Capcom情報漏えい、1,170万件超のレコードが流出：ゲーマーが知っておくべきこと

Capcomは、サイバー攻撃により世界で1,170万件を超えるCAPCOM IDのレコードが流出したと発表しました。流出したのは、顧客のメールアドレス、最終ログイン日、ログイン回数、直近のログインに関連するIPアドレスなどです。

この日本のゲームパブリッシャーは10月22日、同社の会員サービスへの不正アクセスにより、11,774,247件のレコードが侵害されたことを確認しました。攻撃者は196件のアカウントでパスワードも変更しています。10月23日の続報では、このうち19件のアカウントが、同社のオンラインショッピングサービスで追加の個人情報にアクセスするために使われていたことが明らかになりました。

CAPCOM IDでオンラインサービスや一部のゲームを利用しているゲーマーにとって、当面の課題は、アカウントへの不正アクセスや詐欺的な連絡から身を守ることです。Capcomは、顧客が元々設定していたパスワードの流出は確認していないとしています。ただし、流出した情報は、犯罪者が巧妙なフィッシングを仕掛ける材料になり得ます。

Capcomが10月22日に公表した公式発表によると、同社は10月19日に不審な動きを検知し、同日中に不正アクセスを確認しました。

10月20日までに、調査担当者はCAPCOM IDに紐づく顧客情報が侵害されたと判断しました。Capcomは10月21日に日本の関係当局へ報告し、翌日に情報漏えいを公表しました。

初期調査では、影響を受けた情報が次の3種類に分類されています。

• 11,774,247件のレコード：メールアドレスとアカウントのメタデータ。アカウント作成日、最終ログイン日、ログイン回数、直近のログインに関連するIPアドレスを含みます。
• 上記のうち43件のレコード：生年月日、性別、国または地域、ニックネームなどの追加の個人情報。
• 196件のアカウント：ログインパスワードが不正に変更されました。Capcomは、影響を受けたパスワードをすでにリセットしたとしています。

これらの数字はCAPCOM IDのレコード数であり、1,170万人の個人を意味するとは限らない点に注意が必要です。

Capcomは、顧客が元々設定したパスワードの流出は確認していないと説明しています。クレジットカード情報も、侵害されたデータには含まれていませんでした。

10月23日の続報、19アカウントで追加の情報流出が判明

10月23日の公式続報で、Capcomは次のように確認しました。パスワードが変更された196アカウントのうち19件が、オンラインショッピングサイト「e-Capcom」の顧客ページへのアクセスに使われていました。

この結果は Security NEXTも報じており、これらのアカウントから流出した追加の個人情報を詳しく伝えています。

侵害された情報は次のとおりです。

• 個人を特定する情報：氏名、性別、生年月日。
• 連絡先情報：電話番号、自宅住所。
• 購入・アカウント記録：購入履歴、顧客からの問い合わせ履歴、会員のアドレス帳に保存された情報。

影響を受けた19アカウントはすべて、日本で登録されたものでした。

この点が重要なのは、被害がメールアドレスや基本的なアカウントのメタデータにとどまらなかったためです。この19人の顧客については、追加の情報が、より標的を絞ったなりすましなどの詐欺に悪用される可能性があります。

Capcomは、攻撃手法を特定して対処したとしています。10月23日の続報では、インシデントの影響範囲の調査を完了したと報告しました。今後はCAPCOM IDと関連サービスの監視を続け、再発防止策も実施する方針です。

今回の事案は、消費者データが大規模に流出した他の事例に続くものです。これに先立ち、 ASOSが顧客138,828人に影響するアカウント乗っ取りを公表しました。犯罪者がアカウント情報を入手した後も、リスクが残り続けることを示しています。

CAPCOM IDのユーザーにとって、今後も最大の懸念となり得るのは、攻撃者が流出後にその情報をどう悪用しようとするかです。

Capcomは、流出した情報が、同社や関係者をかたる詐欺メールなどの連絡に悪用される恐れがあると警告しています。

そのため、ゲーマーは特に注意が必要です。身に覚えのないメッセージには警戒してください。たとえば、アカウントが停止された、パスワードをすぐにリセットしなければならない、プレイを続けるには個人情報の確認が必要だ、といった内容です。

Capcomは、今回の事案に起因するフィッシングキャンペーンを確認したとは報告していません。それでも、その可能性には注意が必要です。

被害リスクを減らすために、プレイヤーは次のような実践的な対策を取れます。

1. CAPCOM IDのアカウントを直接確認する：身に覚えのないメールやテキストメッセージのリンクをたどらず、 CAPCOM ID公式サイトにアクセスしてください。アカウントにアクセスできることを確認し、確認可能なアカウント情報に不正な変更がないか見直してください。
2. 他のサービスと使い回しているパスワードを変更する：Capcomは全ユーザーにパスワードのリセットを求めておらず、影響を受けた196アカウントのパスワードはすでにリセットしたとしています。それでも、複数のゲーム、ショッピング、メールのサービスで同じパスワードを使っている場合は、固有のパスワードに変更してください。これは予防措置であり、パスワードが盗まれた証拠があるわけではありません。
3. Capcomをかたるフィッシングに警戒する：本物のアカウント情報を入手した攻撃者は、より信頼性の高いメッセージを作成できる可能性があります。不審なリンクや添付ファイルは避け、不意にかかってきた電話の相手にログイン情報や個人情報を教えないでください。同様の手口は、 Microsoft 365のカレンダー招待を使ったフィッシングキャンペーンでも確認されています。
4. 関連するメールアカウントやショッピングアカウントを監視する：身に覚えのないログイン通知、パスワードリセットの要求、アカウント情報の変更があった場合は、公式サービスのサイトで確認してください。eSecurity Planetの個人情報が情報漏えいで流出したかどうかを確認するためのガイドも参考になります。
5. 不審な動きに気づいたらCapcomに連絡する：アカウントにアクセスできない場合や、自分の情報が悪用されたと思われる場合は、 公式サポートフォームから同社に連絡できます。

Capcomは、影響を受けた顧客に個別に通知しており、サービスの監視を続けるとしています。CAPCOM IDは引き続き利用可能です。同社によると、今回のインシデントで顧客がゲームにアクセスしたりプレイしたりできなくなることはありませんでした。

ゲーマーにとって、ここは重要な区別です。メールアドレスが流出したからといって、必ずしも誰かがアカウントにアクセスできるわけではありません。ただし、犯罪者にとっては、巧妙な詐欺を仕掛ける足がかりになります。アカウントの利用状況や他の個人情報と組み合わされれば、なおさらです。

顧客は、セキュリティ警告を必ずCapcomの公式チャネルで確認してください。アカウントごとに固有のパスワードを使い、ゲームのプレイ状況に触れた不意の連絡には特に注意を払う必要があります。

ショッピング情報が流出した19人の顧客は、実際の購入内容、住所、個人情報に言及した不審な連絡に特に注意することが重要です。

Capcomは攻撃手法に対処したとしていますが、流出した情報は、同社の緊急のセキュリティ対応が終わった後も長く、詐欺師に悪用され得ます。

サイバーセキュリティのその他のニュース：流出した顧客情報が標的型詐欺を助長する別の例については、eSecurity Planetの 約4万人の顧客に影響したSafePalの情報漏えいに関するレポートをご覧ください。