Une faille de données signalée chez Capcom impliquant des comptes CAPCOM ID a mis 11,77 millions d'enregistrements sous les projecteurs. Si vous vous êtes déjà connecté à un service Capcom, que ce soit pour acheter un jeu, participer à une bêta ou gérer un profil, cela vaut la peine de prendre quelques minutes pour vérifier votre compte et renforcer sa sécurité. Cet article couvre ce qui a été rapporté, comment vérifier votre exposition et pourquoi un VPN ne vous aidera pas face à ce type d'incident.
Une note sur les sources : les détails ci-dessous proviennent de rapports secondaires, et certains chiffres diffèrent légèrement selon les médias (11,77 millions contre 11,7 millions, par exemple). Considérez les chiffres tels qu'ils ont été rapportés et vérifiez-les par rapport à la déclaration officielle de Capcom.
Ce que la faille Capcom aurait exposé
Selon la couverture disponible à ce jour, Capcom a divulgué un accès non autorisé par un tiers à des enregistrements liés à CAPCOM ID, le système de comptes utilisé dans les jeux et services de l'entreprise. Le total rapporté est de 11 774 247 comptes.
Les données exposées sont décrites comme des adresses e-mail et des enregistrements liés à la connexion (parfois appelés métadonnées de connexion). Un rapport indique également que les mots de passe ont été modifiés sur 196 des comptes, ce qui suggérerait que le tiers a fait plus que simplement consulter les données dans ces cas. Nous n'avons pas vérifié ce détail de manière indépendante, alors recherchez une confirmation dans l'avis de Capcom lui-même.
Ce qui n'a pas été établi dans les documents que nous avons examinés est tout aussi important. Nous n'avons pas de détails confirmés sur la manière dont l'accès s'est produit, combien de temps il a duré, ou si des informations de paiement étaient impliquées. Jusqu'à ce que Capcom en dise davantage, évitez de supposer le meilleur ou le pire des cas.
Ce n'est pas non plus la première fois que Capcom fait les gros titres en matière de sécurité. Une couverture plus ancienne décrit une attaque de novembre 2020 contre l'entreprise qui aurait touché environ 350 000 personnes. Il s'agit d'un événement distinct, et il convient de garder les deux séparés lorsque vous recherchez des informations.
Comment vérifier si votre CAPCOM ID a été affecté
Étant donné que cette faille s'est produite du côté de l'entreprise, vous ne pouvez pas voir directement depuis votre propre appareil si vous étiez inclus. Voici des moyens pratiques de le savoir :
- Recherchez un e-mail de Capcom. Les entreprises notifient généralement les utilisateurs concernés. Ne cliquez pas sur les liens d'un message que vous n'attendiez pas. Au lieu de cela, rendez-vous directement sur le site de Capcom en tapant l'adresse vous-même.
- Lisez la déclaration officielle de Capcom. C'est la source faisant autorité pour savoir ce qui a été exposé et ce que l'entreprise recommande.
- Vérifiez l'activité de votre compte. Examinez votre CAPCOM ID pour des connexions inhabituelles, des détails modifiés ou un mot de passe qui ne fonctionne plus. Un mot de passe qui échoue soudainement est un signal d'alarme particulier compte tenu des changements de mots de passe signalés.
- Utilisez un service de notification de fuites. Des outils réputés vous permettent de saisir une adresse e-mail et de voir si elle apparaît dans des ensembles de données de fuites connus. Les nouveaux incidents peuvent prendre du temps à apparaître, donc un résultat propre n'est pas une garantie.
- Fouillez votre boîte de réception. Recherchez l'adresse e-mail que vous avez utilisée pour Capcom et vérifiez si vous avez reçu récemment d'étranges demandes de réinitialisation de mot de passe ou des tentatives d'hameçonnage.
Attendez-vous à de l'hameçonnage. Les adresses e-mail sont exactement ce dont les escrocs ont besoin pour envoyer des messages convaincants qui prétendent venir de Capcom, Steam ou d'une boutique de jeux. Soyez sceptique face à tout message urgent qui vous demande de vous connecter ou de confirmer des détails.
Sécuriser votre compte : 2FA, mots de passe uniques et gestionnaire de mots de passe
Même si vous n'êtes pas sûr d'avoir été affecté, quelques étapes valent la peine d'être prises dès maintenant.
