カプコンは、世界中のCAPCOM IDの記録11,774,247件に影響する情報漏えいを公表しました。攻撃者は196件のアカウントで、ログインパスワードを不正に変更していました。
2026年10月22日の発表によると、一部のゲームのウェブサービスやオンライン接続に使われる統合型オンライン会員サービスで、顧客情報への不正アクセスが確認されました。
影響を受けた記録には、メールアドレスとアカウントのメタデータが含まれていました。メタデータは、アカウントの作成日時、最終ログイン日時、ログイン回数、直近のログインで使われたクライアントIPアドレスです。
カプコンはさらに、影響を受けたデータセットのうち43件の記録に、生年月日、性別、国または地域、ニックネームが含まれていたことも確認しました。一方で、顧客がもともと設定していたログインパスワードが侵害された事実は確認していないとしています。
ただし調査の結果、196件のアカウントでパスワードが不正に変更されていたことが判明しました。同社はこれらのパスワードをすでにリセットしており、インシデントの影響範囲について調査を続けています。クレジットカード情報は、影響を受けたデータに含まれていません。
ここには重要な違いがあります。パスワードの不正変更は確認されたものの、顧客の元のパスワードは流出していません。発表では、攻撃手法やパスワードが変更された経緯は明らかにされておらず、侵入の背後にいる攻撃者も特定されていません。
追加の個人情報を含む43件の記録が、パスワードを変更された196件のアカウントと重複するのかどうかも示されていません。カプコンは10月19日に不審な動きを検知し、直ちにアクセスの遮断を開始するとともに、原因と範囲の調査を進めました。
同社は同日中に不正アクセスを確認して緊急対策を講じ、攻撃手法の特定と対処にも着手しました。
10月20日には、社内にインシデント対応本部を設置しました。調査では、登録された顧客情報へのアクセスと、限られた数のアカウントでのパスワード不正変更が確認されました。
カプコンは、外部の諮問機関である情報技術セキュリティ監視委員会にも、このインシデントを報告しています。
同社は10月21日に、大阪府警察と日本の個人情報保護委員会へ届け出ました。インシデントの全容に関する調査、監視、評価は現在も続いています。
カプコンによると、緊急対応策は完了しており、攻撃手法の特定と対処も済んでいます。CAPCOM IDのサービスは引き続き利用でき、顧客がゲームにアクセスしたりプレイしたりする妨げにもなっていません。
同社は、漏えいした情報がカプコンや関連組織をかたる詐欺メールやメッセージに悪用される恐れがあると警告しています。
注意喚起によると、不審な連絡を受け取った顧客は、添付ファイルを開いたり、本文中のURLにアクセスしたりしないよう求められています。カプコンは影響を受けた顧客に通知する予定で、地域別の専用サポート窓口も設けました。
同社は、調査結果に基づいてセキュリティを追加で強化すると約束しました。あわせて、新たに判明し開示が必要な事実は、公式サイトなど適切な手段で公表するとしています。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を減らしています。自社チームで試す
翻訳元: https://cyberpress.org/capcom-confirms-data-breach/
