カプコン、CAPCOM IDの1,177万件超のデータが流出するデータ侵害を確認

カプコンは、世界中で11,774,247件のCAPCOM IDレコードに影響するデータ侵害が発生したことを確認しました。オンライン会員サービスに紐づく顧客情報に、権限のない第三者がアクセスしました。

2026年10月22日に公表されたこのインシデントでは、メールアドレスとアカウントのメタデータが流出しました。一部のレコードでは、個人のプロフィール情報の流出や、不正なパスワード変更も確認されています。

CAPCOM IDは、カプコンのウェブサービスの利用や、一部ゲームのオンラインプレイに使える統合アカウントシステムです。同社は緊急の封じ込め措置を講じたとしており、CAPCOM IDサービスの運用や、プレイヤーがゲームにアクセスしてプレイする機能に支障は出ていません。

影響を受けたレコードには、メールアドレスのほか、カプコンが「システム固有の識別子」と説明するデータが含まれていました。具体的には、アカウント作成日時、最終ログイン日時、ログイン回数、直近のログインに使われたクライアントIPアドレスです。

全レコードのうち43件では、生年月日、性別、国・地域、ニックネームも流出しました。また、196件のアカウントで不正なパスワード変更が確認されています。このことから、今回のインシデントでは、顧客情報へのアクセスに加えてアカウントの改ざんも行われたとみられます。

カプコンはこの196件のアカウントのパスワードをリセットしました。一方で、顧客が元々使っていたログインパスワードが漏えいした事実は確認されていません。不正にパスワードを変更されたからといって、攻撃者が元のパスワードを入手したとは限りません。また、流出したデータにクレジットカード情報は含まれていませんでした。

カプコンは10月19日に不審な動きを検知し、直ちに不正アクセスの遮断を開始するとともに、原因と影響範囲の調査を進めました。調査担当者は同日中に侵入を確認し、攻撃に対処するための緊急措置が取られました。

10月20日には、社内にインシデント対応チームを設置しました。調査の結果、顧客情報が流出し、不正なパスワード変更が行われたことが判明しました。同社は外部の諮問機関である情報技術セキュリティ監視委員会にも通知しています。

Securityflaw patching

10月21日には、カプコンがインシデントを報告しました。報告先は大阪府警察と日本の個人情報保護委員会です。同社は侵害の影響の全容を見極めるため、監視と調査を続けています。

カプコンは、流出した情報が、同社や関連組織になりすましたフィッシングメールなどの詐欺的な連絡に悪用される恐れがあると警告しています。不審なメールの添付ファイルは開かず、リンクもクリックしないよう呼びかけています。登録済みのメールアドレスは、引き続き利用できます。

カプコンは攻撃手法を特定して対処したとしていますが、発表では、最初の侵入がどのように行われたのか、特定の脆弱性やマルウェアが関与したのか、攻撃者は誰なのかについては明らかにされていません。

同社は影響を受けた顧客に個別に連絡するほか、地域別のサポート窓口を設置しました。今後は追加調査の実施、再発防止策の導入、情報セキュリティ管理の強化を進めるとともに、新たな関連情報が判明次第、追加の情報を公表するとしています。

MTTRを21分短縮し、被害が出る前にサイバー脅威を阻止。ANYRUNのSandboxをSOCに統合。