カプコンのオンラインアカウントサービスに登録しているユーザーは、同社を装ったようなメールに注意が必要です。
カプコンは、第三者がCAPCOM IDに紐づく顧客情報に不正アクセスしたと公表しました。CAPCOM IDは、同社のWebサービスへのサインインや、一部のゲームをオンラインでプレイする際に使うアカウントです。同社は10月19日に不審なアクティビティを検知し、同日中に侵入を確認しました。
カプコンは、『バイオハザード』『ストリートファイター』『モンスターハンター』『ロックマン』などで知られる日本のビデオゲーム開発・販売会社です。
カプコンの発表によると、攻撃者は世界全体で11,774,247件のレコードを入手しました。これらにはメールアドレスのほか、各アカウントのシステムデータが含まれます。具体的には、アカウントの作成日時、最終ログイン日時、ログイン回数、直近のサインインに使われたIPアドレスです。
このうち43件のレコードでは、アカウント保有者の生年月日、性別、国または地域、ニックネームも流出しました。
カプコンは、顧客が設定したパスワードが侵害された形跡は確認されていないとしています。ただし、攻撃者は196件のアカウントでパスワードを無断で変更しており、同社はすでにリセットを済ませました。支払いカード情報は被害対象に含まれていないとしています。
CAPCOM IDに登録したメールアドレスは引き続き利用できます。ただし、盗まれた情報が、カプコンや関係者を装った詐欺メッセージの送信に悪用されるおそれがあると、同社は注意を促しています。不審なメールやメッセージを受け取った場合は、「記載されたURLへのアクセスや添付ファイルを開くことは控えて」ほしいとしています。
カプコンは不審なアクティビティを把握した後、アクセスの遮断を始め、攻撃手法の特定を進めました。
10月20日には社内にインシデント対応本部を設置し、同社に助言する外部機関の情報技術セキュリティ監視委員会（Information Technology Security Oversight Committee）に報告しました。翌日には、大阪府警察と日本の個人情報保護委員会に届け出ています。
同社は、緊急対応を完了し、攻撃手法を特定して対処したと説明しています。ただし、手法の詳細には触れていません。CAPCOM IDのサービスとゲームは、引き続き利用できます。
カプコンは影響を受けた顧客に通知する予定です。地域別の専用窓口も開設しており、日本ではフリーダイヤル、南北アメリカおよびヨーロッパ・中東・アフリカのプレイヤー向けにはオンライン問い合わせフォームを用意しています。
調査は続いており、公表すべき新たな情報が見つかった場合は、同社のWebサイトで続報を公開するとしています。
本稿執筆時点で、犯行声明を出したグループはありません。
カプコンがサイバー攻撃に見舞われたのは、今回が初めてではありません。2020年11月には、ランサムウェア攻撃を受け、最大35万人の顧客、取引先、従業員の個人情報が侵害されました。
今年サイバー攻撃を報告したゲーム会社は、カプコンだけではありません。『グランド・セフト・オート』や『レッド・デッド・リデンプション』の開発元であるRockstar Gamesも、4月に攻撃を認めました。この攻撃については、ShinyHuntersグループが犯行を主張しています。なお、他のゲーム企業も標的になっています。
翻訳元: https://www.helpnetsecurity.com/2026/10/23/capcom-id-data-breach-11-million-records-exposed/
