Η ιαπωνική εταιρεία βιντεοπαιχνιδιών Capcom επιβεβαίωσε ότι επιτιθέμενοι παραβίασαν την υπηρεσία μελών CAPCOM ID και εξέθεσαν περισσότερες από 11,7 εκατομμύρια διευθύνσεις email. Μαζί διέρρευσαν ημερομηνίες δημιουργίας λογαριασμού, στοιχεία τελευταίας σύνδεσης και η διεύθυνση IP της τελευταίας εισόδου, ενώ για 196 λογαριασμούς οι επιτιθέμενοι άλλαξαν τον κωδικό. Η εταιρεία αναφέρει ότι οι κωδικοί των υπόλοιπων μελών και τα στοιχεία καρτών δεν επηρεάστηκαν. Το περιστατικό εντοπίστηκε στις 19 Οκτωβρίου και αναφέρθηκε στην αστυνομία και στην ιαπωνική αρχή προστασίας δεδομένων.

Τι σημαίνει: Μια διαρροή που περιλαμβάνει «μόνο» email και στοιχεία σύνδεσης συχνά υποτιμάται, όμως αυτά τα δεδομένα είναι η πρώτη ύλη για στοχευμένο phishing. Ο επιτιθέμενος γνωρίζει ότι ο παραλήπτης έχει λογαριασμό σε συγκεκριμένη υπηρεσία και πότε συνδέθηκε τελευταία φορά, άρα μπορεί να στήσει πειστικό μήνυμα «επαναφοράς κωδικού». Για ελληνικές επιχειρήσεις με λογαριασμούς πελατών, όπως e-shops, πλατφόρμες κρατήσεων ή εφαρμογές συνδρομών, η περίπτωση δείχνει τι πρέπει να είναι έτοιμο πριν συμβεί κάτι αντίστοιχο. Χρειάζεται καταγραφή του ποια πεδία αποθηκεύονται και γιατί, ώστε να μην κρατούνται περιττά στοιχεία όπως παλιές διευθύνσεις IP. Χρειάζεται επίσης σχέδιο ειδοποίησης, επειδή ο GDPR απαιτεί ενημέρωση της Αρχής Προστασίας Δεδομένων εντός 72 ωρών και, όταν ο κίνδυνος είναι υψηλός, ενημέρωση των ίδιων των χρηστών. Η αλλαγή κωδικών σε 196 λογαριασμούς δείχνει ότι οι επιτιθέμενοι δοκίμασαν και κατάληψη λογαριασμών, κάτι που περιορίζεται σημαντικά με έλεγχο ταυτότητας δύο παραγόντων και ειδοποιήσεις για κάθε αλλαγή κωδικού. Τέλος, η σταδιακή ενημέρωση εκατομμυρίων πελατών είναι επιχειρησιακό έργο από μόνη της, γι' αυτό τα πρότυπα μηνυμάτων και τα κανάλια υποστήριξης καλό είναι να υπάρχουν από πριν.

Διαβάστε το πρωτότυπο στο BleepingComputer

Σχετική υπηρεσία: Ανάπτυξη λογισμικού

Σχετικές ειδήσεις