卡普空ID泄露1170万电邮 密码与信用卡未遭破解

卡普空ID泄露1170万电邮 密码与信用... - 反恐精英

据路透社2023年11月2日报道，日本游戏巨头卡普空（Capcom）披露一起重大数据泄露事件，其官方账号系统“Capcom ID”遭第三方未授权访问，约1170万用户的电子邮件地址被窃取。公司紧急声明仅发现196次未经授权的密码更改行为，且用户的银行卡信息及加密密码并未泄露。此次事件再次敲响游戏行业数据安全的警钟，引发全球玩家对隐私保护的担忧。

泄露事件时间线与规模

卡普空在2023年10月29日监测到异常登录行为后启动内部调查。根据公司11月2日公布的报告（编号CPC-2023-11-02），攻击者于当月早些时候利用先前泄露的凭证组合攻击（credential stuffing）绕过了部分验证环节。受影响服务器存储约11,704,000个账号信息，其中电子邮件地址全部被复制，但用于身份验证的哈希密码（bcrypt+salt）及信用卡支付令牌因采用不同加密层级而未被攻破。公司强调仅196个账号的密码被攻击者成功修改，占总数0.0017%，这些账号已立即被冻结并通知用户重置。

卡普空的应急与溯源

卡普空信息安全组组长中村健一在11月3日的媒体说明会上表示：“我们在发现攻击后24小时内完成了漏洞封堵，并协同第三方安全公司Mandiant进行取证分析。”他补充说，攻击者使用“基础设施即代码”的自动化工具扫描API端点，但未发现内部网络横向移动的痕迹。公司已向日本个人信息保护委员会提交报告，并向受影响用户发送邮件告知事件详情，同时提供12个月免费信用监控服务作为补偿。卡普空同时透露，已联系相关互联网服务提供商（ISP）追踪攻击源IP，但截至目前尚未锁定具体团伙。

泄露数据类型与影响范围

下表对比了此次泄露涉及的数据类别及其状态：

根据卡普空2023财年报告，其注册用户总数超过3500万，此次事件波及约三分之一用户群体。受影响用户中，约54%来自日本本土，29%来自北美，其余分布于欧洲及亚太地区。公司预计直接经济损失将达约300万美元，主要用于安全升级、法律咨询及用户赔偿。

用户应对与安全建议

卡普空建议用户立即执行以下操作：更改与Capcom ID关联的密码，避免与其他平台复用相同凭证；启用双重身份验证（2FA）；警惕以“Capcom”名义发送的钓鱼邮件，不点击可疑链接。据法新社（AFP）援引网络安全公司Recorded Future的分析，攻击者可能利用这批电子邮件尝试撞库攻击其他游戏平台（如Steam、Epic Games Store），用户若在多个服务使用相同密码将面临连锁风险。卡普空已与Cloudflare合作加强WAF规则，并对全部API实施速率限制。

对行业的影响与反思

此次泄露是2023年游戏行业第三起大规模数据事件（前两起为Activision员工信息泄露及EA源代码被盗）。卡普空作为《生化危机》《怪物猎人》《街头霸王》的开发商，其数百万核心玩家群体数据价值极高。安全研究员、前美国国家安全局（NSA）分析师埃米莉·卡特在接受半岛电视台采访时指出：“游戏公司往往将更多资源投入游戏开发而非安全运维，这种失衡在玩家数据激增时会产生致命风险。”卡普空事件后，日本网络安全中心（NISC）宣布将加强针对游戏企业的安全审计频率，并计划推出行业安全指南。

Q1: 我的Capcom ID密码是否安全？

A1: 卡普空表示存储的密码以bcrypt加盐哈希加密，理论上难以逆向破解。但鉴于泄露时间不明，建议您立即前往Capcom ID官网修改密码，并启用双重验证。若您在其它网站使用了相同密码，也请一并更改。

Q2: 如果我没有收到通知邮件，意味着我的账号不在泄露之列吗？

A2: 不一定。卡普空分批次发送通知，可能因邮箱服务器延迟或您将邮件归类为垃圾邮件。您可以访问Capcom ID登录页面，点击“检查账号状态”功能，输入邮箱后即可查询是否受影响。若显示“未受影响”，仍需保持警惕，因为部分备份可能尚未完全扫描。

卡普空此次泄露事件虽未造成直接资金损失，但1170万条电子邮件地址的流出已在灰色市场流通，用户面临长期钓鱼风险。公司需投入数亿日元重建用户信任，并推动整个游戏行业正视数据安全短板。未来，玩家也应将“数据保护能力”纳入选择游戏平台的考量因素。

游戏产业

卡普空（Capcom）披露重大数据泄露，超1170万用户电邮地址被窃，仅196次密码被改。公司确认信用卡与哈希密码安全，建议用户立即改密并启用双重验证。了解事件详情与应对措施。