Capcom
Capcom confirma ataque à CAPCOM ID: emails de 11,7 milhões de contas expostos e 196 palavras-passe trocadas
A editora de Resident Evil, Monster Hunter e Street Fighter detetou o acesso indevido a 19 de outubro. Os cartões de crédito ficaram de fora, mas os emails roubados podem servir para burlas em nome da marca. Explicamos o que foi exposto e o que deves fazer se tens conta.
A Capcom, a editora japonesa por trás de Resident Evil, Monster Hunter e Street Fighter, confirmou que a CAPCOM ID foi alvo de um acesso não autorizado e que dados de 11.774.247 registos saíram dos seus sistemas. A CAPCOM ID é a conta única que a empresa usa nos seus serviços online e que alguns jogos exigem para o modo online. O comunicado, publicado a 22 de outubro, garante que os jogos continuam a funcionar e que os dados de cartões de crédito não foram afetados. O número diz respeito a contas de todo o mundo, e a empresa não indicou quantas são europeias.
O que foi exposto
Na grande maioria dos casos, os atacantes levaram o endereço de email associado à conta, juntamente com dados técnicos: a data de criação, a data e hora do último acesso, o número de vezes que a pessoa entrou e o endereço IP usado no último login. Em 43 contas, a fuga incluiu ainda a data de nascimento, o género, o país ou região e a alcunha. Há também um grupo de 196 contas em que a palavra-passe foi alterada sem autorização, o que, segundo o BleepingComputer, terá sido uma tentativa de deixar os donos de fora. A Capcom diz que já repôs essas palavras-passe.
A empresa afirma que não encontrou indícios de que as palavras-passe escolhidas pelos utilizadores tenham sido copiadas. Segundo a cronologia oficial, o acesso suspeito foi detetado e bloqueado a 19 de outubro, a confirmação de que havia dados de clientes envolvidos chegou no dia seguinte e, a 21, o caso foi comunicado à polícia de Osaka e à autoridade japonesa de proteção de dados. A Capcom diz que identificou o método de ataque e o corrigiu, mas não explicou como os atacantes entraram.
O que deves fazer se tens conta
O maior risco imediato é o phishing. Com um email verdadeiro e a indicação de que tens conta na Capcom, é fácil montar uma mensagem convincente a pedir que confirmes dados ou cliques numa ligação. A própria empresa avisa que podem chegar emails a fazer-se passar por ela ou por parceiros e pede que não abras ligações nem anexos dessas mensagens. Desconfia sobretudo de avisos sobre bloqueio de conta, ofertas de jogos ou reembolsos.
Mesmo sem prova de que as palavras-passe tenham saído, há passos simples que reduzem o risco:
- Se usas a mesma palavra-passe da CAPCOM ID noutros serviços, troca-a nesses serviços e na própria conta.
- Liga a autenticação de dois fatores, que o portal da CAPCOM ID já disponibiliza, e guarda o código de recuperação num local seguro.
- Entra na conta diretamente pelo portal oficial, e não por ligações recebidas por email.
A Capcom diz que vai avisar os clientes afetados por fases. Para a Europa, o Médio Oriente e África, as dúvidas sobre o incidente seguem pelo formulário de apoio da Capcom ou pelo endereço feedback@capcom.com, indicados no comunicado. Esta não é a primeira fuga na empresa: em 2020, um ataque de ransomware reivindicado pelo grupo Ragnar Locker levou a empresa a admitir que até 390 mil pessoas podiam ter sido afetadas, recorda o BleepingComputer.
