Capcom-Datenleck mit 11,7 Mio. Konten: Gaming-Zugänge gelten weiter als wenig schützenswert

Wenn eine Bank 11,7 Millionen Kundendatensätze verlöre, würde niemand sagen: „Na ja, es waren ja nur E-Mail-Adressen.“ Wenn ein Spielepublisher das tut, fällt die Reaktion eher mit einem Achselzucken aus. Dieser Unterschied in unserer Reaktion ist unserer Ansicht nach die eigentliche Geschichte hinter dem Capcom-Datenleck.

Capcom hat bestätigt, dass Hacker in CAPCOM ID eingedrungen sind, das gemeinsame Kontosystem hinter den Webdiensten und einigen Online-Spielen des Unternehmens. Das Unternehmen bemerkte verdächtige Aktivitäten und bestätigte am 19. Oktober einen unbefugten Zugriff. Laut Help Net Security erbeuteten die Angreifer 11.774.247 Datensätze mit E-Mail-Adressen sowie Erstellungsdatum des Kontos, Zeitpunkt der letzten Anmeldung, Anzahl der Anmeldungen und IP-Adresse der jüngsten Anmeldung.

Eine weitaus kleinere Gruppe traf es härter. Bei 43 Datensätzen wurden zusätzlich Geburtsdatum, Geschlecht, Spitzname sowie Land oder Region offengelegt. Die Angreifer änderten die Passwörter von 196 Konten, und in einem späteren Update teilte Capcom mit, sie hätten bei 19 davon die Seiten des e-Capcom-Shops erreicht, mit Namen, Telefonnummern, Adressen und Kaufhistorien. Capcom zufolge ist nicht bestätigt, dass von Kunden festgelegte Passwörter kompromittiert wurden; Kartendaten seien nicht betroffen. Wie die Angreifer eindrangen, hat das Unternehmen nicht beschrieben.

„Nur E-Mail-Adressen“ ist die falsche Lesart

Capcoms eigene Darstellung und ein Großteil der Berichterstattung stützen sich darauf, was nicht entwendet wurde: keine Passwörter, keine Karten. Das ist eine gute Nachricht, und wir wollen sie nicht kleinreden. Doch eine E-Mail-Adresse, die einem bestimmten Publisher zugeordnet ist, dazu die IP-Adresse der letzten Anmeldung und die Zahl der Logins, ergibt eine fertige Zielliste. Wie TechRadar anmerkt, reicht eine E-Mail-Adresse allein nicht für einen ernsthaften Angriff, ist aber ein guter Anfang für eine maßgeschneiderte Phishing-Nachricht. Capcom selbst warnte Nutzer vor überzeugend wirkenden Nachrichten, die sich als das Unternehmen ausgeben.

Die 196 erzwungenen Passwortänderungen sind für uns das aufschlussreichste Detail. Jemand hat nicht nur Daten kopiert, sondern auf Konten eingewirkt, offenbar um die Inhaber auszusperren. So sieht kein passives Datenleck aus. Es deutet darauf hin, dass die Angreifer mehr konnten als nur lesen, und das sollte jeden beunruhigen, der eine Gaming-ID für einen Wegwerf-Zugang hält.

Das Muster zählt mehr als die Zahl

Es ist nicht Capcoms erster Vorfall. Im November 2020 traf das Unternehmen ein Ransomware-Angriff, der laut BleepingComputer später auf ein altes VPN-Gerät zurückgeführt wurde. Quellen verweisen zudem auf ein ereignisreiches Jahr für die Branche: Rockstar Games bestätigte im April einen Angriff, und Valve warnte im August europäische Steam-Kunden, nachdem ein Logistikpartner angegriffen worden war.

Wir sollten vorsichtig sein: Der Einstiegspunkt ist nicht bekannt, und es wäre Spekulation, von derselben Art von Versagen wie 2020 zu sprechen. Für eine Meinung ist das Muster aber deutlich genug. Publisher sammeln Identitäten im Umfang einer großen Verbraucherplattform, und der Markt scheint sie weiterhin dafür zu belohnen, diese Daten als Nebenprodukt des Spieleverkaufs zu behandeln. Ein einziges Konto, das Millionen Spieler umfasst, ist ein konzentriertes Gut und sollte auch als solches verteidigt werden.

Capcom sollte mehr sagen und weniger speichern, Spieler weniger vertrauen

Erstens: die Offenlegung. Capcom handelte nach dem berichteten Zeitablauf zügig: Entdeckung am 19. Oktober, Polizei und Aufsichtsbehörde am 21. Oktober, öffentliche Mitteilung am 22. Oktober. Das ist ordentlich. Wer aber sagt, man habe die Angriffsmethode identifiziert und behoben, ohne etwas darüber mitzuteilen, was für eine Methode das war, lässt Spieler ihr eigenes Risiko nicht einschätzen. Wir meinen, Aufsichtsbehörden und Kunden sollten nach Abschluss der Untersuchung mehr technische Offenheit erwarten, nicht weniger.

Zweitens: Datenminimierung. Wenn ein Login-System zum Funktionieren nur eine E-Mail-Adresse braucht, warum werden dann bei jedem Konto Anmeldezahlen und IP-Verlauf gespeichert? Jedes zusätzliche Feld kann verloren gehen.

Drittens ein praktischer Hinweis für Spieler: Jede E-Mail, die Capcom erwähnt, mit Misstrauen behandeln, keine Links anklicken und keine Anhänge öffnen und für jeden Dienst, bei dem man sich registriert, ein eigenes Passwort verwenden. Capcom zufolge können die bei CAPCOM ID registrierten E-Mail-Adressen weiterhin genutzt werden.

Unser Urteil: Dieses Datenleck ist nicht das folgenreichste, das wir gesehen haben, und Capcoms Reaktion wirkt einigermaßen zügig. Aber gerade die Vorstellung, Gaming-Konten seien wenig wert, macht es so leicht, sie zu vernachlässigen. Bei 11,7 Millionen Datensätzen ist ein Publisher eine Verbraucherplattform und sollte auch so beurteilt werden.