ゲーム大手カプコンは、会員サービス「CAPCOM ID」への不正アクセスにより、1,170万件を超えるアカウントのメールアドレスなどが流出したと発表しました。カプコンは、影響を受けた利用者へ段階的に通知する方針を示しています。
事案の詳細
カプコンは2026年10月19日、CAPCOM IDで不審な活動を検知し、調査の結果、第三者による不正アクセスと顧客情報の侵害を確認しました。10月21日には警察および個人情報保護委員会へ報告しています。侵入時期や具体的な攻撃手法の詳細は、現時点で明らかにされていません。
流出した可能性がある情報は、1,170万件を超えるアカウントのメールアドレス、アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時に使用されたIPアドレスです。
このうち43件のアカウントでは、生年月日、性別、ニックネーム、国・地域も流出した可能性があります。また、196件のアカウントでは、攻撃者によってCAPCOM IDのログインパスワードが変更され、利用者を締め出そうとした形跡が確認されました。カプコンはこれらのパスワードをリセットしています。
カプコンは、その他の登録会員についてパスワードは流出していないと説明しています。また、クレジットカード情報はCAPCOM IDの影響対象に含まれていないため、今回の事案による流出は確認されていません。オンラインサービスやゲームの利用自体には影響しないとしています。
カプコンは、同社を装って追加情報の入力を求めるメールやメッセージ、URLや添付ファイルを含む連絡に注意するよう呼びかけています。流出した可能性のある情報が直接の金銭被害につながらない場合でも、フィッシングやなりすましの材料になる可能性があります。
日本への影響
海外を含む大規模な会員情報の漏えいは、日本の中小企業にとっても無関係ではありません。従業員がCAPCOM IDなどに登録したメールアドレスを業務でも使用していた場合、漏えいした情報を手掛かりに、取引先や社内連絡を装う詐欺メールが届くリスクがあります。
メールアドレスに加えて、最終ログイン日時やIPアドレスなどが悪用されると、実在するサービス利用者に見せかけた連絡が作られる可能性があります。さらに、パスワードを複数のサービスで使い回している場合は、業務用メール、SaaS、クラウドサービスなどへの不正ログインに波及するおそれがあります。
対策・今後の展望
- パスワードの使い回しをやめる：CAPCOM IDで使用していたパスワードを他のサービスでも使っている場合は、同じパスワードを使う全サービスで直ちに変更します。カプコンは他の登録会員のパスワードは流出していないとしていますが、使い回しは避けるべきです。
- 多要素認証（MFA）を有効化：対応するメール、クラウド、業務SaaSでは、ワンタイムコードや認証アプリなどを必須にし、ID・パスワードだけでログインできない状態にします。
- フィッシング対策を徹底：送信元名だけで判断せず、実際の差出人、リンク先、添付ファイルを確認します。ログインや追加情報の入力を求める連絡はリンクを直接開かず、公式アプリやブックマークからサービスへアクセスします。
- 従業員の業務メールアドレスを棚卸し：外部サービスへの登録状況を確認し、退職者のアカウントや不要な登録を削除します。個人用途と業務用途でメールアドレスを分ける運用も有効です。
- ログイン履歴と認証情報を確認：不審なログイン、パスワード変更通知、見覚えのない認証要求がないか確認し、異常があれば公式窓口からパスワード変更やアカウント復旧を行います。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】MDRの現場では、情報漏えい後に、流出した可能性のあるメールアドレス宛てのフィッシングやなりすましが増える傾向があります。日本企業でも個人登録や業務との兼用アドレスが使われているため、取引連絡やアカウント確認を装う攻撃に警戒が必要です。
【観点②：平易な解説】今回の事案では、メールアドレスだけでなく、アカウント作成日時、最終ログイン日時、ログイン回数、IPアドレスなども流出した可能性があります。これらの情報を組み合わせると、実在する利用者やサービスを装った、より自然な詐欺連絡を作られるおそれがあります。
【観点③：今週中にできること】まず、社内メールアドレスが登録されている外部サービスを確認し、パスワードの使い回しがあれば変更します。次に、メールやクラウドなど主要サービスからMFAを有効化します。最後に、追加情報の入力を求めるメール、URLや添付ファイルを含む不審な連絡には応答せず、公式サイトや社内のセキュリティ窓口で確認するルールを周知します。
参照: Capcom confirms data breach affecting 11.7 million accounts