Japonský herný vydavateľ Capcom, ktorý stojí za legendárnymi sériami Resident Evil a Street Fighter, priznal útok na svoju službu CAPCOM ID. Útočníci z nej získali takmer 11,8 milióna e-mailových adries. Pri malej časti používateľov sa dostali aj k ďalším údajom alebo im zmenili heslo. Firma upozorňuje hráčov na podvodné e-maily.
CAPCOM ID je bezplatný účet, cez ktorý sa hráči prihlasujú do hier a online služieb od Capcomu. Používa ho viac ako 10 miliónov ľudí. Firma na svojej japonskej stránke tento týždeň oznámila, že sa do služby dostal niekto cudzí a časť údajov o zákazníkoch unikla von. Za vzniknuté problémy a obavy sa zákazníkom ospravedlnila. Podozrivé stopy po neoprávnenom prístupe Capcom objavil 19. októbra a prístup hneď zablokoval. Na druhý deň zostavil interný tím, ktorý sa útokom zaoberá. Ďalší deň, 21. októbra, incident nahlásil polícii v prefektúre Osaka a ďalším úradom. Služba CAPCOM ID je údajne zabezpečená a funguje ďalej. Pokiaľ ide o hranie hier, na to vraj útok nemá žiadny vplyv.
Čo uniklo
Najväčšiu časť úniku tvoria e-mailové adresy. Útočníci ich získali presne 11 774 247. Ku každej z nich mali aj technické údaje o účte, teda kedy bol účet vytvorený, kedy sa naň používateľ naposledy prihlásil, koľkokrát sa prihlásil celkovo a z akej IP adresy sa prihlásil naposledy. Capcom uviedol len celkový počet za celý svet. Koľko dotknutých účtov je v jednotlivých krajinách, neprezradil. Pri 43 používateľoch útočníci získali ešte viac údajov. K e-mailu mali aj dátum narodenia, pohlavie, prezývku a krajinu alebo región. Ďalším 196 používateľom útočníci zmenili heslo, aby sa do svojich účtov nemohli prihlásiť. Samotné heslá podľa Capcomu neunikli. Firma zmenené heslá zresetovala a účty vrátila skutočným majiteľom. Údaje o platobných kartách vraj nie sú súčasťou úniku.
Zatiaľ nie je jasné, kto stojí za útokom
Capcom nezverejnil, kto za útokom stojí ani ako sa útočníci dostali do systému. Nie je jasné ani to, či ukradli prihlasovacie údaje niektorému zamestnancovi, napríklad cez podvodný e-mail, alebo či využili chybu v softvéri. A nevieme ani to, či od firmy žiadali výkupné za zmazanie údajov. K útoku sa zatiaľ nikto neprihlásil a na dark webe sa neobjavili ani ukážky ukradnutých dát.
TechRadar v tejto súvislosti spomína aj chybu PHP2Shell, ktorú v týchto dňoch narýchlo opravujú správcovia webov po celom svete. Ide o dve kritické chyby v programovacom jazyku PHP s označením CVE-2026-109618 a CVE-2026-109619. Obe majú hodnotenie závažnosti 9,2 z 10. Ich podrobnosti unikli ešte pred plánovaným zverejnením, pričom útočníkom by mohli umožniť prevziať kontrolu nad zraniteľným serverom. PHP vydal opravy 21. októbra. Amazon však podľa SecurityWeek zaznamenal pokusy o zneužitie už štyri dni predtým. Či s ňou súvisí aj útok na Capcom, však nie je známe. Capcom objavil útok dva dni pred vydaním opráv, ani to však nič nedokazuje.
Capcom už raz útočníkom podľahol
Pre Capcom to pritom nie je prvý vážny incident. Ešte v novembri 2020 firmu napadla skupina Ragnar Locker, ktorá šíri ransomvér, teda škodlivý program, ktorý zašifruje dáta a za ich odomknutie žiada výkupné. Útočníci tvrdili, že ukradli terabajt dát, a žiadali 11 miliónov dolárov v bitcoinoch. Capcom spočiatku uvádzal, že nemá žiadne náznaky úniku údajov o zákazníkoch. Ragnar Locker však zverejnil ukážky ukradnutých dát a firma neskôr únik predsa len priznala. V januári 2021 Capcom odhadoval, že útok mohol zasiahnuť až približne 390-tisíc ľudí. Pri vyšetrovaní sa tento počet postupne spresňoval. V apríli 2021 firma oznámila, že potvrdený únik sa týkal 15 649 ľudí. Vtedy tiež vysvetlila, ako sa útočníci dostali dnu. Využili staré záložné VPN zariadenie americkej pobočky v Kalifornii. Pobočka už mala nové zariadenia, staré si však nechala ako núdzovú zálohu počas pandémie.
Najnovší únik je však oveľa väčší. Týka sa takmer 11,8 milióna adries, teda zhruba 30-krát viac ľudí ako najhorší odhad z roku 2020. Na druhej strane, pri drvivej väčšine účtov ide len o e-mail a technické údaje, nie o mená, adresy či čísla pasov, teda tie najcitlivejšie údaje.
Finančne je na tom Capcom dobre
Pre Capcom je to rozhodne nepríjemnosť, no útechou mu môžu byť hospodárske výsledky, keďže tie sú veľmi slušné. Vo fiškálnom roku, ktorý sa skončil 31. marca, mal tržby 195,4 miliardy jenov (1,11 miliardy eur), o 15,2 percenta viac ako rok predtým. Prevádzkový zisk dosiahol 75,3 miliardy jenov (428 miliónov eur). Firma predala 59,07 milióna kusov hier, o vyše 7 miliónov viac ako v predchádzajúcom roku. Rekordný zisk vykázala už deviaty rok za sebou. Najlepšie išla nová hra Resident Evil Requiem, ktorej sa za prvé dva mesiace predalo 6,91 milióna kusov. Capcom zamestnáva po celom svete takmer 4 000 ľudí.
Treba niečo spraviť?
Samotná e-mailová adresa na vážny útok veľmi nestačí. Útočníkom však poslúži ako dobrý začiatok. K adrese poznajú aj to, že ste hráčom hier od Capcomu, a vedia, kedy ste sa naposledy prihlásili. Môžu vám tak poslať podvodnú správu, ktorá môže vyzerať veľmi dôveryhodne. Takéto správy často vedú k infikovaniu počítača škodlivým softvérom alebo ku krádeži prihlasovacích údajov.
Ak teda máte CAPCOM ID, buďte najbližšie týždne pri e-mailoch opatrní, najmä pri tých, ktoré sa odvolávajú na Capcom alebo jeho hry. Najlepšie bude neklikať na odkazy v podozrivých správach a neotvárať ich prílohy. Pozor dávajte aj na e-maily, ktoré sa vydávajú za Capcom alebo spriaznené firmy. Heslá síce podľa Capcomu neunikli, no napriek tomu sa oplatí si ho zmeniť. Platí to najmä vtedy, ak rovnaké heslo používate aj inde. Ak služba ponúka dvojstupňové overenie, zapnite si ho. Útočník sa potom do účtu nedostane, ani keď heslo pozná.
