Capcom hat am 22. Oktober eingeräumt, dass ein Dritter unbefugt auf Daten des Konto-Dienstes Capcom ID zugegriffen hat. Betroffen sind nach Konzernangaben 11.774.247 Datensätze weltweit – überwiegend E-Mail-Adressen und Login-Metadaten, in 43 Fällen auch Geburtsdatum und Nickname. Kreditkartendaten und selbst gesetzte Passwörter sind nach Unternehmensangaben nicht abgeflossen, auf 196 Konten wurden jedoch Passwörter ohne Autorisierung geändert. Hinweise auf eine Lösegeldforderung enthält die Stellungnahme nicht.
Capcom hat am Donnerstag eingeräumt, dass ein Dritter unbefugt auf Daten des Konto-Dienstes Capcom ID zugegriffen hat. Betroffen sind nach Konzernangaben 11.774.247 Datensätze weltweit 1. Capcom ID ist das einheitliche Konto, über das sich die Web-Dienste des Konzerns nutzen lassen und das für den Online-Modus bestimmter Spiele wie Street Fighter 6 Voraussetzung ist 1 2. Der an der Tokioter Börse im Prime-Segment notierte Konzern (Code 9697) veröffentlichte die Mitteilung am 22. Oktober 1.
11,8 Millionen Datensätze. Ein unerwünschter Mitspieler.
In der weit überwiegenden Zahl der Fälle erbeuteten die Angreifer nach Capcom-Angaben die E-Mail-Adresse sowie systembezogene Kennungen: Datum und Uhrzeit der Kontoerstellung, Datum und Uhrzeit des letzten Logins, die Anzahl der Anmeldungen und die beim letzten Login verwendete Client-IP-Adresse 1. Vollständige Nutzerprofile sind damit nicht in jedem Fall abgeflossen. Bei 43 Datensätzen kamen zusätzlich Geburtsdatum, Geschlecht, Land beziehungsweise Region und Nickname abhanden 1 3.
Kreditkartendaten seien nicht betroffen, betont der Konzern 1 4. Für die von den Nutzern selbst gesetzten Passwörter gebe es keinen bestätigten Abfluss 1. Allerdings wurden auf 196 Konten die Login-Passwörter ohne Autorisierung geändert; diese Zugangsdaten hat Capcom nach eigenen Angaben bereits zurückgesetzt 1 5.
Die Unterscheidung zwischen "Datensatz" und "Profil" ist für die Bewertung zentral. Die 11,77 Millionen sind im Kern die E-Mail-Basis eines kostenlosen Mitgliederdienstes. Für die meisten Betroffenen bedeutet das Leck deshalb keinen unmittelbaren finanziellen Schaden, sondern ein Targeting-Risiko: Wer weiß, dass eine Adresse bei Capcom registriert ist, kann gezielt täuschend echte Mails im Namen des Publishers verschicken.
Vom Fund am 19. Oktober zur Meldung an Polizei und Datenschutzkommission
Capcom rekonstruiert den Ablauf in seiner Mitteilung minutiös 1. Am 19. Oktober entdeckte das Unternehmen verdächtige Aktivitäten, die auf einen möglichen unbefugten Zugriff auf Capcom ID hindeuteten, blockierte den Zugang und bestätigte am selben Tag, dass tatsächlich ein Zugriff stattgefunden hatte. Am 20. Oktober richtete Capcom einen internen Krisenstab ein und meldete den Vorfall dem Information Technology Security Oversight Committee, einem externen Beratungsgremium des Konzerns. Am 21. Oktober folgten Meldungen an die Polizeipräfektur Osaka und an Japans Datenschutzkommission (Personal Information Protection Commission) 1 3.
Am 22. Oktober ging Capcom an die Öffentlichkeit. Die Dienste, die Capcom ID nutzen, blieben nach Konzernangaben durchgehend verfügbar; auch die Spiele selbst waren nicht beeinträchtigt 1 3. Zwischen Entdeckung und Offenlegung liegen damit drei Tage – gemessen an vielen vergleichbaren Fällen ein kurzer Zeitraum.
Wie die Angreifer vorgingen – und wozu Capcom schweigt
Capcom erklärt, man habe "die Angriffsmethode identifiziert und adressiert" 1. Welche Schwachstelle oder welchen Zugangsweg die Täter nutzten, teilte der Konzern jedoch nicht mit 4. Auch zur Frage, ob es sich um einen gezielten Angriff auf die Kontoinfrastruktur oder um automatisierte Versuche mit gestohlenen Zugangsdaten handelte, macht die Mitteilung keine Angaben.
