Capcom bevestigt datalek dat meer dan 11,7 miljoen accounts treft
Capcom heeft een groot datalek bevestigd met betrekking tot zijn Capcom ID-dienst, het accountsysteem waarmee spelers inloggen op games en onlinediensten binnen de portefeuille van het bedrijf. In een kennisgeving aan gebruikers zei de Japanse uitgever dat ongeoorloofde toegang informatie heeft blootgelegd die verband houdt met 11.774.247 accounts wereldwijd.
De betrokken gegevens zijn vooral accountmetadata en geen wachtwoorden. Capcom zei dat de gelekte records e-mailadressen, aanmaakdatums van accounts, laatste inlogtijden, inlogaantallen en het IP-adres dat bij de meest recente login is gebruikt, bevatten. Het bedrijf benadrukte dat de oorspronkelijke wachtwoorden niet zijn verkregen, hoewel het erkende dat aanvallers andere acties hebben ondernomen binnen een klein aantal accounts.
Een veel kleinere groep gebruikers werd zwaarder getroffen. Bij 43 accounts werden aanvullende gegevens blootgelegd, waaronder geboortedatum, geslacht, land of regio en nickname. Capcom zei ook dat 196 accounts op een andere manier zijn getroffen als onderdeel van hetzelfde incident. Het bedrijf heeft niet openbaar gemaakt hoe de inbraak is uitgevoerd of wie verantwoordelijk is.
Capcom zei snel te hebben gehandeld zodra de ongeoorloofde activiteit werd ontdekt, met noodmaatregelen om de toegang te blokkeren en een volledig onderzoek naar de impact. Het bedrijf heeft nog niet uiteengezet of het getroffen gebruikers afzonderlijk zal informeren, wachtwoordresets zal afdwingen of andere herstelmaatregelen zal bieden. Voor spelers ligt het onmiddellijke risico minder bij gestolen wachtwoorden en meer bij phishing: een gelekt e-mailadres in combinatie met een inloggeschiedenis kan een overtuigende valse beveiligingswaarschuwing opleveren.
Het datalek komt op een lastig moment voor Capcom, dat de afgelopen jaren heeft gewerkt aan het herwinnen van momentum rond grote franchises, waaronder Resident Evil en Monster Hunter. Een Capcom ID is de toegangspoort tot online functies, cross-platform voortgang en aan accounts gekoppelde beloningen, dus de dienst staat dicht bij een groot deel van de actieve spelersbasis van het bedrijf. Elke verstoring of elk verlies van vertrouwen in dat systeem is veel breder voelbaar dan bij één game.
Beveiligingsincidenten van deze omvang komen steeds vaker voor in de game-industrie, waar accountsystemen persoonlijke gegevens verzamelen en juist doelwit zijn omdat ze groot en vaak licht beveiligd zijn. De openbaarmaking door Capcom volgt een bekend patroon: een korte publieke kennisgeving, een belofte van verdere updates en een lange reeks vragen van gebruikers over wat er nu gebeurt.
Het meest praktische advies voor houders van een Capcom ID is om onverwachte e-mails over accountproblemen met argwaan te behandelen, te voorkomen dat hetzelfde wachtwoord bij meerdere diensten wordt hergebruikt en het account in de gaten te houden voor onbekende activiteit. Capcom heeft gezegd dat het onderzoek nog gaande is, dus er kunnen nog meer details naar buiten komen over hoe het lek is ontstaan en wat het betekent voor getroffen gebruikers.
Voor nu is het kopnummer het enige dat telt: meer dan 11,7 miljoen accounts getroffen. Daarmee is dit een van de grotere publiekelijk bevestigde lekken in de game-industrie, en een herinnering dat de accountlaag achter populaire titels net zo goed een beveiligingsdoelwit is als elke bedrijfsdatabase.