Le piratage de Capcom, l'éditeur de Resident Evil, expose 11,7 millions d'adresses e-mail

Le 19 octobre, des traces suspectes apparaissent sur CAPCOM ID, le compte unique que l'éditeur japonais de Resident Evil et Monster Hunter propose pour ses services web et certains de ses jeux en ligne. Capcom bloque l'accès le jour même et confirme une intrusion. Le lendemain, il constate que des données de clients sont sorties de l'entreprise. Le 22 octobre, il rend l'affaire publique : 11 774 247 comptes sont concernés dans le monde.

Pour la quasi-totalité d'entre eux, la fuite porte sur l'adresse e-mail et des informations techniques : date de création du compte, date et nombre de connexions, adresse IP de la dernière connexion. Pour 43 comptes s'y ajoutent la date de naissance, le genre, le pays et le pseudonyme. Capcom assure que les cartes bancaires ne sont pas concernées et qu'il n'a trouvé aucune trace de fuite des mots de passe.

196 joueurs privés de leur compte

Un détail montre que les intrus ne se sont pas contentés de lire. Pour 196 comptes, ils ont changé le mot de passe, ce qui a empêché leurs propriétaires de se connecter. Capcom les a réinitialisés. L'éditeur n'a pas dit comment les pirates sont entrés. Selon BleepingComputer, il affirme avoir identifié la méthode et renforcé ses défenses. Les auteurs n'ont pas été identifiés publiquement. Le 21 octobre, Capcom a prévenu la police et la commission japonaise de protection des données personnelles.

L'éditeur a déjà été attaqué. En novembre 2020, le rançongiciel Ragnar Locker l'avait frappé. Comme Capcom l'avait expliqué en avril 2021, les pirates étaient alors entrés par un ancien boîtier VPN, rappelle BleepingComputer.

Le vrai risque : des e-mails trop crédibles

Une adresse e-mail, la date de la dernière connexion et l'adresse IP utilisée : c'est assez pour rédiger une fausse alerte de sécurité « Capcom » convaincante. L'éditeur prévient lui-même que des messages suspects pourraient se faire passer pour lui ou pour des sociétés liées. Quelques réflexes :

• n'ouvrez ni lien ni pièce jointe d'un message inattendu qui se réclame de Capcom ; pour vous connecter, tapez vous-même l'adresse du service ;
• si vous ne parvenez plus à vous connecter, vous faites peut-être partie des 196 comptes réinitialisés : passez par le support client de Capcom Europe (ou de Capcom USA depuis les Amériques) ;
• votre adresse e-mail enregistrée reste utilisable, précise Capcom ;
• par simple précaution, si vous utilisiez ce mot de passe ailleurs, changez-le là-bas aussi.

Vu le nombre de comptes, Capcom écrira aux joueurs concernés par vagues successives. L'enquête se poursuit, et l'éditeur promet de publier sur son site tout fait nouveau confirmé. La question principale reste ouverte : par où les pirates sont-ils passés ?