Capcom : 11,7 M de comptes exposés, et les ID de jeu restent traités à la légère

Si une banque perdait 11,7 millions de dossiers clients, personne ne dirait: « Au moins, il ne s’agissait que d’e-mails. » Quand c’est un éditeur de jeux vidéo, la réaction ressemble plutôt à un haussement d’épaules. Cet écart dans notre manière de réagir est, selon nous, la véritable histoire derrière la fuite de données chez Capcom.

Capcom a confirmé que des pirates se sont introduits dans CAPCOM ID, le système de comptes commun à ses services web et à certains jeux en ligne. L’entreprise a détecté une activité suspecte et confirmé un accès non autorisé le 19 octobre. Selon Help Net Security, les attaquants ont obtenu 11 774 247 enregistrements contenant des adresses e-mail, la date de création du compte, l’heure de la dernière connexion, le nombre de connexions et l’adresse IP de la connexion la plus récente.

Un groupe bien plus restreint a été touché plus durement. Pour 43 enregistrements, la date de naissance, le genre, le pseudo et le pays ou la région ont également été exposés. Les attaquants ont modifié les mots de passe de 196 comptes et, dans une mise à jour ultérieure, Capcom a indiqué qu’ils avaient atteint les pages de la boutique e-Capcom de 19 d’entre eux, avec des noms, numéros de téléphone, adresses et historiques d’achats. Capcom affirme qu’il n’est pas confirmé que les mots de passe définis par les clients aient été compromis et que les données de cartes bancaires ne sont pas concernées. L’entreprise n’a pas décrit comment les attaquants sont entrés.

« Juste des e-mails »: la mauvaise lecture

La présentation de Capcom, comme une bonne partie de la couverture, insiste sur ce qui n’a pas été dérobé: ni mots de passe, ni cartes. C’est une bonne nouvelle et nous ne voulons pas la minimiser. Mais une adresse e-mail liée à un éditeur précis, une IP de dernière connexion et un nombre de connexions forment une liste de cibles toute prête. Comme le relève TechRadar, une adresse e-mail seule ne suffit pas pour une attaque sérieuse, mais c’est un bon point de départ pour un message de phishing sur mesure. Capcom a elle-même mis en garde ses utilisateurs contre des messages convaincants se faisant passer pour l’entreprise.

Les 196 changements de mot de passe forcés sont, pour nous, le détail le plus révélateur. Quelqu’un ne s’est pas contenté de copier des données: il a agi sur des comptes, apparemment pour en bloquer l’accès à leurs propriétaires. Ce n’est pas à cela que ressemble une fuite passive. Cela laisse penser que les attaquants pouvaient faire plus que lire, et cela devrait inquiéter quiconque voit un ID de jeu comme un identifiant jetable.

Le schéma compte plus que le chiffre

Ce n’est pas le premier incident chez Capcom. En novembre 2020, l’entreprise a subi une attaque par ransomware qui, selon le récit de BleepingComputer, a été attribuée par la suite à un ancien équipement VPN. D’autres sources évoquent aussi une année chargée pour le secteur: Rockstar Games a confirmé une attaque en avril, et Valve a averti en août ses clients européens de Steam après qu’un partenaire logistique a été ciblé.

Soyons prudents: le point d’entrée n’a pas été divulgué, et il serait spéculatif d’y voir la même défaillance qu’en 2020. Mais le schéma est assez net pour fonder une opinion. Les éditeurs collectent des identités à l’échelle d’une grande plateforme grand public, et le marché semble encore les récompenser de traiter ces données comme un effet secondaire de la vente de jeux. Un compte unique couvrant des millions de joueurs est un actif concentré, et il devrait être défendu comme tel.

Capcom devrait en dire plus, en garder moins, et les joueurs faire moins confiance

Premièrement, la transparence. Capcom a réagi rapidement d’après la chronologie rapportée: détection le 19 octobre, police et autorité de contrôle le 21 octobre, avis public le 22 octobre. C’est correct. Mais affirmer avoir identifié et traité la méthode d’attaque, sans rien dire de cette méthode, empêche les joueurs d’évaluer leur propre risque. Nous pensons que les autorités de contrôle et les clients devraient attendre davantage de franchise technique, et non moins, une fois l’enquête terminée.

Deuxièmement, la minimisation des données. Si un système de connexion n’a besoin que d’une adresse e-mail pour fonctionner, pourquoi conserver le nombre de connexions et l’historique des IP pour chaque compte ? Chaque champ supplémentaire est une donnée de plus à perdre.

Troisièmement, un conseil pratique pour les joueurs: considérez avec méfiance tout e-mail mentionnant Capcom, ne cliquez sur aucun lien, n’ouvrez aucune pièce jointe et utilisez un mot de passe unique pour chaque service auquel vous vous inscrivez. Capcom indique que les adresses e-mail enregistrées auprès de CAPCOM ID peuvent toujours être utilisées.

Notre verdict: cette fuite n’est pas la plus dommageable que nous ayons vue, et la réaction de Capcom paraît raisonnablement rapide. Mais l’idée que les comptes de jeux ont peu de valeur est précisément ce qui permet de les négliger. Avec 11,7 millions d’enregistrements, un éditeur est une plateforme grand public et doit être jugé comme tel.