Si vous jouez en ligne à Street Fighter 6, ou si vous avez lié un compte à Monster Hunter Wilds pour toucher un bonus, vous avez un Capcom ID. Mauvaise nouvelle, l'éditeur japonais a confirmé qu'un intrus a pu consulter les données de millions de joueurs, adresses email comprises. Pas de carte bancaire dans le lot, visiblement, mais largement de quoi monter des campagnes de phishing très crédibles.
Mais qu'est-ce qui a fuité en vrai ?
Capcom a repéré une activité suspecte sur ses serveurs le 19 octobre et a coupé l'accès dans la journée, avant de prévenir la police d'Osaka et la commission japonaise de protection des données le 21, puis de publier un avis officiel le lendemain. L'intrus a tout de même eu le temps de consulter 11 774 247 comptes Capcom ID, avec pour chacun l'adresse email, la date de création du compte, la date de dernière connexion, le nombre de connexions et la dernière adresse IP utilisée. Quarante-trois joueurs ont eu encore moins de chance et ont aussi vu partir leur date de naissance, leur genre, leur pays et leur pseudo.
Des mots de passe modifiés
Capcom jure que les mots de passe d'origine n'ont pas fuité et qu'aucune donnée bancaire ne fait partie des informations touchées. Sauf que l'intrus a quand même réussi à modifier le mot de passe de 196 comptes, et l'éditeur n'explique pas comment une telle manipulation a été possible. Ces 196 profils ont depuis récupéré un mot de passe tout neuf. Reste que le pirate n'a visiblement pas fait que lire des données, il a aussi pu en changer.
Et maintenant, les faux emails
Une adresse email reliée à un compte de jeu actif, c'est exactement la matière première dont un escroc a besoin pour fabriquer une fausse alerte de sécurité aux couleurs de Capcom. Vous recevez un message pressant, le lien mène vers une copie du site, et vos identifiants filent chez les pirates. Capcom conseille de ne pas ouvrir les liens ni les pièces jointes des emails suspects. En cas de doute, tapez vous-même l'adresse du site officiel plutôt que de suivre un lien, profitez-en pour activer la double authentification, et changez votre mot de passe partout où vous l'avez recyclé. Petit problème supplémentaire, l'éditeur prévient les personnes concernées au fur et à mesure, et les fausses notifications vont forcément se mélanger aux vraies, il faudra faire le tri.
On en dit quoi ?
Trois jours entre la détection et l'annonce publique, c'est une réactivité qu'on aimerait voir plus souvent, et Capcom n'a pas cherché à minimiser les chiffres. Mais l'éditeur s'était déjà fait rançonner en novembre 2020, et six ans plus tard un inconnu se promène encore dans ses serveurs, avec cette fois des mots de passe modifiés. Méfiez-vous de tout ce qui ressemblera à un email Capcom ces prochaines semaines, les arnaqueurs ont maintenant tout ce qu'il faut pour être convaincants.
