Sommaire3 parties
Onze millions sept cent soixante-quatorze mille deux cent quarante-sept. C’est le nombre de fiches CAPCOM ID consultées par un intrus, selon Capcom. L’éditeur d’Osaka a publié jeudi 22 octobre un communiqué d’excuses, puis un second dès le lendemain. Un tiers a eu accès à une partie des données liées au compte en ligne de la maison, celui qui sert à ses services web et qui est exigé pour jouer en ligne à certains de ses jeux. Pas de cartes bancaires dans le lot, assure Capcom. Mais des adresses e-mail, beaucoup.
Ce que l’intrus a vu, et ce qu’il n’a pas vu
Le gros du volume, ce sont 11 774 247 enregistrements dans le monde : l’adresse e-mail, la date de création du compte, la date et l’heure de la dernière connexion, le nombre de connexions et l’adresse IP utilisée lors de la dernière visite. Pour 43 comptes, la date de naissance, le genre, le pays et le pseudo ont aussi été exposés.
À lire aussi : Onimusha: Way of the Sword : Capcom remet Musashi en ligne aujourd’hui
Plus gênant, 196 comptes ont vu leur mot de passe changé à l’insu de leur propriétaire. Capcom dit ne pas avoir constaté de fuite des mots de passe choisis par les joueurs eux-mêmes, et les comptes concernés ont été réinitialisés. Le second communiqué, publié le 23 octobre, précise la suite : sur ces 196 comptes, 19 ont servi à entrer dans l’espace client d’e-Capcom, la boutique en ligne japonaise de l’éditeur. Nom, téléphone, adresse postale, date de naissance, historique d’achats et carnet d’adresses ont été consultés. Dix-neuf clients, tous au Japon. L’enquête sur l’étendue des dégâts est terminée, selon l’éditeur.
Repéré le 19 octobre, signalé à la police d’Osaka
La chronologie tient en trois jours. Le 19 octobre, Capcom détecte une activité suspecte, bloque l’accès et confirme l’intrusion dans la journée. Le 20, une cellule de crise interne est montée. Le 21, l’affaire est signalée à la police de la préfecture d’Osaka et à la Commission japonaise de protection des données personnelles. Les services liés au CAPCOM ID restent ouverts, et l’incident « does not affect players’ ability to access or play any of our games », écrit l’éditeur. On peut donc lancer Resident Evil Requiem ce soir comme si de rien n’était.
Ce n’est pas la première fois. En novembre 2020, déjà, Capcom avait été frappé par le rançongiciel Ragnar Locker, avec des données internes et personnelles dérobées. Cette fois, ce ne sont pas les serveurs du studio qui trinquent, c’est le fichier des joueurs.
Le vrai risque : les faux mails Capcom
Une adresse e-mail seule ne vide pas un compte. Accolée à la date de la dernière connexion et au nom d’un éditeur connu, elle fait en revanche un excellent appât. Capcom le dit lui-même : les informations pourraient servir à des messages, SMS ou appels qui se font passer pour l’éditeur ou ses partenaires. Consigne officielle, ne cliquer sur aucun lien et n’ouvrir aucune pièce jointe d’un message suspect. Les personnes touchées seront contactées individuellement.
Côté joueur, le réflexe est simple : changer le mot de passe de son CAPCOM ID, surtout s’il sert ailleurs, et se méfier d’un mail « Capcom » qui réclame une vérification urgente ou promet un cadeau. Un mail qui tombe pile après une fuite, c’est rarement un hasard.
