カプコン、1177万件漏えい 発見から2日で届け出、社用アドレスは警戒を

ゲーム会社のカプコン(東証プライム)は2026年10月22日、オンライン会員サービス「CAPCOM ID」に第三者の不正アクセスがあり、顧客の情報の一部が外に漏れたと公表しました。メールアドレスなどの漏えいは、全世界で11,774,247件です。

緊急の対策は終わっていて、CAPCOM IDを使うサービスは引き続き使えます。ゲームを遊ぶことへの影響は無いとしています。利用者向けの詳しい内容は、TECHNOVAの記事「カプコン「CAPCOM ID」に不正アクセス、メールアドレスなど約1,177万件が漏えい 196件はパスワードを書き換えられる」にまとめています。この記事は、会社と情シスの目線で整理します。

漏れた情報

クレジットカードの情報は、漏えいの対象に含まれていません。対象の人には順に個別に連絡するとしています。196件のパスワードの変更について、不正アクセスによる影響の範囲は、引き続き調べています。

見つけてから公表までの流れ

痕跡を見つけた日に遮断し、2日後には警察と個人情報保護委員会に届け出ています。外部の助言の組織にも、2日目に報告しています。事故のときに、誰に、いつまでに知らせるかを前もって決めておくと、この速さで動けます(当社の見立て)。

攻撃の手段は特定して対応を終えたとしていますが、手口や入口は公表されていません。

社用のメールアドレスで登録した社員がいる会社は

CAPCOM IDは、ゲームやWebのサービスで使う共通のアカウントです。社員が社用のメールアドレスで登録していることもありえます。その場合、漏れたメールアドレスあてに、カプコンや関係先を装った偽のメールが届く恐れがあります。カプコンも、不審なメールのURLや添付ファイルを開かないよう呼びかけています。

漏れた情報には、最終ログインのときのIPアドレスも含まれます。社内のネットワークから登録やログインをしていれば、会社の外向きのIPアドレスとメールアドレスが結びついた形で出回ることになります。狙いを絞った偽のメールに使われる恐れもあります(当社の見立て)。

影響する人・会社、しない人・会社

• 影響する: CAPCOM IDに登録している人です。メールアドレスなどが漏れていて、カプコンを装う偽のメールに注意が要ります。196件はパスワードを不正に変えられていました。
• 影響する: 社員が社用のメールアドレスでCAPCOM IDに登録している会社です。そのアドレスあての偽のメールが届く恐れがあります。
• 影響しない: CAPCOM IDに登録していない人です。クレジットカードの情報と、利用者が設定したパスワードは漏れていないとしています。

会社・情シスが今日やること

1. 社内に短く知らせます。「カプコンのCAPCOM IDから、メールアドレスなどが漏れた。カプコンを名乗るメールのURLや添付は開かず、怪しいものは情シスに転送する」と伝えます。
2. メールの見張りの仕組みがあれば、カプコンを名乗る送信元や件名を、しばらく注意して見ます。
3. 社用のメールアドレスで、業務と関係の無いサービスに登録しないよう、決まりを見直します。登録してしまったものは、私用のアドレスに切り替えるよう案内します。
4. 自社の事故の連絡の手順を見直します。今回カプコンは、見つけた日に遮断し、2日目に対策本部と外部の助言の組織への報告、3日目に警察と個人情報保護委員会への報告をしています。自社で同じ流れがとれるか、連絡の先と判断する人を確かめます。
5. 自社の会員サービスがあれば、パスワードの不正な変更を見つけられるかを確かめます。変更のたびに本人へ知らせるメールを送る、変更の急増を見張る、などです。