Útočník se dostal k 11,77 milionu e-mailových adres ze služby Capcom ID
Japonský vydavatel her Capcom 22. října oznámil, že k údajům ze služby Capcom ID neoprávněně přistoupil někdo cizí. Kromě 11,77 milionu e-mailových adres jde o časy a počty přihlášení a poslední IP adresu, u 196 účtů útočník změnil heslo. Firma varuje před podvodnými zprávami, které se budou vydávat za ni.
Japonský vydavatel her Capcom 22. října oznámil, že se k zákaznickým údajům ze služby Capcom ID neoprávněně dostal někdo cizí. Je to společný účet pro webové služby firmy a některé její hry ho vyžadují pro hraní online. Server GamesIndustry.biz mezi nimi jmenuje Street Fighter 6 a série Monster Hunter a Resident Evil.
Zasažených záznamů je 11 774 247 z celého světa. Únik hesel, která si zákazníci sami nastavili, firma nezjistila a platební karty v datech nebyly. Hry i služby navázané na Capcom ID běží dál.
Unikly hlavně e-maily a stopy po přihlašování
Největší část úniku tvoří e-mailové adresy. Ke každé patří údaje, které Capcom nazývá systémovými identifikátory: datum a čas založení účtu, datum a čas posledního přihlášení, počet přihlášení a IP adresa, ze které se majitel přihlásil naposledy. Citlivější údaje se týkají jen zlomku účtů. Rozpis podle obou oznámení firmy:
| Údaje | Záznamů | Rozsah |
|---|---|---|
| e-mailová adresa, založení účtu, poslední přihlášení, počet přihlášení, IP adresa posledního přihlášení | 11 774 247 | celý svět |
| datum narození, pohlaví, země nebo region, přezdívka | 43 | z účtů v prvním řádku |
| heslo změněné útočníkem | 196 | z účtů v prvním řádku |
| jméno i ve fonetickém přepisu, telefon, adresa s PSČ, pohlaví, datum narození, historie nákupů a dotazů na podporu, uložený adresář | 19 | Japonsko, e-shop e-Capcom |
Poslední řádek přidal Capcom až v aktualizaci z 23. října. U 19 ze 196 účtů se změněným heslem se útočník dostal i na stránky účtu v e-Capcomu, internetovém obchodě, který firma provozuje v Japonsku. U zbylých účtů se změněným heslem Capcom další uniklá data nenašel. Jak útočník hesla změnil a proč zrovna u těchto účtů, firma neuvádí.
Průnik firma zjistila 19. října a oznámila o tři dny později
Podezřelou aktivitu zachytil Capcom 19. října. Přístup začal hned blokovat a ještě týž den potvrdil, že k neoprávněnému přístupu došlo. Druhý den zřídil krizový štáb, potvrdil únik zákaznických údajů i změněná hesla a věc ohlásil svému vnějšímu poradnímu výboru pro bezpečnost IT. 21. října incident nahlásil policii prefektury Ósaka a japonské Komisi pro ochranu osobních údajů.
Firma píše, že způsob útoku zjistila a ošetřila. Kudy se útočník dovnitř dostal, ale neprozradila, a BleepingComputer upozorňuje, že není jasné ani to, kdy k průniku došlo. Šetření rozsahu je podle aktualizace z 23. října uzavřené. Zasažené zákazníky Capcom podle obou oznámení teprve obešle.
Capcom o změnu hesla nežádá, druhý faktor ale nabízí
Zákazníky Capcom ve svých oznámeních nežádá o novou volbu hesla ani o zapnutí dalšího ověření. Zaregistrovaný e-mail mohou podle firmy používat dál. Varuje ale, že uniklé údaje může někdo zneužít k podvodným e-mailům, zprávám nebo telefonátům, které se budou vydávat za Capcom nebo za firmy s ním spojené. Odkazy a přílohy v podezřelých zprávách doporučuje neotevírat.
Podle nás mají uniklá data pro podvodníka jednu cenu navíc. Ví, že adresa patří ke skutečnému účtu, a zná i den, kdy se majitel naposledy přihlásil. Výzva k „ověření účtu“ s takovým údajem působí věrohodněji než obecný spam.
Účet jde zabezpečit dvoufázovým ověřením. Podle nápovědy Capcom ID se zapíná na stránce účtu a potřebuje telefon nebo tablet s aplikací na jednorázové kódy; Capcom doporučuje Google Authenticator nebo Microsoft Authenticator. Pozor při výměně telefonu: ověření je potřeba na starém přístroji nejdřív zrušit a na novém nastavit znovu, jinak se na novém zařízení majitel nepřihlásí.
Zákazníkům z Evropy, Blízkého východu a Afriky slouží k dotazům na únik formulář podpory Capcom Europe a adresa feedback@capcom.com. Služba Have I Been Pwned, ve které si lidé ověřují, jestli se jejich adresa objevila v nějakém úniku, Capcom k 29. říjnu večer nevedla.
V roce 2020 šlo o útok vyděračů
Capcom už jednou únik dat řešil. V listopadu 2020 ho zasáhl útok, ke kterému se přihlásila vyděračská skupina Ragnar Locker a tvrdila, že odnesla 1 TB dat. Firma tehdy varovala, že se to může týkat až 390 000 lidí, a v dubnu 2021 přiznala, že útočníci vnikli přes staré zařízení VPN. GamesIndustry.biz uvádí, že útok tehdy zasáhl data 16 415 lidí.
Zdroje
- Capcom: Notice and Apology Regarding Customer Information Affected Through Unauthorized Access (22. 10. 2026)
- Capcom: Update to Notice and Apology Regarding Customer Information Affected Through Unauthorized Access (23. 10. 2026)
- Capcom ID: nápověda k účtu a dvoufázovému ověření
- BleepingComputer: Capcom confirms data breach affecting 11.7 million accounts (22. 10. 2026)
- GamesIndustry.biz: Capcom affected by data breach, over 11.7m Capcom ID accounts compromised (23. 10. 2026)
- Have I Been Pwned: seznam evidovaných úniků
