Một vụ vi phạm dữ liệu Capcom được báo cáo liên quan đến các tài khoản CAPCOM ID đã đưa 11,77 triệu hồ sơ vào tầm ngắm. Nếu bạn từng đăng nhập vào dịch vụ của Capcom, dù để mua game, tham gia bản beta hay quản lý hồ sơ, bạn nên dành vài phút để kiểm tra tài khoản và tăng cường bảo mật. Bài viết này đề cập những gì đã được báo cáo, cách kiểm tra mức độ ảnh hưởng của bạn và lý do vì sao VPN không giúp ích trong loại sự cố này.
Lưu ý về nguồn tin: các chi tiết dưới đây đến từ các báo cáo thứ cấp, và một số con số có sự khác biệt nhỏ giữa các trang (ví dụ 11,77 triệu so với 11,7 triệu). Hãy coi các con số là theo như được báo cáo và đối chiếu với tuyên bố chính thức của Capcom.
Vụ vi phạm Capcom được báo cáo đã làm lộ những gì
Theo các bài đưa tin hiện có, Capcom đã công bố việc một bên thứ ba truy cập trái phép vào các hồ sơ gắn với CAPCOM ID, hệ thống tài khoản được sử dụng xuyên suốt các game và dịch vụ của công ty. Tổng số được báo cáo là 11.774.247 tài khoản.
Dữ liệu bị lộ được mô tả là địa chỉ email và các hồ sơ liên quan đến đăng nhập (đôi khi được gọi là siêu dữ liệu đăng nhập). Một báo cáo cũng cho biết mật khẩu đã bị thay đổi trên 196 tài khoản, điều này cho thấy bên thứ ba đã làm nhiều hơn việc chỉ xem dữ liệu trong những trường hợp đó. Chúng tôi chưa xác minh độc lập chi tiết này, vì vậy hãy tìm xác nhận trong thông báo của chính Capcom.
Những gì chưa được xác định trong tài liệu chúng tôi đã xem xét cũng quan trọng không kém. Chúng tôi chưa có chi tiết được xác nhận về cách thức truy cập xảy ra, thời gian kéo dài bao lâu, hoặc liệu thông tin thanh toán có liên quan hay không. Cho đến khi Capcom nói thêm, hãy tránh giả định cả trường hợp tốt nhất lẫn xấu nhất.
Đây cũng không phải lần đầu tiên Capcom xuất hiện trên các tiêu đề về bảo mật. Các bài đưa tin cũ mô tả một cuộc tấn công vào tháng 11 năm 2020 nhắm vào công ty được báo cáo ảnh hưởng đến khoảng 350.000 người. Đó là một sự kiện riêng biệt, và nên phân biệt hai vụ việc khi bạn tìm kiếm thông tin.
Cách kiểm tra xem CAPCOM ID của bạn có bị ảnh hưởng không
Vì vụ vi phạm này xảy ra ở phía công ty, bạn không thể trực tiếp nhìn từ thiết bị của mình để biết mình có nằm trong danh sách hay không. Dưới đây là những cách thực tế để tìm hiểu:
- Tìm email từ Capcom. Các công ty thường thông báo cho người dùng bị ảnh hưởng. Không nhấp vào liên kết trong bất kỳ tin nhắn nào bạn không ngờ tới. Thay vào đó, hãy truy cập trực tiếp trang web của Capcom bằng cách tự gõ địa chỉ.
- Đọc tuyên bố chính thức của Capcom. Đây là nguồn có thẩm quyền về những gì bị lộ và những gì công ty khuyến nghị.
- Kiểm tra hoạt động tài khoản của bạn. Xem lại CAPCOM ID của bạn để tìm các lần đăng nhập lạ, thông tin bị thay đổi hoặc mật khẩu không còn hoạt động. Mật khẩu đột nhiên không dùng được là một dấu hiệu cảnh báo đặc biệt đáng chú ý, xét đến việc mật khẩu được báo cáo đã bị thay đổi.
- Sử dụng dịch vụ thông báo vi phạm dữ liệu. Các công cụ uy tín cho phép bạn nhập địa chỉ email và xem liệu nó có xuất hiện trong các bộ dữ liệu vi phạm đã biết hay không. Các sự cố mới có thể mất thời gian mới hiển thị, vì vậy kết quả sạch không phải là bảo đảm.
- Tìm kiếm trong hộp thư của bạn. Tìm địa chỉ email bạn đã dùng cho Capcom và kiểm tra xem gần đây bạn có nhận được yêu cầu đặt lại mật khẩu lạ hoặc các nỗ lực lừa đảo nào không.
Hãy đề phòng lừa đảo. Địa chỉ email chính là thứ mà kẻ lừa đảo cần để gửi những tin nhắn thuyết phục giả mạo từ Capcom, Steam hoặc một cửa hàng game. Hãy hoài nghi với bất kỳ điều gì khẩn cấp yêu cầu bạn đăng nhập hoặc xác nhận thông tin.
Bảo mật tài khoản: 2FA, mật khẩu duy nhất và trình quản lý mật khẩu
Ngay cả khi bạn không chắc mình có bị ảnh hưởng hay không, vẫn đáng để thực hiện vài bước ngay bây giờ.