Changez votre mot de passe. Choisissez un nouveau mot de passe long et unique pour votre CAPCOM ID. Si vous avez réutilisé ce mot de passe ailleurs, changez-le également sur ces comptes. La réutilisation est ce qui transforme la faille d'une entreprise en un problème sur plusieurs de vos comptes, un thème que nous avons observé dans d'autres incidents tels que la fuite de données Rakuten Drive.
Activez l'authentification à deux facteurs (2FA). Si Capcom la propose pour votre compte, activez-la. Une application d'authentification ou une clé de sécurité matérielle est généralement plus robuste que les codes SMS. Avec la 2FA activée, un mot de passe volé seul est bien moins utile pour un attaquant.
Utilisez un gestionnaire de mots de passe. Un gestionnaire de mots de passe génère et stocke des mots de passe uniques pour que vous n'ayez pas à les mémoriser. Il facilite également la détection des identifiants réutilisés, et beaucoup peuvent vous avertir des fuites connues.
Examinez les comptes liés. Vérifiez quelles plateformes et adresses e-mail sont connectées à votre CAPCOM ID, et supprimez tout ce que vous n'utilisez plus.
Sécurisez aussi votre e-mail. Votre compte e-mail est la clé pour réinitialiser tout le reste. Assurez-vous qu'il dispose d'un mot de passe fort et unique et que la 2FA est activée.
Pourquoi un VPN ne protège pas contre les failles au niveau des comptes
Il est courant de supposer qu'un VPN est un outil de confidentialité universel, mais il ne répond pas à cette situation. Un VPN chiffre la connexion entre votre appareil et le serveur VPN et masque votre adresse IP aux sites que vous visitez. C'est utile sur le Wi-Fi public et pour limiter certains traçages.
Il ne fait rien contre les données qu'une entreprise détient déjà sur ses propres serveurs. Dans ce cas, l'exposition signalée s'est produite au niveau du service, où un tiers a obtenu un accès non autorisé à des enregistrements de comptes stockés. Votre méthode de connexion n'avait aucune incidence sur la présence ou non de votre adresse e-mail dans cette base de données, et un VPN ne peut pas la retirer après coup.
Ce n'est pas un argument contre les VPN, seulement un rappel de leur utilité. La même logique s'applique aux cas où le point faible se trouvait du côté de l'organisation, comme la faille de Plaza Home Mortgage, où un seul ordinateur compromis a suffi à déclencher une enquête.
Ce que cela signifie pour vous
Si vous avez un CAPCOM ID, partez du principe que votre adresse e-mail peut être entre les mains de personnes qui ne devraient pas l'avoir, et préparez-vous à l'hameçonnage. Le risque que des attaquants devinent ou réutilisent votre mot de passe est plus faible si vous agissez maintenant. Si votre mot de passe a été réutilisé ailleurs, c'est la correction la plus urgente.
Il est également utile de savoir comment la divulgation fonctionne. Les entreprises confirment souvent les incidents par étapes, et le calendrier peut varier considérablement, comme l'illustre la couverture de la fuite de données de Station Casinos avec son délai de notification de 77 jours. Les détails concernant l'exposition des CAPCOM ID dans la faille de données Capcom peuvent changer à mesure que l'entreprise en dit plus.
Points clés à retenir
- Vérifiez les détails de la faille par rapport à la déclaration officielle de Capcom avant d'agir sur des résumés tiers.
- Changez votre mot de passe CAPCOM ID, et changez-le partout ailleurs où vous l'avez réutilisé.
- Activez la 2FA sur votre CAPCOM ID, votre e-mail et tout compte de jeu lié.
- Stockez des mots de passe uniques dans un gestionnaire de mots de passe.
- Traitez les e-mails inattendus concernant Capcom comme suspects, et rendez-vous directement sur les sites officiels au lieu de cliquer sur des liens.
- Ne comptez pas sur un VPN pour ce type de risque ; ce sont les bonnes habitudes de sécurité des comptes qui comptent ici.
Les rapports sur la faille de données Capcom et l'exposition des CAPCOM ID sont un rappel utile pour faire une hygiène de base des comptes qui portera ses fruits bien après que cette histoire particulière se sera estompée.
