A Capcom confirmou um vazamento no Capcom ID: um invasor acessou 11.774.247 registros da conta única usada em jogos como Street Fighter 6, com e-mail, data do último login e endereço IP de cada cliente. Em 196 contas, o atacante chegou a trocar a senha.
Adicione ao Google NotíciasNeste artigo
- O que vazou: 11,7 milhões de e-mails, 43 perfis completos e 196 senhas trocadas
- Cronologia do vazamento: três dias entre a detecção e o aviso público
- As 196 contas com senha trocada e a lacuna no comunicado
- Capcom já foi hackeada em 2020: segundo incidente grave em seis anos
- O que fazer após o vazamento do Capcom ID: golpe por e-mail e suporte no Brasil
Quem jogou online algum título da produtora de Resident Evil, Monster Hunter e Street Fighter tem boa chance de estar no lote, que a empresa trata como mundial, sem recorte por país. Cartão de crédito ficou de fora, segundo a Capcom, que também diz não ter confirmado vazamento das senhas definidas pelos clientes. O perigo imediato é outro: com e-mail, IP e histórico de acesso em mãos, um golpista monta uma mensagem falsa "da Capcom" muito mais difícil de desmascarar.
O aviso saiu em 22 de outubro no site de relações com investidores da Capcom, três dias depois de a empresa detectar o acesso. No texto, a companhia fala em "acesso não autorizado por um terceiro" às informações de clientes ligadas ao Capcom ID e diz ter identificado e neutralizado o método de ataque. Não explicou qual foi.
O que vazou: 11,7 milhões de e-mails, 43 perfis completos e 196 senhas trocadas
O Capcom ID é a conta gratuita e unificada da empresa, exigida para os recursos online de alguns jogos e para os serviços web da marca. No Street Fighter 6, por exemplo, é ela que libera o modo online. O vazamento, pela contagem da própria Capcom, se divide em grupos:
| Grupo de contas | Registros | Dados expostos |
|---|---|---|
| Base geral | 11.774.247 | E-mail, data e hora de criação da conta, data e hora do último login, número de logins e IP usado no último acesso |
| Perfis completos | 43 | Data de nascimento, gênero, país ou região e apelido, além dos dados da base geral |
| Contas sequestradas | 196 | Senha de login alterada sem autorização; a Capcom diz já ter redefinido todas |
| Cartão de crédito | Nenhum | Não afetado, segundo a empresa |
Na prática, quase todo o lote é feito de endereços de e-mail acompanhados de metadados de acesso. Parece pouco, mas o IP do último login dá uma ideia aproximada de onde a pessoa estava, e as datas de criação e de uso permitem a um golpista escrever algo como "detectamos um acesso à sua conta criada em 2019", o tipo de detalhe que faz o alvo baixar a guarda.
A Capcom afirma que não confirmou o comprometimento das senhas definidas pelos próprios clientes. O comunicado não manda todo mundo trocar a senha, e quem não está entre as 196 contas pode seguir usando o Capcom ID e o e-mail cadastrado como antes, de acordo com a empresa. Os serviços que dependem da conta, jogos incluídos, continuam no ar.
Cronologia do vazamento: três dias entre a detecção e o aviso público
A cronologia publicada pela Capcom é detalhada e, para os padrões do setor, rápida:
- 19 de outubro: a empresa detecta atividade suspeita no sistema do Capcom ID, bloqueia o acesso e, no mesmo dia, confirma que houve invasão.
- 20 de outubro: cria uma sede interna de resposta ao incidente, confirma quais dados foram acessados, descobre as senhas alteradas e leva o caso a um comitê externo de supervisão de segurança de TI.
- 21 de outubro: conclui as medidas emergenciais e comunica o caso à Polícia da Província de Osaka e à Comissão de Proteção de Informações Pessoais do Japão.
- 22 de outubro: publica o aviso aos clientes e investidores.
O que a cronologia não diz pesa tanto quanto o que ela diz. A Capcom não informou quando a invasão começou, só quando foi percebida. Também não revelou por onde o atacante entrou. Até agora nenhum grupo reivindicou o ataque, e não há confirmação de pedido de resgate nem de venda dos dados.
"A Capcom leva este assunto extremamente a sério e continuará sua investigação detalhada", escreveu a empresa, que vai publicar atualizações no site oficial se surgirem fatos novos e pediu desculpas aos clientes.
As 196 contas com senha trocada e a lacuna no comunicado
O ponto mais estranho do caso está nessas 196 contas. Trocar a senha de uma conta costuma exigir a senha atual ou algum outro caminho: uma sessão aberta, o fluxo de recuperação ou uma função administrativa do sistema. A Capcom diz não ter visto as senhas originais comprometidas, mas o atacante conseguiu trancar 196 donos fora das próprias contas.
O site Hardware Busters levantou a questão: sem saber qual desses caminhos foi usado, não dá para dizer se as 196 contas foram efeito colateral da mesma invasão ou parte de uma tentativa paralela de sequestro de contas. A empresa afirma apenas que "as senhas associadas a essas contas já foram redefinidas" e que segue investigando "o alcance de qualquer impacto resultante deste incidente". Só um novo comunicado da empresa pode fechar essa lacuna.
Capcom já foi hackeada em 2020: segundo incidente grave em seis anos
A empresa já passou por isso. Em novembro de 2020, o grupo de ransomware Ragnar Locker invadiu a rede da Capcom e levou dados pessoais de clientes e ex-funcionários, incluindo nomes e endereços. A própria Capcom estimou depois que até 390 mil pessoas poderiam ter sido atingidas e apontou como porta de entrada um equipamento de VPN antigo. Nada publicado até aqui liga aquele ataque ao atual.
A diferença de escala chama atenção. O caso de 2020 envolvia centenas de milhares de pessoas e dados como nome e endereço; o de agora atinge quase 12 milhões de contas, mas com dados mais rasos. A Capcom também não está sozinha entre as grandes do setor: a Rockstar, dona de GTA, confirmou em abril uma violação de dados por terceiros, lembrou o Engadget.
O comunicado trata só do Capcom ID. Não menciona contas de Steam, PlayStation Network ou Xbox, que pertencem às plataformas e não à Capcom, e a empresa não informou quantos dos afetados estão no Brasil ou na América Latina.
O que fazer após o vazamento do Capcom ID: golpe por e-mail e suporte no Brasil
A recomendação oficial da Capcom é uma só: "Se você receber qualquer e-mail ou mensagem suspeita, tenha cautela e não acesse os links nem abra os arquivos anexados". A empresa avisa que os dados expostos podem ser usados em mensagens fraudulentas que se passem por ela ou por parceiros. Para quem tem Capcom ID, a precaução que decorre do caso:
- Desconfie de qualquer e-mail sobre o vazamento, inclusive os que parecem vir da Capcom; acesse o site digitando o endereço, sem clicar em links.
- Troque a senha se ela for repetida em outros serviços. A Capcom não exige a troca, mas "sem evidência" de vazamento não é o mesmo que garantia.
- Ative a verificação em duas etapas onde suas contas de jogo oferecerem.
- Jogadores do Brasil devem usar o formulário de suporte do Capcom USA, indicado pela empresa para as Américas.
A Capcom diz que vai avisar por e-mail os clientes afetados, em etapas por causa do volume, e veículos internacionais relatam que as primeiras mensagens já começaram a chegar. A empresa não oferece ferramenta de consulta para o usuário checar se está na lista, e o número final ainda pode mudar: a investigação, segundo a própria Capcom, continua aberta.