Die 196 unautorisierten Passwortänderungen sind der auffälligste Befund. Um ein Passwort zu ändern, braucht ein Angreifer normalerweise entweder das alte Passwort oder Zugriff auf den Reset-Kanal – in der Regel die hinterlegte E-Mail-Adresse. Sicherheitsforscher dürften deshalb fragen, ob der Passwort-Reset-Prozess oder Sitzungs-Token missbraucht wurden. Belegt ist das bislang nicht; es handelt sich um eine offene Frage der laufenden Untersuchung.
Kein Lösegeld, kein Verschlüsselungstrojaner – ein anderes Muster als 2020
Hinweise auf eine Lösegeldforderung finden sich in der Stellungnahme nicht; auch in den bislang vorliegenden Berichten ist von einer Erpressung keine Rede 1 2 3. Das unterscheidet den Vorfall strukturell von dem Angriff, den Capcom im November 2020 einräumen musste: Damals verschaffte sich die Gruppe Ragnar Locker mit einem Verschlüsselungstrojaner Zugang, entwendete rund ein Terabyte interner Daten und veröffentlichte unter anderem Material zu künftigen Spielprojekten. Capcom sprach seinerzeit zunächst von bis zu 350.000 potenziell betroffenen Datensätzen, darunter Namen und Adressen von Kunden und ehemaligen Mitarbeitern 6 2.
Der Unterschied ist auch ökonomisch erklärbar. Erpressung lohnt sich, wenn Daten brisant sind – interne Dokumente, Personalakten, unveröffentlichte Projekte. Die Kontodaten eines kostenlosen Mitgliederdienstes taugen dafür kaum; sie sind Rohmaterial für Phishing und für Übernahmeversuche bei anderen Diensten, bei denen dieselbe Adresse hinterlegt ist.
Wie Capcom Betroffene informiert
Der Konzern kündigt an, betroffene Kunden aktiv zu informieren 1. Dafür hat er eigene Support-Kanäle eingerichtet: in Japan eine gebührenfreie Hotline (0120-801-271, 10 bis 20 Uhr Ortszeit), für Nord-, Mittel- und Südamerika ein Formular im Capcom-USA-Support, für Europa, Nahen Osten und Afrika ein Formular sowie die Adresse feedback@capcom.com, für Asien und Ozeanien info-asia@capcom.com 1.
Zugleich warnt Capcom vor betrügerischen Nachrichten. Man solle bei verdächtigen E-Mails keine enthaltenen Links aufrufen und keine Anhänge öffnen, heißt es in der Mitteilung 1. Der Konzern betont, den Vorfall "außerordentlich ernst" zu nehmen, die Untersuchung fortzusetzen und auf Grundlage der Ergebnisse Maßnahmen gegen eine Wiederholung zu ergreifen 1 4.
Einordnung: Der regulatorische Rahmen
Mit der Meldung an die japanische Datenschutzkommission erfüllt Capcom eine Pflicht aus dem japanischen Datenschutzgesetz (Act on the Protection of Personal Information), das bei Lecks, die Rechte und Interessen Betroffener verletzen können, eine Meldung an die Aufsicht und die Information der Betroffenen verlangt. Ob auch europäische Aufsichtsbehörden eingeschaltet wurden, ist bislang nicht öffentlich. Da Capcom ID weltweit genutzt wird, dürften zahlreiche betroffene Adressen in der EU liegen; nach der Datenschutz-Grundverordnung wäre dann eine Meldung binnen 72 Stunden an die zuständige Aufsichtsbehörde fällig, sofern ein Risiko für die Rechte und Freiheiten der Betroffenen besteht. Capcom äußert sich dazu nicht.
Ausblick
Für Capcom ist der Vorfall auch ein Reputationsproblem: Nach 2020 hatte der Konzern zugesagt, seine Informationssicherheit zu stärken. Dass nun ausgerechnet der zentrale Konto-Dienst betroffen ist, über den Spieleridentitäten verwaltet werden, wiegt schwerer als ein einzelner kompromittierter Server. Entscheidend wird sein, ob die Untersuchung den Angriffsweg offenlegt – und ob Capcom mehr tut, als Betroffene zum vorsichtigen Umgang mit E-Mails zu ermahnen. Naheliegend wären eine Zwei-Faktor-Authentifizierung für Capcom ID und eine transparentere Darstellung, wie viele Konten tatsächlich kompromittiert wurden. Der Konzern kündigt weitere Updates an, sollten zusätzliche offenlegungspflichtige Fakten bekannt werden 1.
