Fuite Capcom ID : 11,8 millions d’adresses, 196 mots de passe changés

Un inconnu a eu accès aux adresses électroniques de 11 774 247 comptes Capcom ID, le compte gratuit qu’exigent le jeu en ligne de Street Fighter 6 et d’Exoprimal ou la boutique en ligne de l’éditeur japonais. Capcom l’a annoncé le 22 octobre, trois jours après avoir repéré l’intrusion. Le chiffre est mondial : l’éditeur ne dit pas combien de joueurs français ou européens sont concernés. En février, il revendiquait « plus de 10 millions » d’inscrits à Capcom ID ; il ne dit pas quelle part des comptes est touchée.

Ce qui a fuité, et ce qui n’a pas fuité

Le tableau du communiqué, identique dans l’original japonais, qui fait foi, distingue trois cercles, les deux derniers compris dans le premier :

• 11 774 247 comptes : adresse électronique, date et heure de création du compte, de la dernière connexion, nombre de connexions et adresse IP de la dernière connexion ;
• 43 de ces comptes : en plus, date de naissance, genre, pays ou région et pseudonyme ;
• 196 de ces comptes : mot de passe changé sans l’accord de leur titulaire, depuis réinitialisé par Capcom.

Un second communiqué, le 23 octobre, ajoute un quatrième cercle, au Japon seulement : 19 de ces 196 comptes, dont les données de la boutique e-Capcom ont fuité (détail plus bas).

Selon l’éditeur, les numéros de carte bancaire ne figurent pas parmi les données touchées, et il n’a constaté aucune fuite des mots de passe choisis par les joueurs eux-mêmes. Les jeux et services qui passent par Capcom ID restent accessibles.

Une adresse, une IP, une date : de quoi écrire un faux courriel crédible

Pris un par un, ces éléments paraissent anodins. Réunis, ils permettent d’imiter Capcom de façon convaincante. L’adresse IP est le numéro attribué à une connexion Internet ; selon la CNIL, elle « permet d’identifier votre connexion à Internet et sa localisation approximative ». Un escroc qui la connaît, avec la date de la dernière connexion et celle de création du compte, peut écrire à un joueur un message du type « connexion inhabituelle depuis votre ville le 14 octobre, confirmez votre identité », avec des détails exacts que seul Capcom devrait connaître. Le nombre de connexions, lui, distingue les joueurs assidus des comptes oubliés.

C’est le principe de l’hameçonnage : un message qui se fait passer pour un tiers de confiance afin de soutirer des informations, selon la définition de Cybermalveillance.gouv.fr. Capcom le reconnaît : les données pourraient servir à envoyer des messages frauduleux « se faisant passer pour Capcom ou des parties liées ». La difficulté vient de ce que l’éditeur annonce aussi qu’il va contacter lui-même les clients touchés. Dans les semaines qui viennent, de vrais et de faux courriels au nom de Capcom risquent d’arriver dans les mêmes boîtes.

196 comptes modifiés, 19 espaces clients consultés

Capcom affirme qu’aucune fuite des mots de passe des joueurs n’a été constatée, mais que celui de 196 comptes a été changé frauduleusement. Les deux phrases ne se contredisent pas forcément : on peut modifier un mot de passe sans connaître l’ancien, par exemple si l’on a la main sur le système qui le gère. Mais elles signifient que l’intrus ne s’est pas contenté de lire des données : sur ces 196 comptes, il a agi, et leur titulaire ne pouvait plus s’y connecter avec son mot de passe habituel.

Le 22 octobre, Capcom disait seulement qu’il « continue d’enquêter sur l’étendue des conséquences ». Son second communiqué, le 23, donne une partie de la réponse : pour 19 de ces 196 comptes, un tiers a eu accès à l’espace client de la boutique en ligne e-Capcom, et le nom (avec sa transcription phonétique japonaise), le téléphone, l’adresse postale, le genre, la date de naissance, l’historique des achats et des demandes au service client ainsi que le carnet d’adresses enregistré ont fuité. Les 19 clients sont au Japon, aucune donnée de carte bancaire n’est en cause, et sur les autres comptes Capcom dit n’avoir trouvé aucune information compromise à la suite du changement de mot de passe. L’éditeur déclare l’enquête sur l’étendue des conséquences « terminée », va prévenir les clients touchés et poursuit la surveillance de Capcom ID. Il ne décrit toujours pas la méthode d’attaque, qu’il dit avoir « identifiée et traitée », et ne dit rien des comptes PlayStation, Xbox, Steam ou Nintendo qu’on peut lier à Capcom ID.

