Capcom обнаружила вторжение 19 октября и определила его масштаб четыре дня спустя. Были получены имена, адреса, номера телефонов, даты рождения и истории покупок; данные кредитных карт — нет. 196 похищенных паролей и 19 посещений серверной части магазина — это то, что стоит перечитать дважды, а масштаб примерно в 713 раз превышает инцидент с программами-вымогателями 2020 года.
一、Хронология: обнаружено 19 октября, ограничено 23 октября
Что Capcom заявила сначала
В заявлении Capcom говорится о несанкционированном доступе третьей стороны к информации клиентов 19 октября. Это дата обнаружения, а не обязательно дата вторжения, и компания последнюю не публиковала.
В первом заявлении также говорилось, что Capcom «не подтвердила компрометацию паролей для входа в аккаунты Capcom ID, изначально установленных клиентами», при этом признавая, что пароли на 196 аккаунтах были изменены без разрешения и с тех пор сброшены.
Что добавило обновление от 23 октября
Обновление сузило масштаб: из этих 196 аккаунтов третья сторона открыла страницы аккаунтов e-Capcom на 19. Capcom сообщает, что экстренные меры завершены, метод атаки выявлен и устранён, сервисы Capcom ID, включая игры, остаются онлайн, а с пострадавшими клиентами связываются через специальные каналы поддержки.
二、11,7 миллиона — это в 713 раз больше инцидента 2020 года
Это второй крупный взлом Capcom за шесть лет. В ноябре 2020 года атака с использованием программы-вымогателя скомпрометировала данные 16 415 человек, при этом компания оценивала максимально возможное число пострадавших в 390 000.
Разделите 11,7 миллиона на 16 415, и получится примерно 713. Один и тот же периметр был взломан дважды за пять с половиной лет, и во второй раз — более чем в семьсот раз масштабнее. Это не просто невезение.
三、196 изменённых паролей важнее 11,7 миллиона
Чтение данных и захват аккаунтов — разные преступления
11,7 миллиона говорят о том, сколько данных было доступно. 196 говорят о том, что кто-то действовал вручную: они изменили пароли, а значит, отобрали аккаунты у их владельцев.
196 из 11,7 миллиона — это около 0,0017%. Число крошечное, но природа иная. Массовое чтение выглядит как выгрузка базы данных. Несанкционированная смена паролей выглядит как выбор аккаунтов — человек или скрипт отбирает цели, которые стоит сохранить.
Девятнадцать аккаунтов добрались до бэкенда магазина
На девятнадцати из этих аккаунтов были открыты страницы e-Capcom. e-Capcom — японский интернет-магазин Capcom, и эти страницы содержат историю заказов и адреса доставки.
Для злоумышленника ценность аккаунта не в играх. Она в том, что этот человек купил, куда это доставили и по какому номеру звонить. Сложите эти три вещи вместе — и получите профиль, созданный для мошенничества.
四、Какие именно поля были раскрыты
По данным Capcom: имя, имя в японских фонетических символах, номер телефона, почтовый индекс, адрес, пол, дата рождения, история покупок, история обращений клиентов e-Capcom и сохранённые записи адресной книги.
Информация о кредитных картах не пострадала. Это единственная по-настоящему обнадёживающая строка в раскрытии.
Однако выстройте поля в ряд, и закономерность очевидна: имя плюс дата рождения плюс адрес плюс телефон плюс история покупок достаточно, чтобы убедительно выдать себя за сотрудника поддержки. «С вашим заказом проблема» перестаёт звучать подозрительно, как только звонящий зачитывает настоящий номер заказа.
五、Структурная проблема: один Capcom ID, все игры
Capcom ID управляет онлайн-функциями, веб-сервисами и мультиплеером по всему портфелю, включая Street Fighter 6, Monster Hunter и Resident Evil.
Это удобно: один логин, все игры. Это также концентрирует риск, потому что когда открывается одна точка входа, личность игрока по всему каталогу Capcom оказывается раскрыта сразу.
Федеративные системы аккаунтов — стандартная практика в этой индустрии. Они также превращают единичный отказ в отказ масштаба всей компании. Чем более унифицирован уровень аккаунтов, тем больше радиус каждого инцидента.
六、Что игрокам делать сейчас
- Смените пароль — и не только на Capcom ID. Каждому аккаунту, использующему этот пароль, нужен новый.
- Включите двухфакторную аутентификацию везде, где она есть, особенно на аккаунтах с привязанными способами оплаты.
- Проверьте e-Capcom. Подтвердите адрес доставки и номер телефона и поищите заказы, которые вы не делали.
- Относитесь с подозрением к звонкам «официальной поддержки». Capcom сейчас связывается с пострадавшими клиентами партиями — это именно то окно, которым пользуются мошенники.
Это утомительно. Это также быстрее, чем ждать: очередь уведомлений длинная, а ваша уязвимость в очереди не стоит.
七、Моё мнение: проблема в раскрытии информации, а не в файрволах
Число, которое меня беспокоит, — не 11,7 миллиона. Это формулировки: «сервисы остаются доступными» и «не подтверждено», что пароли утекли.
Оба утверждения точны, и оба уводят внимание от единственного вопроса, который есть у клиента, — что делать дальше. После подобного инцидента полезное сообщение — это кто пострадал, что было похищено и что с этим делать, а не заверение, что магазин по-прежнему открыт.
Игровые аккаунты перестали быть просто учётными данными много лет назад. Это истории покупок, социальные графы и платёжные точки, объединённые в одну личность, и защищать их по стандарту «игрового логина» всегда было категориальной ошибкой.
Мы будем следить за планом устранения последствий и окончательным масштабом пострадавших аккаунтов на GameHub. Если у вас есть Capcom ID, расскажите в комментариях, в каком году вы его создали — было бы полезно знать, затронуло ли это давних игроков или новых.
FAQ
Утекли ли пароли от Capcom на этот раз?
Capcom заявляет, что не подтвердила компрометацию паролей для входа, установленных клиентами, но пароли на 196 аккаунтах были изменены без разрешения и сброшены; на 19 из этих аккаунтов были открыты страницы e-Capcom.
Данные кредитных карт в безопасности?
Да. Capcom заявляет, что информация о кредитных картах не пострадала. Раскрытые поля — имя, адрес, телефон, дата рождения и история покупок — всё ещё достаточны для мошенничества с выдачей себя за другое лицо.
Какие игры затронуты?
Capcom ID охватывает онлайн-функции, веб-сервисы и мультиплеер для таких игр, как Street Fighter 6, Monster Hunter и Resident Evil. Система аккаунтов является общей для всего портфеля.
Как это соотносится со взломом 2020 года?
Атака с использованием программы-вымогателя в ноябре 2020 года скомпрометировала данные 16 415 человек при максимально возможном числе 390 000. Этот инцидент затрагивает более 11,7 миллиона аккаунтов — примерно в 713 раз больше.