// CLUBIC — MOBILE & WEB
Capcom confirme une fuite de données de 11,7 millions de comptes
Un intrus a récupéré les adresses e-mail de 11,7 millions de comptes Capcom ID chez l’éditeur de Resident Evil et de Monster Hunter. Aucun numéro de carte bancaire n’a fuité, mais si des escrocs écrivent aux joueurs au nom de Capcom, ils pourront citer la date de leur dernière connexion et l’adresse IP utilisée ce jour-là.
Capcom a repéré l’intrusion le 19 octobre et l’a signalée deux jours plus tard à la police d’Osaka. Au total, 11 774 247 enregistrements sont concernés dans le monde, d’après le communiqué publié par l’éditeur. Chacun contient l’adresse e-mail, les dates de création du compte et de dernière connexion, le nombre de connexions et la dernière adresse IP. Capcom n’a trouvé aucune trace d’une fuite des mots de passe choisis par les joueurs, mais l’intrus a modifié celui de 196 comptes, et l’éditeur n’explique pas comment. Des arnaqueurs disposent maintenant de millions d’adresses actives de joueurs, avec de quoi personnaliser leurs messages.
L’éditeur japonais affirme avoir identifié la technique de l’intrus et bloqué son accès, mais il ne donne aucun détail. Il ne précise pas non plus depuis quand l’intrus circulait dans ses systèmes, et BleepingComputer note que la date réelle de l’intrusion est encore inconnue.
Comment l’intrus a-t-il pu changer le mot de passe de 196 comptes, alors que les mots de passe d’origine n’ont pas fuité d’après Capcom ? Pour le site américain, l’intrus cherchait à empêcher leurs propriétaires de se connecter. Capcom a réinitialisé ces 196 mots de passe. Pour 43 joueurs, l’éditeur a aussi constaté la fuite de la date de naissance, du genre, du pays et du pseudo.
Avec un Capcom ID détourné, l’intrus peut se connecter à la place du joueur sur le portail où celui-ci relie ses comptes PlayStation, Xbox, Steam ou Nintendo. L’entreprise promet une enquête approfondie et des mesures contre une récidive. « Capcom prend cette affaire extrêmement au sérieux », écrit-elle dans son communiqué.
Capcom prévient que des escrocs pourraient utiliser les données volées et envoyer des messages frauduleux en son nom, ou au nom de ses partenaires. Il demande de ne cliquer sur aucun lien et de n’ouvrir aucune pièce jointe d’un e-mail suspect. Si un message cite la date de votre dernière connexion ou votre adresse IP, ne le prenez surtout pas pour une preuve d’authenticité, car ces deux informations font partie du lot volé.
Devant un lien douteux, Cybermalveillance.gouv.fr conseille de le survoler avec la souris sans cliquer, afin d’afficher l’adresse réelle, et de vérifier sur votre compte la date de votre dernière connexion. Le plus sûr est de saisir directement l’adresse du portail Capcom ID dans votre navigateur, comme on vous le recommandait après la fuite des profils de l’École 42.
Capcom ne vous demande pas de changer de mot de passe, et vous pouvez conserver votre adresse e-mail actuelle. Si vous utilisiez votre mot de passe Capcom ID sur d’autres sites, changez-le sur ces sites en commençant par votre messagerie principale. Un conseil qu'on vous a donné à propos des patients de l’AP-HP. Capcom ID propose aussi une double authentification par application sur smartphone, avec un code de secours à garder en lieu sûr.
Les parents doivent ouvrir l’œil, eux aussi. Capcom accepte les moins de 13 ans sur son portail Capcom ID depuis janvier 2025, quel que soit leur pays. Automaton rappelle que les joueurs de Street Fighter 6 passent par ce compte pour les parties en ligne. L’adresse de votre enfant peut donc figurer dans le lot.
Capcom a promis de contacter les joueurs concernés, et répond aux questions en Europe par un formulaire d’assistance dédié. Les joueurs pourront donc recevoir, à quelques jours d’écart, un vrai courrier de l’éditeur et un faux, et ne feront le tri qu’en se connectant directement au portail Capcom ID.