Vazamento na Capcom expõe 11,7 milhões de e-mails de jogadores e seus IPs

A Capcom confirmou que um invasor extraiu dados de clientes da Capcom ID, a conta que os jogadores usam para acessar os serviços online da empresa e jogar alguns de seus games pela internet. O material roubado inclui mais de onze milhões de endereços de e-mail, cada um acompanhado da data de criação da conta, do horário do último login, do número de acessos e do endereço IP usado nessa última conexão. É essa combinação que torna o vazamento útil para criminosos: um golpista que sabe seu endereço, sabe que você joga títulos da Capcom e tem uma ideia de onde você se conectou pela última vez pode escrever um e-mail falso de suporte bastante convincente.

Para quem criou uma conta para jogar o mais recente Street Fighter online ou acessar um site da Capcom, o risco concreto é uma onda de tentativas de phishing, não uma conta bancária esvaziada. A publicadora por trás de Resident Evil, Monster Hunter e Mega Man afirma que os dados afetados não incluem informações de cartões de crédito e não confirmou nenhum vazamento das senhas escolhidas pelos próprios clientes. A recomendação é direta: se você receber uma mensagem que afirma ser da Capcom ou de uma empresa relacionada, não abra os links nem os anexos.

O número exato informado pela Capcom é de 11.774.247 registros no mundo todo. Um grupo bem menor foi atingido com mais gravidade. Em 43 contas, os dados expostos também incluem data de nascimento, gênero, país ou região e apelido. Em 196 contas, os invasores alteraram a senha de login sem autorização, o que o BleepingComputer interpretou como uma tentativa de impedir que os titulares acessassem as próprias contas. A Capcom diz que redefiniu essas senhas e que todos os serviços vinculados à Capcom ID, inclusive os jogos, continuam funcionando.

O comunicado deixa em aberto as principais dúvidas. A Capcom diz que identificou e neutralizou o método usado no ataque, mas não o descreve, nem informa por quanto tempo o invasor teve acesso antes de a atividade ser detectada. As alterações de senha também parecem destoar da garantia sobre as senhas: quem redefiniu os logins dessas 196 contas teve algum meio de acessar os controles das contas, mesmo sem ver as senhas originais. Segundo o Help Net Security, nenhum grupo reivindicou o ataque, e a Capcom afirma que a investigação sobre a dimensão total do incidente continua em andamento.

Os jogadores não precisam abandonar seus endereços de e-mail, já que a Capcom diz que os endereços cadastrados podem continuar sendo usados. As medidas úteis são as de sempre, mas o vazamento torna mais urgente colocá-las em prática. Troque a senha da Capcom ID se você a reutiliza em outros serviços. Desconfie de qualquer mensagem que mencione o histórico da sua conta, um login recente ou um problema de segurança no seu perfil, porque essas informações são justamente o contexto que vazou. Acesse diretamente as páginas de suporte da Capcom, em vez de seguir links recebidos por e-mail.

A Capcom diz que detectou a atividade suspeita em 19 de outubro e a bloqueou no mesmo dia; em 20 de outubro, montou uma central interna de resposta a incidentes; e, em 21 de outubro, comunicou o vazamento à Polícia da Prefeitura de Osaka e à Comissão de Proteção de Informações Pessoais do Japão, antes de publicar um pedido de desculpas em 22 de outubro. A empresa entrará em contato com os clientes afetados, em etapas, segundo o BleepingComputer, e abriu canais de atendimento específicos: uma linha gratuita no Japão, formulários de contato online para as Américas e para Europa, Oriente Médio e África, além de um endereço de e-mail para a Ásia e a Oceania.

O alcance do incidente é inédito para a Capcom. O último grande ataque, um caso de ransomware do Ragnar Locker em novembro de 2020, atingiu a rede da própria empresa e poderia ter afetado até 390 mil pessoas, segundo a Capcom, que mais tarde identificou um dispositivo VPN antigo como ponto de entrada. Naquela ocasião, o alvo eram os sistemas internos da empresa. Desta vez, foi a conta que milhões de jogadores usam para fazer login.

Tags: cibersegurança, videogames, Kali Reis, Street Fighter, Cody Rhodes, David Dastmalchian, Callina Liang, Capcom, vazamento de dados, phishing