Capcom hat die Untersuchung zum Umfang der festgestellten Passwortänderungen nach dem unbefugten Zugriff auf CAPCOM ID abgeschlossen. Von den 196 von diesen Änderungen betroffenen Konten trat eine dritte Partei in die persönliche Seite von 19 Nutzern des japanischen e-Capcom-Shops ein und erlangte zusätzliche Informationen. Die Aktualisierung, veröffentlicht am 23. Oktober, erweitert die erste Mitteilung des Unternehmens, die bereits die Offenlegung von 11.774.247 Datensätzen weltweit bestätigt hatte.
Die E-Mail-Adressen und Zugriffsdaten von 11.774.247 Datensätzen wurden offengelegt
CAPCOM ID ist das gemeinsame Konto, das den Zugang zu Webdiensten des Unternehmens ermöglicht und online das Spielen bestimmter Titel erlaubt. Laut der ersten Mitteilung, veröffentlicht am 22. Oktober, hat der unbefugte Zugriff 11.774.247 Datensätze von E-Mail-Adressen und zugehörigen Kontofunktionen offengelegt. Es handelt sich um eine weltweite Gesamtzahl; der Hinweis bietet keine länderspezifische Aufschlüsselung noch angibt, wie viele unterschiedliche Personen betroffen sind.
Zusammen mit der E-Mail-Adresse wurden das Erstellungsdatum der Konten, das Datum und die Uhrzeit des letzten Logins, die Anzahl der Zugriffe und die im zuletzt verwendeten Fall genutzte IP-Adresse offengelegt. Diese Daten können helfen, eine betrügerische Nachricht an den Inhaber überzeugender wirken zu lassen.
Die Firma identifizierte weitere 43 Datensätze, einschließlich Geburtsdatum, Geschlecht, Land oder Region und Nickname. Die Mitteilung gibt nicht an, ob diese 43 Datensätze mit Konten übereinstimmen, deren Passwörter geändert wurden, oder mit den 19 Konten, die mit e-Capcom verbunden sind. Deshalb sollten die Beträge als unterschiedliche Ebenen der betroffenen Informationen gelesen werden und nicht als unabhängige Gruppen, die sich addieren könnten.
196 Passwörter wurden ohne Erlaubnis geändert und 19 Konten des Shops wurden betreten
Die Untersuchung ergab, dass eine dritte Partei ohne Erlaubnis das Passwort von 196 CAPCOM ID-Konten änderte. Capcom hat die Anmeldedaten dieser Konten bereits zurückgesetzt. Das Unternehmen hat nicht bestätigt, dass die ursprünglichen Passwörter der Kontoinhaber geleakt wurden. Die unbefugte Änderung eines Passworts zeigt eine Kontenveränderung, lässt aber nicht allein darauf schließen, dass Angreifer das vorherige Passwort kannten.
Der zweite Hinweis konkretisiert die Auswirkungen dieser Änderungen. Von den 196 Konten wurden 19 genutzt, um in den Bereich „Meine Seite“ von e-Capcom, dem Online-Shop des Unternehmens, einzudringen. Diese 19 Fälle betreffen Japan. Dort wurden der Name und die kana-Transkription, die Telefonnummer, die Postleitzahl, die Adresse, das Geschlecht, das Geburtsdatum, der Kaufverlauf, die Anfragen an e-Capcom und die in der Kontennotiz gespeicherten Adressen offengelegt.
Nach Angaben des Unternehmens ist die Untersuchung der Auswirkungen der Passwortänderungen abgeschlossen und es wurde kein Information Leak festgestellt, das durch diese Änderungen bei den übrigen Konten verursacht wurde.
Capcom entdeckte den Zugriff am 19. Oktober und betreibt weiterhin seine Spiele
Capcom fand Anzeichen verdächtigter Aktivitäten am 19. Oktober. An diesem Tag begann man mit der Sperrung des Zugriffs und bestätigte, dass es zu einem unbefugten Zugriff gekommen war. Am 20. Oktober wurde ein internes Team zur Untersuchung des Vorfalls gebildet, das sowohl die Offenlegung von CAPCOM ID-Daten als auch die Passwortänderungen bestätigte. Am 21. Oktober informierte man die Polizei der Präfektur Osaka und die Personal Information Protection Commission Japans.
Das Unternehmen erklärt, dass es die Angriffsmethode identifiziert und entsprechend darauf reagiert hat und die dringenden Maßnahmen abgeschlossen sind. Es hat nicht öffentlich erklärt, wie der Dritte eingedrungen ist, weshalb es spekulativ wäre, die Eindringung einer bestimmten Schwachstelle, der wiederverwendeten Passwörter oder einer bestimmten Technik zuzuordnen. Nach Abschluss der Untersuchung der Auswirkungen der Passwortänderungen hält Capcom die Überwachung von CAPCOM ID und der zugehörigen Dienste aufrecht.
Die CAPCOM ID-Konten bleiben verfügbar und das Unternehmen versichert, dass der Vorfall das Spielen keines seiner Titel verhindert. Capcom hat mitgeteilt, dass es die Betroffenen individuell kontaktieren wird und Kommunikationskanäle eingerichtet hat. Die Fortführung des Dienstes hebt nicht die bereits erfolgte Offenlegung von Informationen auf.
Die wichtigste Warnung des Unternehmens bezieht sich auf Mitteilungen, die seine Identität oder die von verbundenen Einrichtungen vortäuschen. Die zweite Mitteilung erwähnt ausdrücklich Textnachrichten, Telefongespräche und E-Mails. Das Unternehmen bittet darum, keine Anhänge zu öffnen und keine Links in verdächtigen Nachrichten zu verwenden. Wenn eine Benachrichtigung über das Konto eingeht, sollte man direkt die offizielle Webseite aufrufen statt dem Link in der Nachricht zu folgen. Europäische Nutzer können sich an die Support-Kanäle von Capcom wenden, die in der offiziellen Mitteilung angegeben sind, um etwaige Fragen zu ihrem Fall zu klären.