Le 19 octobre, jour de la détection, une maintenance du portail Capcom ID était par ailleurs annoncée de 12 h à 13 h 30 (heure de Paris), sans motif. L’éditeur ne relie pas les deux événements.

Ce que peut faire un joueur

Capcom ID sert, selon la liste publiée par Capcom, à jouer en ligne à Street Fighter 6, à Exoprimal et au jeu mobile Monster Hunter Puzzles: Felyne Isles, à accéder aux sites réservés Resident Evil Portal et Buckler’s Boot Camp (celui de Street Fighter 6), et à acheter sur le Capcom Town Store. Quiconque s’y est inscrit peut faire partie des 11,8 millions.

• Ne pas cliquer sur un lien ni ouvrir une pièce jointe d’un message suspect, comme le demande Capcom, même s’il cite des détails exacts sur le compte. Pour vérifier, taper soi-même l’adresse du portail, cid.capcom.com, plutôt que suivre un lien. Le portail existe en français, mais l’avis sur l’incident n’y figurait qu’en anglais le 23 octobre.
• Activer la double authentification, qui exige à chaque connexion, en plus du mot de passe, un code à usage unique produit par une application sur le téléphone. Capcom ID la propose depuis la page du compte, avec une application comme Google Authenticator ou Microsoft Authenticator, selon sa page d’aide.
• Changer de mot de passe : Capcom ne le demande pas, mais tant que l’éditeur n’a pas expliqué comment 196 mots de passe ont pu être modifiés, la précaution ne coûte rien. Un joueur qui ne peut plus se connecter passe par « Mot de passe oublié » sur la page de connexion.
• Signaler un courriel douteux à Signal Spam et un SMS au 33700, comme le recommande Cybermalveillance.gouv.fr.
• Écrire à Capcom : pour l’Europe, le Moyen-Orient et l’Afrique, l’éditeur renvoie à un formulaire d’assistance et à l’adresse feedback@capcom.com.

Si des données volées refont surface en ligne, les conseils de la CNIL rappelés dans notre article sur les fichiers piratés valent aussi ici.

Six ans après le rançongiciel de Ragnar Locker

Capcom a déjà vécu une attaque de grande ampleur. Le 2 novembre 2020 au petit matin, après des problèmes de connexion, ses équipes découvraient un message signé Ragnar Locker, un groupe criminel qui chiffre les fichiers de ses victimes, les rend inutilisables et réclame une rançon : c’est ce qu’on appelle un rançongiciel. L’enquête publiée en avril 2021 a établi que les attaquants étaient entrés en octobre 2020 par un ancien boîtier VPN de secours de la filiale américaine, en Californie (un VPN est un accès à distance au réseau interne de l’entreprise). Les données de 15 649 personnes avaient été dérobées ; au point de janvier 2021, plus de la moitié étaient d’anciens salariés et des personnes liées, le reste des salariés et des personnes liées. Capcom n’avait pas payé.

L’éditeur avait alors créé un comité de surveillance de la sécurité informatique composé de membres extérieurs, deux universitaires, un avocat et un expert-comptable spécialiste de l’audit informatique. C’est ce comité qu’il a informé le 20 octobre, avant de prévenir le lendemain la police de la préfecture d’Osaka et la commission japonaise de protection des données personnelles. L’incident de 2026 diffère de celui de 2020 : il ne vise pas le réseau interne mais le système de comptes des joueurs, et le nombre de comptes touchés est plus de 700 fois supérieur au nombre de personnes touchées en 2020.

L’Europe absente du communiqué

Aucun des deux communiqués ne mentionne une autorité européenne. Le règlement général sur la protection des données (RGPD) impose à l’entreprise responsable d’un fichier soumis à ses règles, sauf si la violation ne présente pas de risque pour les personnes, de notifier une violation de données à l’autorité compétente « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance », selon son article 33. Capcom n’a pas dit si une autorité européenne, la CNIL ou une autre, avait été prévenue, ni à quelle date les joueurs concernés recevraient son message, ni dans quelles langues. D’ici là, tout courriel au nom de Capcom qui évoque l’incident se vérifie sur le portail, jamais par ses liens.

Les citations des communiqués de Capcom sont traduites de l’anglais par la rédaction.