Утечка данных Capcom затронула более 11,7 млн учётных записей сервиса CAPCOM ID: злоумышленники получили адреса электронной почты и технические сведения об активности пользователей. Для разработчиков и владельцев цифровых сервисов это очередное напоминание: даже без платёжных данных массив с email, IP-адресами и историей входов уже годится для убедительного фишинга и захвата аккаунтов.
Компания обнаружила подозрительную активность и подтвердила несанкционированный доступ 19 октября, сообщает BleepingComputer. Уже на следующий день внутреннее расследование показало, что информация пользователей была скомпрометирована. 21 октября Capcom уведомила полицию и японскую Комиссию по защите персональной информации.
CAPCOM ID — единая учётная запись для веб-сервисов издателя и части его онлайн-игр. Capcom известна по сериям Resident Evil, Monster Hunter, Street Fighter и Mega Man, поэтому инцидент касается не нишевого сервиса, а базы пользователей одного из крупнейших японских игровых издателей. Компания заявляет, что работоспособность её онлайн-сервисов не пострадала.
В основной массив раскрытых данных вошли email-адреса, дата создания аккаунта, время последнего входа, число авторизаций и IP-адрес, использованный при последнем входе. Пароли остальных зарегистрированных пользователей, по версии Capcom, не были раскрыты; данные банковских карт также не затронуты. Но отсутствие паролей не делает инцидент безобидным: атакующий получает готовую основу для писем от имени поддержки, уведомлений о «подозрительном входе» и других сценариев социальной инженерии.
Небольшие выборки с более чувствительными данными
Для 43 аккаунтов набор утёкших сведений оказался шире: в нём присутствовали даты рождения, пол, никнеймы и страны. Ещё в 196 случаях атакующие изменили пароли CAPCOM ID, вероятно пытаясь отрезать владельцев от аккаунтов. Capcom сбросила эти пароли и вмешалась до того, как ситуация стала массовой, однако сам факт изменения учётных данных показывает, что доступ злоумышленников не ограничивался простым просмотром выгрузки.
Компания не раскрыла, когда именно произошёл взлом и каким был первоначальный вектор проникновения. Она лишь сообщила, что в ходе расследования установила способ вторжения и внедрила защитные меры, призванные исключить повторение. Формулировка оставляет слишком много пространства для вопросов: была ли это уязвимость приложения, компрометация администраторской учётной записи, ошибка в конфигурации или атака через подрядчика — неизвестно.
Пользователям Capcom рекомендуют с осторожностью относиться к незапрошенным сообщениям, письмам с просьбой прислать дополнительные сведения, а также ссылкам и вложениям. Практический минимум здесь привычен, но важен: не переходить в личный кабинет по ссылке из письма, проверять домен отправителя, включить многофакторную аутентификацию там, где она доступна, и не использовать пароль от CAPCOM ID на других сайтах. Для тех, чьи адреса уже есть в утёкшей базе, убедительный текст фишингового письма станет заметно дешевле в производстве.
Это не первый серьёзный инцидент в истории компании. В ноябре 2020 года Capcom сообщала об атаке, которую связывали с группировкой Ragnar Locker: злоумышленники тогда заявляли о хищении 1 ТБ данных, а сама компания позже предупреждала, что пострадать могли до 390 тыс. человек. В апреле 2021 года Capcom уточнила, что в той атаке входной точкой стало старое VPN-устройство. Нынешний случай не стоит автоматически сводить к той же причине: компания не публиковала технических деталей нового проникновения. Но повторный масштабный инцидент неизбежно поднимает вопрос о том, насколько последовательно в большой экосистеме обновляют периферию, учётные записи и контроль доступа.
Почему инцидент важен не только для игровой индустрии
Утечка данных Capcom хорошо иллюстрирует проблему сервисных аккаунтов. Бизнес часто оценивает риск через призму паролей и карт: если они не ушли, инцидент пытаются представить как ограниченный. На деле комбинация email, времени последней активности, количества входов и IP-адреса помогает сегментировать жертв. Активным пользователям можно отправлять сообщения о срочном восстановлении доступа, неактивным — письма о «возврате бонусов», а владельцам с изменённым паролем — поддельные инструкции службы поддержки.
Для команд, которые развивают клиентские кабинеты и игровые платформы, вывод довольно приземлённый. Необходимо отделять данные, нужные для работы сервиса, от данных, которые хранятся «на всякий случай»; ограничивать доступ к журналам авторизаций; отслеживать массовые изменения паролей и аномальные операции с аккаунтами; заранее готовить сценарий уведомления пользователей. Уведомления Capcom будут отправляться поэтапно из-за объёма затронутой базы, а для разных регионов компания открыла отдельные каналы поддержки.
Главный открытый вопрос — раскроет ли Capcom хотя бы класс первичного доступа после завершения расследования. Без этого отрасли остаётся лишь очередная общая мораль о бдительности. С техническими деталями этот случай мог бы стать полезным разбором того, как защита единого аккаунта ломается на практике — и почему после взлома особенно опасны не только украденные пароли, но и метаданные о поведении миллионов пользователей.
