Capcom bị rò rỉ 11,7 triệu email người chơi kèm IP đăng nhập gần nhất

Capcom xác nhận một kẻ xâm nhập đã lấy dữ liệu khách hàng từ Capcom ID, tài khoản người chơi dùng để đăng nhập vào các dịch vụ trực tuyến của công ty và chơi một số tựa game qua mạng. Dữ liệu bị đánh cắp bao gồm hơn 11 triệu địa chỉ email; đi kèm mỗi địa chỉ là ngày tạo tài khoản, thời điểm đăng nhập gần nhất, số lần đăng nhập và địa chỉ IP được dùng trong lần đăng nhập đó. Chính tổ hợp thông tin này khiến dữ liệu rò rỉ trở nên hữu ích với tội phạm: kẻ lừa đảo biết địa chỉ email của bạn, biết bạn chơi game Capcom và nắm được đại khái nơi bạn kết nối gần đây nhất có thể viết một email giả mạo bộ phận hỗ trợ rất thuyết phục.

Với những ai lập tài khoản để chơi Street Fighter mới nhất qua mạng hoặc sử dụng trang web của Capcom, rủi ro thực tế là làn sóng lừa đảo qua email, chứ không phải tài khoản ngân hàng bị rút sạch. Hãng phát hành đứng sau Resident Evil, Monster Hunter và Mega Man cho biết dữ liệu bị ảnh hưởng không bao gồm thông tin thẻ tín dụng, đồng thời chưa xác nhận có mật khẩu do khách hàng tự đặt nào bị rò rỉ. Khuyến cáo của hãng rất thẳng thắn: nếu nhận được tin nhắn tự xưng là từ Capcom hoặc một công ty liên quan, đừng mở liên kết hay tệp đính kèm trong đó.

Theo thông báo của Capcom, con số chính xác là 11.774.247 hồ sơ trên toàn thế giới. Một nhóm nhỏ hơn nhiều chịu ảnh hưởng nghiêm trọng hơn. Với 43 tài khoản, dữ liệu bị lộ còn bao gồm ngày sinh, giới tính, quốc gia hoặc khu vực và biệt danh. Ở 196 tài khoản, kẻ tấn công đã tự ý đổi mật khẩu đăng nhập; BleepingComputer nhận định đây có thể là nỗ lực khóa chủ tài khoản khỏi tài khoản của họ. Capcom cho biết hãng đã đặt lại các mật khẩu này và mọi dịch vụ liên kết với Capcom ID, bao gồm cả trò chơi, vẫn đang hoạt động.

Thông báo vẫn để ngỏ những câu hỏi lớn nhất. Capcom cho biết đã xác định và xử lý phương thức tấn công nhưng không mô tả cụ thể, đồng thời chưa cho biết kẻ xâm nhập đã truy cập hệ thống trong bao lâu trước khi hoạt động bị phát hiện. Việc mật khẩu bị thay đổi cũng khiến lời trấn an về mật khẩu trở nên khó hiểu: bất kể có nhìn thấy mật khẩu ban đầu hay không, kẻ đặt lại thông tin đăng nhập của 196 tài khoản hẳn đã có cách truy cập các chức năng quản lý tài khoản. Theo Help Net Security, chưa có nhóm nào nhận trách nhiệm về vụ tấn công, còn Capcom cho biết cuộc điều tra về toàn bộ phạm vi sự cố vẫn đang tiếp diễn.

Người chơi không cần bỏ địa chỉ email đang dùng, bởi Capcom cho biết các địa chỉ đã đăng ký vẫn có thể tiếp tục được sử dụng. Những việc cần làm vốn đã quen thuộc, nhưng vụ rò rỉ này khiến chúng trở nên cấp thiết hơn. Hãy đổi mật khẩu Capcom ID nếu bạn dùng lại mật khẩu đó ở nơi khác. Hãy coi mọi tin nhắn đề cập đến lịch sử tài khoản, lần đăng nhập gần đây hoặc vấn đề bảo mật hồ sơ của bạn là đáng ngờ, bởi chính những thông tin ấy đã bị rò rỉ. Hãy truy cập trực tiếp các trang hỗ trợ của Capcom thay vì nhấn vào liên kết trong email.

Capcom cho biết hãng phát hiện hoạt động đáng ngờ vào ngày 19 tháng 10 và chặn hoạt động này ngay trong ngày, thành lập ban chỉ huy ứng phó sự cố nội bộ vào ngày 20 tháng 10, rồi báo cáo vụ xâm nhập cho Cảnh sát tỉnh Osaka và Ủy ban Bảo vệ Thông tin Cá nhân Nhật Bản vào ngày 21 tháng 10, trước khi đăng lời xin lỗi vào ngày 22 tháng 10. Theo BleepingComputer, công ty sẽ liên hệ với những khách hàng bị ảnh hưởng theo từng đợt, đồng thời mở các kênh hỗ trợ riêng: đường dây miễn phí tại Nhật Bản, biểu mẫu liên hệ trực tuyến dành cho châu Mỹ và khu vực châu Âu, Trung Đông, châu Phi, cùng một địa chỉ email dành cho châu Á và châu Đại Dương.

Đây là sự cố có quy mô chưa từng thấy với Capcom. Sự cố lớn gần nhất của công ty là vụ tấn công bằng mã độc tống tiền Ragnar Locker vào tháng 11 năm 2020, nhắm vào mạng nội bộ và có thể ảnh hưởng đến tối đa 390.000 người, theo Capcom. Sau đó, công ty lần ra điểm xâm nhập là một thiết bị VPN cũ. Khi ấy, mục tiêu là các hệ thống nội bộ của công ty. Còn lần này, sự cố nhắm vào tài khoản mà hàng triệu người chơi dùng để đăng nhập.

Thẻ: an ninh mạng, trò chơi điện tử, Kali Reis, Street Fighter, Cody Rhodes, rò rỉ dữ liệu, Callina Liang, Capcom, David Dastmalchian