Capcom meldt datalek bij Capcom ID: meer dan 11 miljoen accounts geraakt
Capcom zegt dat een datalek rond Capcom ID meer dan 11 miljoen accounts trof. De uitgever waarschuwt voor phishing en meldde het incident bij Japanse autoriteiten.
- Volgens Capcom zijn 11,7 miljoen e-mailadressen geraakt, naast beperkte hoeveelheden extra persoonsgegevens en 196 accounts met ongeautoriseerde wachtwoordwijzigingen.
- Het bedrijf waarschuwt voor phishing en zegt het incident te hebben gemeld bij de Osaka Prefectural Police en de Japanse Personal Information Protection Commission.
Wat is er gebeurd?
Capcom meldde dat een derde partij op 19 oktober toegang kreeg tot klantinformatie die aan Capcom ID is gekoppeld. De uitgever van onder meer Resident Evil, Monster Hunter en Street Fighter zegt dat het om een wereldwijd incident gaat waarbij meer dan 11 miljoen klantaccounts zijn geraakt. In de beschikbare informatie wordt niet uitgelegd wie die derde partij was of op welke manier de toegang precies tot stand kwam.
Volgens de door Capcom gedeelde informatie omvatten de getroffen gegevens onder meer 11,7 miljoen e-mailadresrecords. Daarnaast zouden accountaanmaakdatum en -tijd, laatste inlogdatum en -tijd, het aantal logins en het IP-adres van de laatste login zijn blootgesteld. Capcom meldt ook dat 43 records gegevens bevatten zoals geboortedatum, geslacht, land/regio en nickname. De broninformatie maakt niet duidelijk of elk van die 43 records al deze velden bevatte, of dat de genoemde gegevens over die records waren verdeeld.
Het bedrijf zegt verder dat bij 196 accounts de Capcom ID-inlogwachtwoorden ongeautoriseerd zijn gewijzigd en vervolgens zijn gereset. Capcom stelt dat klantwachtwoorden zelf niet zijn gelekt en dat creditcardgegevens geen deel uitmaakten van de getroffen data. De uitgever verwacht niet dat zijn videogames door het incident worden beïnvloed, maar licht niet toe of andere interne systemen buiten Capcom ID zijn geraakt.
Capcom waarschuwt klanten om alert te zijn op phishingmails of berichten die gebruikmaken van de gelekte informatie. Het bedrijf zegt het incident te hebben gemeld bij de Osaka Prefectural Police en de Japanse Personal Information Protection Commission. In de beschikbare informatie staat niet dat Capcom al concrete phishingcampagnes heeft bevestigd die met deze data zijn opgezet.
Tijdlijn
19 oktober: een derde partij krijgt volgens Capcom toegang tot klantinformatie van Capcom ID.
Na ontdekking: Capcom meldt dat meer dan 11 miljoen accounts wereldwijd zijn geraakt en dat 11,7 miljoen e-mailadresrecords onderdeel zijn van de blootgestelde data.
Na ontdekking: Capcom meldt dat 43 records aanvullende persoonsgegevens bevatten, waaronder geboortedatum, geslacht, land/regio en nickname.
Na ontdekking: 196 accounts met ongeautoriseerde wachtwoordwijzigingen worden gereset.
Na ontdekking: Capcom waarschuwt klanten voor phishingmails en -berichten die de gelekte informatie kunnen gebruiken.
Na ontdekking: Capcom meldt het incident bij de Osaka Prefectural Police en de Japanse Personal Information Protection Commission.
Achtergrond
Capcom ID is de online lidmaatschapsdienst van Capcom. De dienst wordt gebruikt als centraal accountplatform voor Capcom-gerelateerde online functies, maar in de beschikbare informatie wordt niet gespecificeerd welke onderdelen van de dienst precies zijn geraakt. Ook blijft onduidelijk of het datalek beperkt bleef tot Capcom ID of dat er daarnaast andere systemen van het bedrijf zijn getroffen.
De cijfers in de melding vragen om nuance. Capcom spreekt over meer dan 11 miljoen getroffen klantaccounts, terwijl de broninformatie ook 11,7 miljoen e-mailadresrecords noemt. Die twee aantallen worden in de beschikbare tekst niet verder aan elkaar gekoppeld, waardoor niet vaststaat of het om dezelfde set records gaat of om verschillende manieren van tellen. Hetzelfde geldt voor de 43 records met aanvullende persoonsgegevens: de bron noemt geboortedatum, geslacht, land/regio en nickname, maar verduidelijkt niet of elk record al die velden bevatte.
Capcom zegt dat klantwachtwoorden niet zijn gelekt, maar dat 196 accounts wel te maken kregen met ongeautoriseerde wijzigingen van het Capcom ID-wachtwoord. Die wachtwoorden zijn daarna gereset. Het bedrijf meldt ook dat creditcardgegevens niet in de getroffen dataset zaten. Daarmee lijkt de impact volgens Capcom beperkt tot account- en profielinformatie, al blijft de precieze technische reikwijdte van het incident onduidelijk.
De melding aan de Osaka Prefectural Police en de Japanse Personal Information Protection Commission laat zien dat Capcom het incident ook formeel bij Japanse autoriteiten heeft neergelegd. In de beschikbare informatie wordt niet vermeld of er al een publiek onderzoek loopt, of dat er aanvullende toezichthouders zijn geïnformeerd. Evenmin is bekend of Capcom inmiddels meer details heeft vrijgegeven over de derde partij, de aanvalsmethode of eventuele vervolgmaatregelen buiten het resetten van de 196 wachtwoorden.
Gerelateerde GAME-scanner artikelen
Bronnen
- IGN: bericht over het datalek bij Capcom ID en de phishingwaarschuwing.