Uma alegada violação de dados da Capcom envolvendo contas CAPCOM ID colocou 11,77 milhões de registos sob os holofotes. Se alguma vez iniciou sessão num serviço da Capcom, seja para comprar um jogo, participar numa beta ou gerir um perfil, vale a pena dedicar alguns minutos a verificar a sua conta e reforçar a sua segurança. Este artigo aborda o que foi relatado, como verificar a sua exposição e por que motivo uma VPN não ajuda neste tipo de incidente.

Uma nota sobre as fontes: os detalhes abaixo provêm de relatos secundários, e alguns dos números diferem ligeiramente entre os meios de comunicação (11,77 milhões versus 11,7 milhões, por exemplo). Trate os números como relatados e confirme-os com a declaração oficial da Capcom.

O que a violação da Capcom alegadamente expôs

De acordo com a cobertura disponível até ao momento, a Capcom divulgou um acesso não autorizado por parte de um terceiro a registos ligados ao CAPCOM ID, o sistema de contas utilizado nos jogos e serviços da empresa. O total relatado é de 11 774 247 contas.

Os dados expostos são descritos como endereços de email e registos relacionados com o início de sessão (por vezes designados por metadados de início de sessão). Um relatório refere também que as palavras-passe foram alteradas em 196 das contas, o que sugeriria que o terceiro fez mais do que apenas visualizar dados nesses casos. Não verificámos esse detalhe de forma independente, por isso procure confirmação no próprio aviso da Capcom.

O que não foi estabelecido no material que analisámos é igualmente importante. Não temos detalhes confirmados sobre como o acesso ocorreu, quanto tempo durou ou se informações de pagamento estiveram envolvidas. Até a Capcom dizer mais, evite assumir o melhor ou o pior cenário.

Esta também não é a primeira vez que a Capcom surge nas notícias por questões de segurança. Coberturas mais antigas descrevem um ataque de novembro de 2020 à empresa que terá afetado cerca de 350 000 pessoas. Trata-se de um evento separado, e vale a pena distingui-los quando procurar informações.

Como verificar se o seu CAPCOM ID foi afetado

Como esta violação ocorreu do lado da empresa, não é possível ver diretamente a partir do seu próprio dispositivo se foi incluído. Eis formas práticas de descobrir:

  • Procure um email da Capcom. As empresas normalmente notificam os utilizadores afetados. Não clique em links de qualquer mensagem que não esperava. Em vez disso, vá diretamente ao site da Capcom escrevendo o endereço você mesmo.
  • Leia a declaração oficial da Capcom. Esta é a fonte autoritativa sobre o que foi exposto e o que a empresa recomenda.
  • Verifique a atividade da sua conta. Reveja o seu CAPCOM ID à procura de inícios de sessão desconhecidos, dados alterados ou uma palavra-passe que já não funciona. Uma palavra-passe que subitamente falha é um sinal de alerta particular, dadas as alterações de palavras-passe relatadas.
  • Utilize um serviço de notificação de violações. Ferramentas reputadas permitem introduzir um endereço de email e ver se aparece em conjuntos de dados de violações conhecidas. Novos incidentes podem demorar a aparecer, por isso um resultado limpo não é uma garantia.
  • Pesquise na sua caixa de entrada. Procure o endereço de email que utilizou para a Capcom e verifique se recebeu pedidos estranhos de reposição de palavra-passe ou tentativas de phishing ultimamente.

Espere phishing. Os endereços de email são exatamente o que os burlões precisam para enviar mensagens convincentes que fingem vir da Capcom, da Steam ou de uma loja de jogos. Seja cético em relação a qualquer coisa urgente que lhe peça para iniciar sessão ou confirmar dados.

Proteger a sua conta: 2FA, palavras-passe únicas e um gestor de palavras-passe

Mesmo que não tenha a certeza de ter sido afetado, vale a pena tomar algumas medidas agora.

