Vazamento na Capcom expõe 11,7 milhões de contas e mostra descaso com IDs de jogos

Se um banco perdesse 11,7 milhões de registros de clientes, ninguém diria “pelo menos eram só e-mails”. Quando quem perde é uma publisher de jogos, a reação lembra mais um dar de ombros. Essa diferença na forma como reagimos é, a nosso ver, a verdadeira história por trás do vazamento da Capcom.

A Capcom confirmou que hackers invadiram o CAPCOM ID, o sistema de contas compartilhado por trás de seus serviços web e de alguns jogos online. A empresa detectou atividade suspeita e confirmou o acesso não autorizado em 19 de outubro. Segundo o Help Net Security, os atacantes obtiveram 11.774.247 registros com endereços de e-mail, além da data de criação da conta, do horário do último login, do número de logins e do endereço IP do acesso mais recente.

Um grupo bem menor foi mais atingido. Em 43 registros, também foram expostos data de nascimento, gênero, apelido e país ou região. Os atacantes alteraram as senhas de 196 contas e, em uma atualização posterior, a Capcom disse que eles chegaram às páginas da loja e-Capcom de 19 delas, com nomes, números de telefone, endereços e históricos de compras. A Capcom afirma que não houve confirmação de que as senhas definidas pelos clientes tenham sido comprometidas e que os dados de cartão não foram afetados. A empresa não descreveu como os atacantes entraram.

“Só e-mails” é a leitura errada

A própria versão da Capcom, e boa parte da cobertura, se apoia no que não foi levado: nem senhas, nem cartões. É uma boa notícia, e não queremos minimizá-la. Mas um e-mail ligado a uma publisher específica, um IP do último acesso e uma contagem de logins formam uma lista de alvos pronta. Como observa o TechRadar, um e-mail sozinho não basta para um ataque sério, mas é um bom ponto de partida para uma mensagem de phishing sob medida. A própria Capcom alertou os usuários sobre mensagens convincentes que se passam pela empresa.

As 196 trocas forçadas de senha são, para nós, o detalhe mais revelador. Alguém não se limitou a copiar dados: agiu sobre contas, aparentemente tentando deixar os donos de fora. Não é assim que um vazamento passivo se parece. Isso sugere que os atacantes podiam fazer mais do que ler, e isso deveria preocupar quem pensa no ID de jogos como um login descartável.

O padrão importa mais que o número

Este não é o primeiro incidente da Capcom. Em novembro de 2020, a empresa sofreu um ataque de ransomware que, segundo o relato do BleepingComputer, foi depois atribuído a um dispositivo VPN antigo. Outras fontes também apontam um ano agitado para o setor: a Rockstar Games confirmou um ataque em abril, e a Valve alertou clientes europeus da Steam em agosto, depois que um parceiro de logística foi alvo.

Precisamos ter cuidado: o ponto de entrada não foi divulgado, e seria especulação dizer que é o mesmo tipo de falha de 2020. Mas o padrão é claro o bastante para uma opinião. As publishers coletam identidades na escala de uma grande plataforma de consumo, e o mercado ainda parece premiá-las por tratar esses dados como efeito colateral da venda de jogos. Uma única conta que abrange milhões de jogadores é um ativo concentrado e deveria ser defendida como tal.

A Capcom deveria falar mais, guardar menos, e os jogadores confiar menos

Primeiro, a transparência. A Capcom agiu rápido, pela cronologia divulgada: detecção em 19 de outubro, polícia e órgão regulador em 21 de outubro, aviso público em 22 de outubro. Isso é razoável. Mas dizer que identificou e tratou o método do ataque, sem dizer nada sobre qual foi esse método, deixa os jogadores sem condições de avaliar o próprio risco. Achamos que reguladores e clientes deveriam esperar mais franqueza técnica, e não menos, depois de concluída a investigação.

Segundo, a minimização de dados. Se um sistema de login precisa só de um e-mail para funcionar, por que guardar a contagem de logins e o histórico de IPs de cada conta? Cada campo extra é algo a mais que pode ser perdido.

Terceiro, uma dica prática para os jogadores: desconfie de qualquer e-mail que mencione a Capcom, não clique em links nem abra anexos e use uma senha única para cada serviço em que você se cadastrar. A Capcom diz que os endereços de e-mail registrados no CAPCOM ID ainda podem ser usados.

Nosso veredito: este vazamento não é o mais danoso que já vimos, e a resposta da Capcom parece razoavelmente rápida. Mas a ideia de que contas de jogos têm pouco valor é exatamente o que facilita negligenciá-las. Com 11,7 milhões de registros, uma publisher é uma plataforma de consumo e deve ser julgada como tal.