Capcom-Datenleck legt 11,7 Millionen E-Mail-Adressen von Spielern offen

Capcom hat bestätigt, dass ein Angreifer Kundendaten aus Capcom ID abgegriffen hat – dem Konto, mit dem sich Spieler bei den Webdiensten des Unternehmens anmelden und einige seiner Spiele online spielen. Betroffen sind mehr als elf Millionen E-Mail-Adressen. Zu jeder davon wurden auch das Datum der Kontoerstellung, der Zeitpunkt der letzten Anmeldung, die Anzahl der Anmeldungen sowie die IP-Adresse gespeichert, die beim letzten Login verwendet wurde. Gerade diese Kombination macht die Daten für Kriminelle wertvoll: Wer die E-Mail-Adresse kennt, weiß, dass die betreffende Person Capcom-Spiele spielt, und kann ungefähr nachvollziehen, von wo aus sie sich zuletzt angemeldet hat. So lässt sich eine täuschend echte gefälschte Support-Mail verfassen.

Wer ein Konto angelegt hat, um das neueste Street Fighter online zu spielen oder eine Capcom-Website zu nutzen, muss vor allem mit einer Welle von Phishing-Angriffen rechnen – nicht damit, dass das Bankkonto leergeräumt wird. Der Publisher von Resident Evil, Monster Hunter und Mega Man erklärt, dass keine Kreditkartendaten zu den betroffenen Informationen gehörten. Auch einen Abfluss der von den Kunden selbst gewählten Passwörter hat das Unternehmen nicht bestätigt. Seine Warnung ist unmissverständlich: Wer eine Nachricht erhält, die angeblich von Capcom oder einem verbundenen Unternehmen stammt, sollte weder auf Links klicken noch Anhänge öffnen.

In Capcoms Mitteilung ist von weltweit genau 11.774.247 Datensätzen die Rede. Eine deutlich kleinere Gruppe war stärker betroffen. Bei 43 Konten umfassten die offengelegten Daten zusätzlich Geburtsdatum, Geschlecht, Land oder Region und Nickname. Bei 196 Konten änderten die Angreifer ohne Erlaubnis das Login-Passwort – BleepingComputer wertete das als Versuch, die Kontoinhaber auszusperren. Capcom zufolge wurden diese Passwörter zurückgesetzt; alle mit Capcom ID verknüpften Dienste, einschließlich der Spiele, laufen weiterhin.

Die wichtigsten Fragen lässt die Mitteilung offen. Capcom erklärt, die Angriffsmethode identifiziert und beseitigt zu haben, beschreibt sie aber nicht. Auch ist unklar, wie lange der Eindringling Zugriff hatte, bevor die Aktivitäten auffielen. Die Passwortänderungen passen zudem nur schwer zu der Entwarnung in Sachen Passwörter: Wer die Zugangsdaten für diese 196 Konten zurücksetzen konnte, hatte offenbar einen Weg in die Kontoverwaltung – selbst wenn die ursprünglichen Passwörter nicht einsehbar waren. Laut Help Net Security hat sich keine Gruppe zu dem Angriff bekannt. Capcom zufolge dauern die Ermittlungen zum gesamten Ausmaß des Vorfalls noch an.

Spieler müssen ihre E-Mail-Adresse nicht aufgeben: Capcom zufolge können registrierte Adressen weiterhin verwendet werden. Die sinnvollen Maßnahmen sind die üblichen, doch durch dieses Datenleck werden sie dringlicher. Ändern Sie das Passwort für Capcom ID, falls Sie es auch anderswo verwenden. Behandeln Sie jede Nachricht als verdächtig, die auf Ihren Kontoverlauf, eine kürzlich erfolgte Anmeldung oder ein Sicherheitsproblem mit Ihrem Profil Bezug nimmt – genau solche Informationen sind durchgesickert. Rufen Sie die Support-Seiten von Capcom direkt auf, statt einem Link in einer E-Mail zu folgen.

Capcom erklärt, die verdächtigen Aktivitäten am 19. Oktober erkannt und noch am selben Tag blockiert zu haben. Am 20. Oktober richtete das Unternehmen eine interne Einsatzleitung für den Vorfall ein; am 21. Oktober meldete es den Datendiebstahl der Polizei der Präfektur Osaka und der Personal Information Protection Commission Japans. Seine Entschuldigung veröffentlichte Capcom am 22. Oktober. Das Unternehmen will die betroffenen Kunden nach und nach kontaktieren, wie BleepingComputer berichtet, und hat spezielle Support-Kanäle eingerichtet: eine gebührenfreie Telefonnummer in Japan, Online-Anfrageformulare für Nord- und Südamerika sowie für Europa, den Nahen Osten und Afrika und eine E-Mail-Adresse für Asien und Ozeanien.

Für Capcom ist das Ausmaß neu. Beim letzten größeren Vorfall, einem Ransomware-Angriff der Gruppe Ragnar Locker im November 2020, wurde das interne Netzwerk des Unternehmens attackiert. Nach Angaben von Capcom könnten bis zu 390.000 Menschen betroffen gewesen sein. Später machte das Unternehmen ein veraltetes VPN-Gerät als Einfallstor aus. Damals richtete sich der Angriff gegen die internen Systeme des Unternehmens. Diesmal traf es das Konto, über das sich Millionen Spieler anmelden.

Schlagwörter: Videospiele, Cybersicherheit, Kali Reis, Street Fighter, Cody Rhodes, David Dastmalchian, Datenleck, Callina Liang, Capcom, phishing