Il data breach di Capcom da 11,7 milioni di account: gli ID dei giochi restano sottovalutati

Se una banca perdesse 11,7 milioni di record di clienti, nessuno direbbe «beh, almeno erano solo email». Quando a farlo è un publisher di videogiochi, la reazione somiglia più a una scrollata di spalle. Questa differenza nel modo in cui reagiamo è, a nostro avviso, la vera storia dietro il data breach di Capcom.

Capcom ha confermato che degli hacker hanno violato CAPCOM ID, il sistema di account condiviso dietro i suoi servizi web e alcuni giochi online. L'azienda ha rilevato attività sospette e il 19 ottobre ha confermato un accesso non autorizzato. Secondo Help Net Security, gli aggressori hanno ottenuto 11.774.247 record con indirizzi email, data di creazione dell'account, orario dell'ultimo accesso, numero di accessi e indirizzo IP dell'accesso più recente.

Un gruppo molto più piccolo è stato colpito più duramente. Per 43 record sono stati esposti anche data di nascita, genere, nickname e paese o regione. Gli aggressori hanno cambiato le password di 196 account e, in un aggiornamento successivo, Capcom ha dichiarato che per 19 di questi hanno raggiunto le pagine dello store e-Capcom, con nomi, numeri di telefono, indirizzi e cronologie degli acquisti. Capcom afferma che non è stata confermata la compromissione delle password impostate dai clienti e che i dati delle carte non sono stati coinvolti. L'azienda non ha descritto come gli aggressori siano entrati.

«Solo email» è la lettura sbagliata

La versione di Capcom, e buona parte della copertura, punta su ciò che non è stato sottratto: niente password, niente carte. È una buona notizia e non vogliamo sminuirla. Ma un indirizzo email legato a uno specifico publisher, un IP dell'ultimo accesso e un conteggio degli accessi sono un elenco di bersagli già pronto. Come osserva TechRadar, un'email da sola non basta per un attacco serio, ma è un buon punto di partenza per un messaggio di phishing su misura. La stessa Capcom ha avvertito gli utenti di messaggi convincenti che si spacciano per l'azienda.

Le 196 modifiche forzate delle password sono, per noi, il dettaglio più rivelatore. Qualcuno non si è limitato a copiare dati: è intervenuto sugli account, a quanto pare cercando di escluderne i proprietari. Non è così che appare una fuga passiva. Suggerisce che gli aggressori potessero fare più che leggere, e questo dovrebbe preoccupare chiunque consideri un ID di gioco un login usa e getta.

Il modello conta più del numero

Non è il primo incidente di Capcom. Nel novembre 2020 l'azienda subì un attacco ransomware che, secondo il resoconto di BleepingComputer, fu poi ricondotto a un vecchio dispositivo VPN. Le fonti indicano anche un anno movimentato per il settore: Rockstar Games ha confermato un attacco ad aprile e Valve ha avvisato ad agosto i clienti europei di Steam dopo che un partner logistico era stato preso di mira.

Bisogna essere cauti: il punto di ingresso non è stato reso noto e sarebbe una speculazione dire che si tratti dello stesso tipo di falla del 2020. Ma il modello è abbastanza chiaro per esprimere un'opinione. I publisher raccolgono identità alla scala di una grande piattaforma consumer, e il mercato sembra ancora premiarli per aver trattato quei dati come un effetto collaterale della vendita di giochi. Un singolo account che abbraccia milioni di giocatori è una risorsa concentrata e andrebbe difeso come tale.

Capcom dovrebbe dire di più, conservare di meno, e i giocatori fidarsi di meno

Primo, la trasparenza. Capcom si è mossa in fretta, secondo la cronologia riportata: rilevamento il 19 ottobre, polizia e autorità di controllo il 21 ottobre, comunicazione pubblica il 22 ottobre. È un buon risultato. Ma dire di aver individuato e risolto il metodo d'attacco, senza dire nulla su quale fosse, lascia i giocatori incapaci di valutare il proprio rischio. Pensiamo che autorità e clienti debbano aspettarsi più franchezza tecnica, non meno, a indagine conclusa.

Secondo, la minimizzazione dei dati. Se un sistema di accesso ha bisogno solo di un'email per funzionare, perché conservare conteggio degli accessi e cronologia degli IP per ogni account? Ogni campo in più è qualcosa che si può perdere.

Terzo, un consiglio pratico per i giocatori: considera con sospetto qualsiasi email che citi Capcom, non cliccare sui link né aprire gli allegati e usa una password unica per ogni servizio a cui ti iscrivi. Capcom dice che gli indirizzi email registrati con CAPCOM ID possono ancora essere usati.

Il nostro verdetto: questo data breach non è il più dannoso che abbiamo visto e la risposta di Capcom appare ragionevolmente tempestiva. Ma l'idea che gli account di gioco abbiano poco valore è proprio ciò che li rende facili da trascurare. Con 11,7 milioni di record, un publisher è una piattaforma consumer e va giudicato come tale.