CAPCOM ID er hacket: Over 11,7 millioner kontoer lekket

Capcom oppdaget 19. oktober at ukjente hadde brutt seg inn, og fortalte det tre dager senere. CAPCOM ID er innloggingen til selskapets nettjenester og noen av spillene, og 11 774 247 kontoer er rammet. Inntrengerne har ikke fått tak i kredittkortinformasjon, og spillene virker som før.

Capcom skal kontakte de rammede én etter én. Selskapet nevner ingen side der du kan sjekke kontoen selv. Har du en CAPCOM ID, bør du gå ut fra at den er rammet.

Dette er lekket

På alle kontoene er e-postadressen lekket, sammen med når kontoen ble opprettet, siste innlogging, antall innlogginger og IP-adressen ved siste innlogging. Hos 43 av dem er også fødselsdato, kjønn, land eller region og kallenavn lekket.

Inntrengerne byttet passordet på 196 kontoer. Capcom har nullstilt disse passordene, og har ikke funnet tegn til at passord brukerne selv har valgt, er lekket.

Verst gikk det med 19 av de 196. Dagen etter det første varselet fortalte Capcom at inntrengerne også kom inn på kontosidene deres i e-Capcom, selskapets japanske nettbutikk. Der lå navn, adresse, telefonnummer og kjøpshistorikk. Alle de 19 er i Japan, og kartleggingen er avsluttet.

For alle andre er e-posten faren. En svindler som kjenner adressen og vet når du sist logget inn, kan skrive en svært troverdig melding fra «Capcom», og selskapet advarer selv mot slike forsøk.

Disse spillene bruker CAPCOM ID

Du må ha kontoen for å spille Street Fighter 6 og Exoprimal på nett. Capcoms egen liste nevner også Monster Hunter Puzzles: Felyne Isles, Resident Evil Portal, Street Fighter-tjenesten Buckler's Boot Camp og nettbutikken Capcom Town Store.

Monster Hunter Wilds står ikke på listen, og det gjør heller ikke de vanlige Resident Evil-spillene. Listen er ikke nødvendigvis fullstendig, så har du noen gang laget en CAPCOM ID, gjelder rådene under deg.

Slik sikrer du kontoen

• Skriv cid.capcom.com rett inn i nettleseren. Ikke trykk på lenker i e-post om kontoen.
• Bytt passordet. Capcom krever det ikke, men det er den enkleste forsikringen du har. Får du ikke logget inn, velg «Forgot your password?».
• Har du brukt samme passord andre steder, bytt det der også.
• Slå på tofaktorbekreftelse på kontosiden. Capcom anbefaler Google Authenticator eller Microsoft Authenticator.
• Se etter ukjente koblinger under «Platform Account Information». Er kontoen koblet til en PS5, bør du samtidig sjekke PlayStation-kontoen.

Får du en e-post fra Capcom om innbruddet, kan den være ekte, siden selskapet varsler de rammede selv. Ikke trykk på noe i den uansett. Logg heller inn selv, og spør Capcom Europes kundestøtte hvis du lurer på noe.

Ikke første gang

Capcom sier angrepsmetoden er kjent og håndtert, men har ikke fortalt hva den var, eller hvem som sto bak.

I november 2020 rammet løsepengegruppen Ragnar Locker selskapet og hevdet å ha stjålet 1 TB med data. Capcom advarte om at inntil 390 000 personer kunne være berørt, og endte på 15 649. Den gangen kom angriperne inn gjennom en gammel VPN-enhet.

Capcom krever konto for å spille Street Fighter 6 på nett. Da er det ikke for mye forlangt at kontoen er trygg, og etter to store innbrudd på seks år har selskapet noe å bevise.