A Capcom encontrou a intrusão em 19 de outubro e dimensionou o escopo quatro dias depois. Nomes, endereços, números de telefone, datas de nascimento e históricos de compra foram acessados; dados de cartão de crédito não foram. As 196 senhas sequestradas e as 19 visitas ao back-end da loja são as partes que valem ler duas vezes, e a escala é aproximadamente 713 vezes o incidente de ransomware da empresa em 2020.
1. Linha do tempo: encontrado em 19 de outubro, dimensionado até 23 de outubro
O que a Capcom disse primeiro
A declaração da Capcom descreve um terceiro não autorizado acessando informações de clientes em 19 de outubro. Essa é uma data de descoberta, não necessariamente uma data de intrusão, e a empresa não publicou a segunda.
A primeira declaração também disse que a Capcom "não confirmou nenhum comprometimento das senhas de login da Capcom ID originalmente definidas pelos clientes", ao mesmo tempo em que reconheceu que senhas em 196 contas foram alteradas sem autorização e desde então foram redefinidas.
O que a atualização de 23 de outubro adicionou
A atualização reduziu o raio do estrago: dessas 196 contas, o terceiro abriu páginas de conta da e-Capcom em 19. A Capcom diz que as medidas de emergência estão completas, o método de ataque foi identificado e tratado, os serviços da Capcom ID, incluindo jogos, permanecem online, e os clientes afetados estão sendo contatados por canais de suporte dedicados.
2. 11,7 milhões são 713 vezes o incidente de 2020
Este é o segundo grande vazamento da Capcom em seis anos. Em novembro de 2020, um ataque de ransomware comprometeu dados de 16.415 pessoas, com a empresa colocando o número máximo potencialmente afetado em 390.000.
Divida 11,7 milhões por 16.415 e você obtém aproximadamente 713. O mesmo perímetro foi violado duas vezes em cinco anos e meio, e a segunda vez foi mais de setecentas vezes maior. Isso não é má sorte.
3. As 196 senhas alteradas importam mais que os 11,7 milhões
Ler dados e assumir contas são crimes diferentes
11,7 milhões diz quanto dado era alcançável. 196 diz que alguém pôs a mão na massa: mudaram senhas, o que significa que tiraram contas de seus donos.
196 de 11,7 milhões é cerca de 0,0017%. O número é minúsculo, mas a natureza é diferente. Leituras em massa parecem um roubo de banco de dados. Alterações de senha não autorizadas parecem seleção de contas — uma pessoa ou um script escolhendo alvos que valem manter.
Dezenove contas chegaram ao back-end da loja
Dezenove dessas contas tiveram páginas da e-Capcom abertas. A e-Capcom é a loja online japonesa da Capcom, e essas páginas guardam histórico de pedidos e endereços de entrega.
Para um atacante, o valor da conta não são os jogos. É o que essa pessoa comprou, para onde foi enviado e que número ligar. Junte esses três e você tem um perfil montado para fraude.
4. Exatamente quais campos foram expostos
Segundo a Capcom: nome, nome em caracteres fonéticos japoneses, número de telefone, código postal, endereço, gênero, data de nascimento, histórico de compras, histórico de consultas de clientes da e-Capcom e entradas salvas da agenda de endereços.
Informações de cartão de crédito não foram afetadas. Essa é a única linha genuinamente tranquilizadora da divulgação.
Alinhe os campos, porém, e o padrão é óbvio: nome mais data de nascimento mais endereço mais telefone mais histórico de compras é suficiente para personificar uma equipe de suporte de forma convincente. "Há um problema com seu pedido" deixa de parecer suspeito assim que quem liga lê de volta um número de pedido real.
5. O problema estrutural: uma Capcom ID, todo jogo
A Capcom ID gerencia recursos online, serviços web e multiplayer em todo o portfólio, incluindo Street Fighter 6, Monster Hunter e Resident Evil.
Isso é conveniente: um login, todo jogo. Também concentra risco, porque quando um ponto de entrada abre, a identidade de um jogador em todo o catálogo da Capcom é exposta de uma vez.
Sistemas de conta federados são prática padrão nessa indústria. Eles também transformam uma falha de ponto único em uma de toda a empresa. Quanto mais unificada a camada de conta, maior o raio de cada incidente.
6. O que os jogadores devem fazer agora
- Mude a senha — e não apenas na Capcom ID. Toda conta que compartilha essa senha precisa de uma nova.
- Ative a autenticação de dois fatores onde quer que ela exista, especialmente em contas com métodos de pagamento anexados.
- Verifique a e-Capcom. Confirme o endereço de entrega e o número de telefone, e procure pedidos que você não fez.
- Desconfie de ligações de "suporte oficial". A Capcom agora está contatando clientes afetados em lotes, que é exatamente a janela que os personificadores usam.
É tedioso. Também é mais rápido do que esperar: a fila de notificação é longa, e sua exposição não está na fila.
7. Minha opinião: a lacuna é a divulgação, não os firewalls
O número que me incomoda não é 11,7 milhões. É a formulação: "os serviços permanecem disponíveis" e "não confirmado" que as senhas vazaram.
Ambas as afirmações são precisas, e ambas desviam a atenção da única pergunta que um cliente tem, que é o que fazer a seguir. Depois de um incidente como esse, a comunicação útil é quem foi afetado, o que foi levado e o que fazer a respeito — não uma garantia de que a loja ainda está aberta.
Contas de jogo deixaram de ser credenciais de login anos atrás. Elas são históricos de compra, grafos sociais e terminais de pagamento agrupados em uma identidade, e protegê-las ao padrão de "um login de jogo" sempre foi um erro de categoria.
Acompanharemos o plano de remediação e o escopo final das contas afetadas no GameHub. Se você tem uma Capcom ID, diga nos comentários em que ano a criou — seria útil saber se isso atingiu jogadores antigos ou novos.
FAQ
A Capcom vazou senhas desta vez?
A Capcom diz que não confirmou o comprometimento das senhas de login definidas pelos clientes, mas senhas em 196 contas foram alteradas sem autorização e foram redefinidas; 19 dessas contas tiveram páginas da e-Capcom abertas.
Os dados de cartão de crédito estão seguros?
Sim. A Capcom afirma que as informações de cartão de crédito não foram afetadas. Os campos expostos — nome, endereço, telefone, data de nascimento e histórico de compras — ainda são suficientes para apoiar golpes de personificação.
Quais jogos são afetados?
A Capcom ID cobre recursos online, serviços web e multiplayer para títulos incluindo Street Fighter 6, Monster Hunter e Resident Evil. O sistema de conta é compartilhado em todo o portfólio.
Como isso se compara ao vazamento de 2020?
O ataque de ransomware de novembro de 2020 comprometeu dados de 16.415 pessoas, com um número máximo de 390.000. Este incidente afeta mais de 11,7 milhões de contas, aproximadamente 713 vezes maior.