Capcom confirms data breach affecting 11.7 million accounts
Mis à jour :
Violation majeure des données chez Capcom : 11,7 millions de comptes exposés
Capcom a confirmé une intrusion dans son service « CAPCOM ID », compromettant les informations personnelles de 11,7 millions d’utilisateurs. Bien que les données financières soient restées sécurisées, cet incident met en lumière une faille significative dans la gestion des accès au sein de l’infrastructure de l’éditeur de jeux vidéo.
Points clés :
- Données compromises : Adresses e-mail, dates de création de compte, historiques de connexion et adresses IP. Pour une minorité d’utilisateurs, des données d’état civil (nom, genre, pays) ont été exposées.
- Tentatives de piratage : Les assaillants ont tenté de verrouiller 196 comptes en modifiant les mots de passe, action rapidement neutralisée par Capcom.
- Réponse : L’incident, détecté le 19 octobre, a été notifié aux autorités japonaises. Les services en ligne restent opérationnels, et les mots de passe non compromis sont restés inchangés.
- Historique : Ce n’est pas la première fois que l’entreprise est visée ; en 2020, une attaque par ransomware avait déjà entraîné le vol de 1 To de données via un équipement VPN obsolète.
Vulnérabilités :
- Aucun identifiant CVE spécifique n’a été publié à ce jour. La méthode d’intrusion initiale n’a pas été divulguée publiquement par Capcom, mais l’exploitation de vecteurs d’accès aux identifiants reste une problématique centrale.
Recommandations :
- Vigilance accrue : Les utilisateurs sont invités à se méfier des communications non sollicitées, des e-mails suspects et des tentatives de phishing (liens ou pièces jointes).
- Communication : Les personnes concernées seront notifiées par étapes. Il est conseillé de passer par les canaux de support officiels de Capcom pour toute demande d’assistance.
- Sécurité des accès : Bien que non spécifié comme mesure immédiate pour les utilisateurs, l’activation systématique de l’authentification multifacteur (MFA) est recommandée pour tout service centralisant des données personnelles, afin de limiter l’impact en cas de compromission d’identifiants.