Capcom、CAPCOM IDの1,177万件の記録への不正アクセスを公表

Capcomは2026年10月22日のプレスリリースで、同社が運営するオンライン会員アカウントサービス「CAPCOM ID」に関連する一部の顧客情報が第三者によって不正にアクセスされ、世界全体で11,774,247件の記録が影響を受けたと発表した。大阪に本社を置く同社は、顧客やその他の関係者に謝罪するとともに、本件を大阪府警察および個人情報保護委員会に報告したと明らかにした。

CAPCOM IDは、登録者がさまざまなCapcomのウェブサービスを利用するための共通アカウントで、一部のCapcomのゲームをオンラインでプレイする際にも必要となる。Capcomは、必要な緊急対応措置を完了しており、CAPCOM IDを利用するサービスは引き続き利用可能だと発表した。また、本件によって、プレイヤーが同社のいずれのゲームにもアクセスしたり、プレイしたりする能力に影響はないとしている。

影響を受けた記録とアカウントの状況

発表によると、影響を受けた情報は3つのカテゴリーに分けられており、数値は10月22日時点のものとなっている。

主なカテゴリーは、メールアドレスの記録とシステム固有の識別情報（アカウントの作成日時、最終ログイン日時、ログイン回数、最終ログイン時に使用されたクライアントIPアドレス）で、世界全体で合計11,774,247件に上る。このうち43件には、生年月日、性別、国または地域、ニックネームも含まれていた。

Capcomは、同じ総数に含まれる196件のアカウントで、パスワードが不正に変更されていたことも確認した。同社によると、これらのアカウントに関連付けられたパスワードはすでにリセットされている。また、顧客自身が当初設定したCAPCOM IDアカウントのログインパスワードが侵害されたことは確認されていないという。同社は、本件による影響の範囲について、引き続き調査していると述べた。

影響を受けた情報にクレジットカード情報は含まれていない。またCapcomは、本件の影響を受けた顧客に通知すると発表した。

インシデントの経緯

発表によると、Capcomは2026年10月19日、CAPCOM IDへの不正アクセスの可能性を示す不審な活動を検知し、インシデントの原因と範囲を調査しながら、直ちにアクセスの遮断を開始した。同社は同日、不正アクセスが発生したことを確認して緊急措置を講じ、攻撃手法の特定と対処を進めた。

2026年10月20日、Capcomは社内にインシデント対応本部を設置し、さらなる影響を防ぐための情報収集と対策を継続した。調査により、CAPCOM IDに登録された一部の顧客情報が不正にアクセスされていたこと、また、限られた数のアカウントでパスワードが不正に変更されていたことが確認された。同社は同日、外部諮問機関である情報技術セキュリティ監督委員会に本件を報告した。

2026年10月21日、Capcomは本件を大阪府警察および個人情報保護委員会に報告した。同社は、状況の監視、インシデントの調査、影響の全容の評価を引き続き行うと述べた。

顧客への注意喚起と問い合わせ窓口

CAPCOM IDに登録されたメールアドレスは、引き続き問題なく利用できると同社は述べた。一方、影響を受けた情報が悪用され、Capcomまたは関係者を装った詐欺メールなどの連絡に使われる可能性があると警告した。不審なメールやメッセージを受け取った場合は注意し、本文に記載されたURLへのアクセスや添付ファイルの開封を控えるよう呼びかけている。

同社は、本件専用の顧客向け問い合わせ窓口を設置した。日本では、フリーダイヤル0120-801-271で、JSTの午前10時から午後8時まで問い合わせを受け付けている。北米、中米、南米の顧客は、Capcom USAのカスタマーサポートページからオンライン問い合わせフォームを送信できる。欧州、中東、アフリカの顧客は問い合わせフォームまたはメール[email protected]を利用でき、日本を除くアジアおよびオセアニアの顧客は[email protected]に問い合わせることができる。

Capcomは以前、2021年4月13日の発表で、別の情報セキュリティインシデントについて、外部調査の最終結果を公表していた。その発表によると、攻撃者は2020年10月、北米子会社のCapcom U.S.A., Inc.が管理する旧型のバックアップ用VPN機器へのサイバー攻撃を通じて、同社の社内ネットワークに不正アクセスした。その後、同社の米国および日本のオフィスにある機器が侵害され、2020年11月1日夜遅くから、ランサムウェアによって影響を受けた機器内のファイルが暗号化された。Capcomは2020年11月2日に接続障害を検知し、影響を受けた機器上で、Ragnar Lockerを名乗るグループからの脅迫メッセージを発見した。

2021年の発表では、このインシデントで侵害されたことが確認された情報の対象者は15,649人とされていた。また、リスクにさらされたデータにクレジットカード情報は含まれていなかった。オンライン取引は、攻撃の影響を受けていない別のシステム上で、第三者のサービスプロバイダーが処理していたためだという。

2020年のインシデントを受け、Capcomは2021年1月後半、外部専門家から継続的に助言を受けるため、情報セキュリティ監督委員会を設置した。2021年の発表によると、外部委員は4人で、サイバーセキュリティを専門とする大学教授2人、サイバーセキュリティおよび個人情報保護法を専門とする弁護士1人、ITシステム監査の専門家である公認会計士1人で構成される。新たな発表によると、この外部諮問機関は、2026年10月20日にCAPCOM IDのインシデントに関する報告を同社から受けた機関と同一である。

代表取締役社長兼COOのHaruhiro Tsujimotoが署名した発表で、Capcomは、インシデントに関与した攻撃手法を特定して対処し、この事態を極めて深刻に受け止めていると述べた。同社は、詳細な調査を継続し、その結果に基づいて再発防止策を講じ、情報セキュリティ体制をさらに強化するとした。また、開示が必要となる新たな事実が判明した場合は、公式ウェブサイトなど適切な手段を通じて速やかに情報を更新するとしている。