Una presunta violazione dei dati di Capcom che coinvolge gli account CAPCOM ID ha portato 11,77 milioni di record sotto i riflettori. Se ti sei mai autenticato a un servizio Capcom, che sia per acquistare un gioco, partecipare a una beta o gestire un profilo, vale la pena dedicare qualche minuto a controllare il tuo account e rafforzarne la sicurezza. Questo articolo illustra quanto è stato riportato, come verificare la tua esposizione e perché una VPN non aiuta in questo tipo di incidente.

Una nota sulle fonti: i dettagli seguenti provengono da resoconti secondari, e alcune cifre differiscono leggermente tra le testate (11,77 milioni contro 11,7 milioni, ad esempio). Considera i numeri come riportati e verificali rispetto alla dichiarazione ufficiale di Capcom.

Cosa ha presumibilmente esposto la violazione di Capcom

Secondo la copertura disponibile finora, Capcom ha divulgato un accesso non autorizzato da parte di terzi a record legati a CAPCOM ID, il sistema di account utilizzato nei giochi e nei servizi dell'azienda. Il totale riportato è di 11.774.247 account.

I dati esposti sono descritti come indirizzi email e record relativi al login (talvolta chiamati metadati di login). Un resoconto afferma anche che le password sono state cambiate su 196 degli account, il che suggerirebbe che in quei casi il terzo abbia fatto più che semplicemente visualizzare i dati. Non abbiamo verificato autonomamente questo dettaglio, quindi cerca conferma nell'avviso ufficiale di Capcom.

Ciò che non è stato stabilito nel materiale che abbiamo esaminato è altrettanto importante. Non abbiamo dettagli confermati su come sia avvenuto l'accesso, quanto sia durato o se siano state coinvolte informazioni di pagamento. Finché Capcom non dirà di più, evita di dare per scontato lo scenario migliore o quello peggiore.

Non è nemmeno la prima volta che Capcom finisce nelle cronache per la sicurezza. Resoconti precedenti descrivono un attacco del novembre 2020 all'azienda che sarebbe stato riportato come avente coinvolto circa 350.000 persone. Si tratta di un evento separato, e vale la pena tenerli distinti quando cerchi informazioni.

Come verificare se il tuo CAPCOM ID è stato coinvolto

Poiché questa violazione è avvenuta dal lato dell'azienda, non puoi vedere direttamente dal tuo dispositivo se sei stato incluso. Ecco modi pratici per scoprirlo:

  • Cerca un'email da Capcom. Le aziende in genere notificano gli utenti coinvolti. Non cliccare sui link in messaggi che non ti aspettavi. Invece, vai direttamente al sito di Capcom digitando tu stesso l'indirizzo.
  • Leggi la dichiarazione ufficiale di Capcom. È la fonte autorevole su cosa è stato esposto e su cosa raccomanda l'azienda.
  • Controlla l'attività del tuo account. Esamina il tuo CAPCOM ID per accessi sconosciuti, dettagli modificati o una password che non funziona più. Una password che improvvisamente smette di funzionare è un campanello d'allarme particolare, dati i cambi di password riportati.
  • Usa un servizio di notifica delle violazioni. Strumenti affidabili ti permettono di inserire un indirizzo email e vedere se compare in set di dati di violazioni note. I nuovi incidenti possono impiegare del tempo per apparire, quindi un risultato pulito non è una garanzia.
  • Cerca nella tua casella di posta. Cerca l'indirizzo email che hai usato per Capcom e verifica se hai ricevuto ultimamente strane richieste di reimpostazione della password o tentativi di phishing.

Aspettati il phishing. Gli indirizzi email sono esattamente ciò di cui hanno bisogno i truffatori per inviare messaggi convincenti che fingono di provenire da Capcom, Steam o un negozio di giochi. Sii scettico verso qualsiasi cosa urgente che ti chieda di accedere o confermare dettagli.

Mettere in sicurezza il tuo account: 2FA, password uniche e un gestore di password

Anche se non sei sicuro di essere stato coinvolto, val la pena adottare alcune misure ora.

