Capcom distingue l’esposizione globale dei dati dai 19 account del negozio
Il nuovo avviso riguarda anche dati di acquisto giapponesi. Il numero ridotto non sostituisce gli 11,77 milioni di account CAPCOM ID coinvolti.
La violazione degli account Capcom ha ora due dimensioni molto diverse: un’esposizione di informazioni su scala mondiale e un gruppo assai più piccolo di clienti dei quali sono stati consultati i dati di acquisto in Giappone. Nell’aggiornamento del 23 ottobre, l’azienda riferisce che un intruso ha raggiunto le pagine e-Capcom di 19 clienti dopo modifiche non autorizzate alle password. Fra i dati coinvolti figurano indirizzi e cronologie degli ordini. Sono esclusi i dati delle carte di credito.
Questa precisazione non sostituisce il numero molto più grande del comunicato del 22 ottobre: l’incidente ha interessato indirizzi email e metadati associati a 11.774.247 account CAPCOM ID nel mondo. I due documenti descrivono livelli differenti della stessa violazione. Fermarsi al numero più piccolo ne ridimensionerebbe impropriamente la portata.
Tre numeri che indicano rischi diversi
Il primo comunicato individuava 196 account con password modificate senza autorizzazione. L’indagine successiva ha rilevato l’accesso alle pagine del negozio giapponese e-Capcom per 19 di questi account. Per gli altri componenti del gruppo, Capcom afferma di non aver trovato ulteriori informazioni compromesse attraverso quelle modifiche.
L’esposizione mondiale comprendeva metadati sulla creazione dell’account e sugli accessi. Il primo documento segnalava inoltre 43 record con ulteriori informazioni di profilo. Capcom non ha affermato che ogni cliente coinvolto abbia subito l’esposizione di tutte queste categorie. E una password cambiata senza autorizzazione non dimostra, da sola, che sia stata scoperta quella usata in precedenza dal titolare.
Sono distinzioni concrete: una notifica di violazione descrive quali dati sono stati esposti, non attribuisce un unico punteggio di gravità. Un indirizzo email può bastare per avviare un tentativo credibile di impersonificazione. Rubrica e cronologia degli acquisti possono renderlo molto più personale. L’assenza del numero della carta non rende innocue le altre informazioni.
Conoscere un cliente non significa essere il servizio autentico
Il rischio pratico è ricevere una comunicazione che sembra sapere abbastanza del destinatario da meritare fiducia. Un presunto messaggio di recupero dell’account potrebbe citare un servizio familiare e poi indirizzare verso una pagina di accesso diversa. Conviene raggiungere il servizio tramite un segnalibro conosciuto o un indirizzo digitato autonomamente, anziché seguire il collegamento di un messaggio inatteso.
Capcom avverte espressamente del possibile uso dei dati per email, SMS e telefonate fraudolente. Nel comunicato è indicato il modulo ufficiale di assistenza per l’Europa e altre regioni. Per chi vive in Italia, contano il canale europeo e la propria notifica: l’esposizione dei dati del negozio giapponese non va estesa automaticamente a tutti gli account esteri.
L’azienda dichiara conclusa l’indagine sulla portata dell’incidente e proseguirà il monitoraggio. Questo descrive lo stato dell’indagine, senza garantire che le informazioni sottratte perdano subito ogni utilità. La distinzione fra contenimento e conseguenze successive emergeva anche nella nostra analisi della violazione di Railway.
Per i giocatori coinvolti, il dettaglio più utile resta quindi la categoria di dati indicata nella comunicazione personale. Permette di capire quali tentativi di impersonificazione possano risultare credibili. Il grande numero racconta la dimensione dell’incidente; la singola notifica chiarisce il problema da affrontare.