Altere a sua palavra-passe. Escolha uma palavra-passe nova, longa e única para o seu CAPCOM ID. Se reutilizou essa palavra-passe noutro lugar, altere-a também nessas contas. A reutilização é o que transforma a violação de uma empresa num problema em muitas das suas contas, um tema que vimos noutros incidentes como a violação de dados da Rakuten Drive.

Ative a autenticação de dois fatores (2FA). Se a Capcom a oferece para a sua conta, ative-a. Uma aplicação autenticadora ou uma chave de segurança física é geralmente mais forte do que códigos SMS. Com a 2FA ativada, uma palavra-passe roubada por si só é muito menos útil para um atacante.

Utilize um gestor de palavras-passe. Um gestor de palavras-passe gera e armazena palavras-passe únicas para que não tenha de as memorizar. Também facilita a deteção de credenciais reutilizadas, e muitos podem alertá-lo sobre violações conhecidas.

Reveja as contas associadas. Verifique quais plataformas e endereços de email estão ligados ao seu CAPCOM ID e remova tudo o que já não utiliza.

Proteja também o seu email. A sua conta de email é a chave para repor tudo o resto. Certifique-se de que tem uma palavra-passe forte e única e a 2FA ativada.

Por que uma VPN não protege contra violações ao nível da conta

É comum assumir que uma VPN é uma ferramenta de privacidade universal, mas não resolve esta situação. Uma VPN encripta a ligação entre o seu dispositivo e o servidor VPN e oculta o seu endereço IP dos sites que visita. Isso é útil em Wi-Fi público e para limitar algum rastreamento.

Não faz nada quanto aos dados que uma empresa já detém nos seus próprios servidores. Neste caso, a exposição relatada ocorreu ao nível do serviço, onde um terceiro obteve acesso não autorizado a registos de contas armazenados. O seu método de ligação não teve qualquer influência sobre se o seu endereço de email estava nessa base de dados, e uma VPN não o pode remover depois.

Isto não é um argumento contra VPNs, apenas um lembrete daquilo para que servem. A mesma lógica aplica-se a casos em que o ponto fraco estava do lado da organização, como a violação da Plaza Home Mortgage, onde um único computador comprometido foi suficiente para desencadear uma investigação.

O que isto significa para si

Se tem um CAPCOM ID, assuma que o seu endereço de email pode estar nas mãos de pessoas que não o deviam ter, e prepare-se para o phishing. O risco de os atacantes adivinharem ou reutilizarem a sua palavra-passe é menor se agir agora. Se a sua palavra-passe foi reutilizada em qualquer lugar, essa é a correção mais urgente.

Também ajuda saber como funciona a divulgação. As empresas frequentemente confirmam incidentes por fases, e o timing pode variar amplamente, como ilustra a cobertura da violação de dados da Station Casinos com o seu atraso de notificação de 77 dias. Os detalhes sobre a exposição do CAPCOM ID na violação de dados da Capcom podem mudar à medida que a empresa partilhar mais informações.

Conclusões práticas

  1. Verifique os detalhes da violação com a declaração oficial da Capcom antes de agir com base em resumos de terceiros.
  2. Altere a sua palavra-passe do CAPCOM ID e altere-a em qualquer outro lugar onde a tenha reutilizado.
  3. Ative a 2FA no seu CAPCOM ID, no seu email e em quaisquer contas de jogos associadas.
  4. Guarde palavras-passe únicas num gestor de palavras-passe.
  5. Trate emails inesperados sobre a Capcom como suspeitos e vá diretamente aos sites oficiais em vez de clicar em links.
  6. Não dependa de uma VPN para este tipo de risco; são os hábitos de segurança das contas que contam aqui.

Os relatos da violação de dados da Capcom sobre o CAPCOM ID são um alerta útil para fazer uma higiene básica de contas que compensa muito depois de esta história em particular desaparecer.