Cambia la tua password. Scegli una nuova password lunga e unica per il tuo CAPCOM ID. Se hai riutilizzato quella password altrove, cambiala anche su quegli account. Il riutilizzo è ciò che trasforma la violazione di un'azienda in un problema su molti dei tuoi account, un tema che abbiamo visto in altri incidenti come la violazione dei dati di Rakuten Drive.

Attiva l'autenticazione a due fattori (2FA). Se Capcom la offre per il tuo account, abilitala. Un'app di autenticazione o una chiave di sicurezza hardware è generalmente più forte dei codici SMS. Con la 2FA attiva, una password rubata da sola è molto meno utile per un attaccante.

Usa un gestore di password. Un gestore di password genera e memorizza password uniche così non devi ricordarle. Rende anche facile individuare credenziali riutilizzate, e molti possono avvisarti di violazioni note.

Esamina gli account collegati. Controlla quali piattaforme e indirizzi email sono connessi al tuo CAPCOM ID e rimuovi tutto ciò che non usi più.

Metti in sicurezza anche la tua email. Il tuo account email è la chiave per reimpostare tutto il resto. Assicurati che abbia una password forte e unica e la 2FA abilitata.

Perché una VPN non protegge dalle violazioni a livello di account

È comune presumere che una VPN sia uno strumento privacy universale, ma non affronta questa situazione. Una VPN crittografa la connessione tra il tuo dispositivo e il server VPN e maschera il tuo indirizzo IP dai siti che visiti. È utile su Wi-Fi pubblici e per limitare alcune forme di tracciamento.

Non fa nulla per i dati che un'azienda detiene già sui propri server. In questo caso, la presunta esposizione è avvenuta a livello di servizio, dove un terzo ha ottenuto accesso non autorizzato ai record degli account memorizzati. Il tuo metodo di connessione non ha avuto alcun ruolo nel determinare se il tuo indirizzo email fosse in quel database, e una VPN non può rimuoverlo in seguito.

Non è un argomento contro le VPN, solo un promemoria di a cosa servono. La stessa logica si applica ai casi in cui il punto debole era dal lato dell'organizzazione, come la violazione di Plaza Home Mortgage, dove un singolo computer compromesso è stato sufficiente a innescare un'indagine.

Cosa significa per te

Se hai un CAPCOM ID, presupponi che il tuo indirizzo email possa essere nelle mani di persone che non dovrebbero averlo, e preparati al phishing. Il rischio che gli attaccanti indovinino o riutilizzino la tua password è inferiore se agisci ora. Se la tua password è stata riutilizzata altrove, questa è la correzione più urgente.

Aiuta anche sapere come funziona la divulgazione. Le aziende spesso confermano gli incidenti per fasi, e i tempi possono variare ampiamente, come illustra la copertura della violazione dei dati di Station Casinos con il suo ritardo di notifica di 77 giorni. I dettagli sull'esposizione del CAPCOM ID nella violazione dei dati di Capcom potrebbero cambiare man mano che l'azienda condivide maggiori informazioni.

Punti di azione concreti

  1. Verifica i dettagli della violazione rispetto alla dichiarazione ufficiale di Capcom prima di agire sulla base di riassunti di terzi.
  2. Cambia la tua password CAPCOM ID e cambiala ovunque tu l'abbia riutilizzata.
  3. Abilita la 2FA sul tuo CAPCOM ID, sulla tua email e su qualsiasi account di gioco collegato.
  4. Memorizza password uniche in un gestore di password.
  5. Tratta le email inaspettate su Capcom come sospette e vai direttamente ai siti ufficiali invece di cliccare sui link.
  6. Non affidarti a una VPN per questo tipo di rischio; sono le abitudini di sicurezza degli account che contano qui.

Le notizie sulla violazione dei dati di Capcom relative al CAPCOM ID sono uno stimolo utile a fare un'igiene di base degli account che ripaga molto dopo che questa particolare vicenda svanisce.