Thay đổi mật khẩu của bạn. Chọn một mật khẩu mới, dài và duy nhất cho CAPCOM ID của bạn. Nếu bạn đã dùng lại mật khẩu đó ở bất kỳ đâu khác, hãy thay đổi nó trên các tài khoản đó luôn. Việc dùng lại chính là điều biến một vụ vi phạm của một công ty thành vấn đề trên nhiều tài khoản của bạn, một chủ đề chúng tôi đã thấy trong các sự cố khác như vụ vi phạm dữ liệu Rakuten Drive.
Bật xác thực hai yếu tố (2FA). Nếu Capcom cung cấp tính năng này cho tài khoản của bạn, hãy bật nó. Ứng dụng xác thực hoặc khóa bảo mật phần cứng thường mạnh hơn mã SMS. Khi bật 2FA, chỉ một mật khẩu bị đánh cắp sẽ ít hữu ích hơn nhiều đối với kẻ tấn công.
Sử dụng trình quản lý mật khẩu. Trình quản lý mật khẩu tạo và lưu trữ các mật khẩu duy nhất để bạn không phải ghi nhớ chúng. Nó cũng giúp dễ dàng phát hiện thông tin đăng nhập bị dùng lại, và nhiều trình quản lý có thể cảnh báo bạn về các vụ vi phạm đã biết.
Xem lại các tài khoản liên kết. Kiểm tra những nền tảng và địa chỉ email nào được kết nối với CAPCOM ID của bạn, và xóa bất kỳ thứ gì bạn không còn sử dụng.
Bảo mật cả email của bạn. Tài khoản email của bạn là chìa khóa để đặt lại mọi thứ khác. Hãy đảm bảo nó có mật khẩu mạnh, duy nhất và đã bật 2FA.
Vì sao VPN không bảo vệ chống lại các vụ vi phạm ở cấp độ tài khoản
Người ta thường giả định VPN là công cụ bảo mật tổng hợp, nhưng nó không giải quyết được tình huống này. VPN mã hóa kết nối giữa thiết bị của bạn và máy chủ VPN, đồng thời che giấu địa chỉ IP của bạn khỏi các trang web bạn truy cập. Điều đó hữu ích trên Wi-Fi công cộng và để hạn chế một số hình thức theo dõi.
Nó không làm gì được với dữ liệu mà một công ty đã lưu giữ trên máy chủ của chính họ. Trong trường hợp này, việc lộ dữ liệu được báo cáo đã xảy ra ở cấp độ dịch vụ, nơi một bên thứ ba có được quyền truy cập trái phép vào các hồ sơ tài khoản được lưu trữ. Cách bạn kết nối không liên quan đến việc liệu địa chỉ email của bạn có trong cơ sở dữ liệu đó hay không, và VPN không thể xóa nó sau đó.
Đó không phải là lập luận chống lại VPN, mà chỉ là lời nhắc về mục đích của chúng. Logic tương tự cũng áp dụng cho các trường hợp mà điểm yếu nằm ở phía tổ chức, như vụ vi phạm dữ liệu Plaza Home Mortgage, nơi chỉ một máy tính bị xâm phạm là đủ để kích hoạt một cuộc điều tra.
Điều này có ý nghĩa gì với bạn
Nếu bạn có CAPCOM ID, hãy giả định rằng địa chỉ email của bạn có thể đang nằm trong tay những người không nên có nó, và hãy chuẩn bị đối phó với lừa đảo. Nguy cơ kẻ tấn công đoán hoặc dùng lại mật khẩu của bạn sẽ thấp hơn nếu bạn hành động ngay bây giờ. Nếu mật khẩu của bạn đã được dùng lại ở bất kỳ đâu, đó là việc cần sửa chữa khẩn cấp nhất.
Việc hiểu cách thức công bố thông tin cũng hữu ích. Các công ty thường xác nhận sự cố theo từng giai đoạn, và thời điểm có thể rất khác nhau, như bài đưa tin về vụ vi phạm dữ liệu Station Casinos minh họa với độ trễ thông báo 77 ngày. Các chi tiết về việc lộ dữ liệu CAPCOM ID trong vụ vi phạm dữ liệu Capcom có thể thay đổi khi công ty chia sẻ thêm.
Những điểm cần hành động
- Đối chiếu các chi tiết vụ vi phạm với tuyên bố chính thức của Capcom trước khi hành động dựa trên các bản tóm tắt của bên thứ ba.
- Thay đổi mật khẩu CAPCOM ID của bạn, và thay đổi nó ở bất kỳ nơi nào khác mà bạn đã dùng lại.
- Bật 2FA trên CAPCOM ID, email của bạn và bất kỳ tài khoản game liên kết nào.
- Lưu trữ mật khẩu duy nhất trong trình quản lý mật khẩu.
- Coi những email bất ngờ về Capcom là đáng ngờ, và truy cập trực tiếp các trang web chính thức thay vì nhấp vào liên kết.
- Không dựa vào VPN cho loại rủi ro này; thói quen bảo mật tài khoản mới là điều quan trọng ở đây.
Các báo cáo về vụ vi phạm dữ liệu Capcom liên quan đến CAPCOM ID là một lời nhắc hữu ích để thực hiện vệ sinh tài khoản cơ bản, điều sẽ mang lại lợi ích lâu dài sau khi câu chuyện cụ thể này phai nhạt.
