission japonaise de protection des informations personnelles sont saisies. L’annonce publique suit le 22.

Capcom dit avoir identifié et neutralisé la méthode d’attaque, sans la décrire. L’auteur n’est pas nommé. Les services liés à CAPCOM ID restent ouverts et l’incident n’empêche pas de jouer, assure l’entreprise. Elle prévient en revanche que les adresses dérobées pourraient servir à des campagnes d’hameçonnage par e-mail, SMS ou téléphone se faisant passer pour Capcom ou ses partenaires. Consigne officielle : ne cliquer sur aucun lien et n’ouvrir aucune pièce jointe d’un message douteux.

Les joueurs touchés doivent être contactés au cas par cas. Pour la zone Europe, Moyen-Orient et Afrique, Capcom renvoie vers le formulaire de son support et vers l’adresse feedback@capcom.com. L’éditeur ne donne pas de répartition des 11,7 millions d’enregistrements par pays. Par précaution, changer le mot de passe de son CAPCOM ID, surtout s’il est réutilisé ailleurs, reste la mesure la plus simple.

Ce n’est pas la première alerte pour le studio d’Osaka. En 2020, une attaque par rançongiciel revendiquée par le groupe Ragnar Locker avait concerné les données de jusqu’à 350 000 clients et partenaires, rappelle PCMag. The Verge a également relayé l’incident.

Ajouter Geek Actu à mes sources préférées sur Google