Capcom-læk rammer over 11,7 millioner kontoposter – webshopdata også berørt

Capcom har fundet yderligere konsekvenser af datalækket i spilselskabets kontotjeneste CAPCOM ID. I en opdatering fredag bekræfter selskabet, at en uvedkommende også fik adgang til 19 kunders kontosider i den japanske webshop e-Capcom. Her var blandt andet navne, adresser og købshistorik berørt.

De 19 konti er en del af den tidligere oplyste gruppe på 196 konti, hvor adgangskoden blev ændret uden tilladelse. Opdateringen kommer efter afsløringen af et langt større læk af mailadresser og kontodata: 11.774.247 kontoposter på verdensplan.

Milliontallet dækker ikke de samme oplysninger om alle

Den største gruppe omfatter mailadresser og oplysninger om selve brugen af CAPCOM ID. Det er blandt andet tidspunktet for oprettelse, seneste login, antallet af login og den IP-adresse, som blev brugt ved seneste login.

For 43 af kontoposterne var også fødselsdato, køn, land eller region og kaldenavn berørt. Det fremgik af Capcoms første meddelelse fra 22. oktober.

Det er derfor vigtigt at skelne mellem den brede samling af mail- og kontodata og de mindre grupper med yderligere oplysninger. Milliontallet er et antal berørte poster i tjenesten, ikke en dokumentation for, at lige så mange personer har mistet deres adresser, fødselsdatoer eller købshistorik.

Webshopadgangen ramte 19 konti i Japan

Ud over navn og adresse omfatter listen blandt andet telefonnummer, fødselsdato, køn, gemte adressebogsoplysninger, tidligere køb og kundernes henvendelser til webshoppen. Betalingskortoplysninger er ifølge selskabet ikke blandt de berørte data.

For resten af gruppen på 196 konti fandt Capcom ikke yderligere kompromitterede oplysninger som følge af de ændrede adgangskoder. Det er en afgrænsning af denne del af hændelsen; det ændrer ikke på det oprindelige læk af mailadresser og kontodata.

Hvorfor danske spillere bør være opmærksomme

CAPCOM ID er en fælles konto til virksomhedens webtjenester og onlinefunktioner i visse spil. Den kan blandt andet knyttes til konti på spilleplatforme. En spiller kan derfor have oprettet den som led i brugen af et spil og ikke tænke på den som en selvstændig tjeneste til daglig.

De offentliggjorte oplysninger angiver ikke et antal berørte danske konti. Oplysningen om de 19 japanske webshopkunder kan heller ikke bruges til at konkludere, at danske spillere er uden for det globale læk.

Capcom har ikke bekræftet læk af de adgangskoder, som kunderne selv valgte. Selskabet har derimod bekræftet, at adgangskoder på 196 konti blev ændret, og at disse efterfølgende er nulstillet. De to oplysninger beskriver forskellige ting: hvad der blev hentet ud, og hvad en uvedkommende ændrede.

En advarsel om lækket kan selv blive lokkemad

Sikkerhedsfirmaet Malwarebytes fremhæver risikoen for, at de lækkede oplysninger bruges til mere overbevisende falske beskeder. En mail, der nævner Capcom eller hævder at kræve en hurtig sikring af kontoen, bør derfor ikke automatisk opfattes som ægte.

Malwarebytes anbefaler at åbne browseren og selv gå til CAPCOM ID frem for at følge et link i en uventet besked. Capcom advarer også mod at åbne links og vedhæftede filer i mistænkelige henvendelser.

Fra den officielle kontoside kan brugeren kontrollere oplysninger og tilknyttede spilleplatforme. Kan man ikke logge ind, beskriver Capcoms support en funktion til at nulstille en glemt adgangskode. Tjenesten understøtter også totrinsbekræftelse med en kode fra en godkendelsesapp på telefon eller tablet.

Ifølge Capcoms vejledning sættes funktionen op fra kontosiden. Derefter er adgangskoden alene ikke nok til at logge ind; der kræves også en kode fra appen. Det giver en ekstra beskyttelse af adgangen til kontoen, men trækker ikke data tilbage, som allerede er blevet kopieret under et læk.

Undersøgelsen er afsluttet, overvågningen fortsætter

Capcom oplyser i fredagens opdatering, at undersøgelsen af hændelsens omfang er afsluttet. Selskabet vil fortsat overvåge CAPCOM ID og relaterede tjenester og kontakte de berørte kunder. Spil og tjenester med CAPCOM ID er fortsat tilgængelige.

For spillere er det konkrete resultat, at en stor mængde mail- og kontodata er kompromitteret, mens de mest omfattende nye oplysninger gælder en lille japansk kundegruppe. At adgangskoder er nulstillet, fjerner ikke risikoen for efterfølgende svindelhenvendelser til de lækkede mailadresser.