- カプコン、CAPCOM IDユーザー1170万人に影響するデータ漏えいを公表。主にメールアドレスが流出
- 一部のアカウントでは個人情報も流出し、196件のアカウントでは攻撃者がパスワードを変更
- 同社はプラットフォームを保護し、関係当局に通報したうえで、ユーザーにフィッシングへの注意を呼びかけ
日本のゲーム大手カプコンは、1170万人以上の機密情報が流出するデータ漏えいを受けたことを確認しました。ほぼ全員のメールアドレスが漏えいしたほか、一部では誕生日や居住地域も流出し、パスワードも変更されました。
カプコンは、『バイオハザード』や『ストリートファイター』といった人気タイトルを手がける、世界的なゲーム開発・販売会社です。同社が提供するサービスの一つがCAPCOM IDで、無料の統合アカウントとして、さまざまなゲームやオンラインサービスを利用できます。
CAPCOM IDの利用者は現在1000万人を超えています。同社は日本語サイトで新たなセキュリティ情報を公表し、サービスが第三者によって不正アクセスされ、「お客様情報の一部が外部に漏えいした」と説明しました。
パスワードの変更
機械翻訳された警告文には、「お客様および関係者の皆様に多大なるご迷惑とご心配をおかけしましたことを、深くお詫び申し上げます」とあります。
カプコンによると、今回の事態を受けてセキュリティ対応を発動し、CAPCOM IDサービスの保護を完了しました。サービスは引き続き利用でき、各ゲームのプレイに影響はありません。
ただし、調査の結果、攻撃者は11,774,247件のメールアドレスのほか、システム固有の識別情報を入手していたことが判明しました。具体的には、アカウントの作成日時、最終ログイン日時、ログイン回数、最終ログイン時のクライアントIPです。
43人のユーザーについては、生年月日、性別、ニックネーム、国・地域のデータも取得されました。196人については、攻撃者が正規ユーザーをアカウントから締め出そうとして、パスワードを変更しています。パスワード自体は漏えいしておらず、カプコンはパスワードのリセット手続きを実施し、アカウントを正規の所有者に戻したとしています。
同社は「対象となるお客様には、順次個別にご連絡いたします。なお、クレジットカード情報は漏えいの対象に含まれません」と締めくくっています。
カプコンは、攻撃者の正体や侵入手口については明らかにしていません。そのため、従業員のログイン情報をフィッシングで盗んだのか、現在多くの組織が対応に追われているphp2shellの脆弱性のような欠陥を突いたのかは不明です。攻撃者が接触を試みたのか、データ削除と引き換えにカプコンへ金銭を要求したのかも分かっていません。
ダークウェブ上では、今回の攻撃について犯行声明を出した攻撃者はまだいません。データのサンプルも共有されておらず、データベース全体が流出した形跡もありません。カプコンは警察などの関係当局に通報したと説明しており、調査を続けています。
再び標的に
カプコンはこれまでにもサイバーインシデントに見舞われています。2020年11月には悪名高いランサムウェアグループ「Ragnar Locker」の標的となり、1テラバイトに上る機密データを持ち去られました。その数カ月後、同社は攻撃者が古いVPN機器から侵入したと説明し、39万人に影響したことを確認しました。
カプコンは1983年創業の日本のゲーム開発・販売会社です。長年にわたり、『バイオハザード』シリーズや『ストリートファイター』、『デビル メイ クライ』など、数々の大ヒット作を生み出してきました。ゲーム機の開発・運営も手がけており、2026年3月時点で世界の従業員数は約4000人です。2025年度のゲーム販売本数は5187万本に達し、『バイオハザード』と『ストリートファイター』の2タイトルは現在、世界中の映画館でも好調な成績を収めています。2026年度の年間売上高は13億ドルに達しました。
メールアドレスだけで深刻なサイバー攻撃が成立するわけではありません。しかし、巧妙に仕立てたフィッシングメールを送る足がかりにはなり、ランサムウェア感染や情報窃取マルウェア（インフォスティーラー）、ビジネスメール詐欺（BEC）につながるおそれがあります。カプコンはユーザーに対し、警戒を怠らず、特に同社に言及する受信メールには注意するよう呼びかけています。
