Capcom, CAPCOM ID 기록 1,177만 건에 대한 무단 접근 사실 공개

Capcom은 2026년 10월 22일 보도자료를 통해 자사가 운영하는 온라인 회원 계정 서비스 CAPCOM ID와 관련된 일부 고객 정보에 제3자가 무단으로 접근했으며, 전 세계적으로 11,774,247건의 기록이 영향을 받았다고 밝혔다. 오사카에 본사를 둔 이 회사는 고객과 기타 이해관계자에게 사과하고, 이번 사건을 오사카부 경찰과 일본 개인정보보호위원회에 신고했다고 밝혔다.

CAPCOM ID는 가입자가 다양한 Capcom 웹 서비스를 이용할 때 사용할 수 있는 통합 계정으로, 일부 Capcom 게임을 온라인으로 플레이하는 데 필요하다. Capcom은 필요한 긴급 대응 조치를 완료했으며 CAPCOM ID를 사용하는 서비스는 계속 이용할 수 있다고 밝혔다. 회사에 따르면 이번 사건은 이용자가 Capcom 게임에 접속하거나 플레이하는 데 영향을 미치지 않는다.

영향을 받은 기록 및 계정 현황

보도자료는 영향을 받은 정보를 세 가지 범주로 나누어 설명했으며, 수치는 10월 22일 기준이다.

주요 범주에는 이메일 주소 기록과 시스템별 식별 정보(계정 생성 일시, 마지막 로그인 일시, 로그인 횟수, 마지막 로그인에 사용된 클라이언트 IP 주소)가 포함되며, 전 세계적으로 총 11,774,247건에 달한다. 이 가운데 43건에는 생년월일, 성별, 국가 또는 지역, 닉네임도 포함돼 있었다.

Capcom은 같은 전체 기록 중 196개 계정의 비밀번호가 무단으로 변경된 사실도 확인했다. 회사는 해당 계정과 연결된 비밀번호를 이미 재설정했으며, 고객이 직접 설정한 CAPCOM ID 계정 로그인 비밀번호가 유출된 사실은 확인되지 않았다고 밝혔다. 또한 이번 사건으로 인한 영향 범위를 계속 조사하고 있다고 밝혔다.

영향을 받은 정보에는 신용카드 정보가 포함되지 않았으며, Capcom은 이번 사건의 영향을 받은 고객에게 알릴 예정이라고 밝혔다.

사건 경과

보도자료에 따르면 Capcom은 2026년 10월 19일 CAPCOM ID에 대한 잠재적 무단 접근을 시사하는 의심스러운 활동을 감지하고, 사건의 원인과 범위를 조사하는 동시에 해당 접근을 차단하기 시작했다. 회사는 같은 날 무단 접근이 발생한 사실을 확인하고 긴급 조치를 시행했으며, 공격 수법을 파악하고 대응하는 작업에 착수했다.

2026년 10월 20일, Capcom은 사내에 사건 대응 본부를 설치하고 추가 피해를 막기 위한 정보 수집과 조치를 이어갔다. 조사 결과 CAPCOM ID에 등록된 일부 고객 정보에 무단으로 접근한 사실과 제한된 수의 계정과 연결된 비밀번호가 무단 변경된 사실이 확인됐다. 회사는 같은 날 외부 자문 기구인 정보기술보안감독위원회에 이 사안을 보고했다.

2026년 10월 21일, Capcom은 오사카부 경찰과 일본 개인정보보호위원회에 이번 사건을 신고했다. 회사는 상황을 계속 모니터링하고 사건을 조사하며 전체 피해 범위를 파악하고 있다고 밝혔다.

고객 안내 및 지원 채널

회사에 따르면 CAPCOM ID에 등록된 이메일 주소는 중단 없이 계속 사용할 수 있다. 이번에 영향을 받은 정보가 악용돼 Capcom이나 관련 당사자를 사칭하는 사기성 이메일 또는 기타 연락을 보내는 데 이용될 수 있다고 경고하면서, 의심스러운 이메일이나 메시지를 받은 사람은 주의하고 메시지에 포함된 URL에 접속하거나 첨부 파일을 열지 말라고 당부했다.

회사는 이번 사건과 관련해 전용 고객 지원 채널을 마련했다. 일본에서는 무료 지원 전화 0120-801-271을 일본 표준시(JST) 기준 오전 10시부터 오후 8시까지 운영한다. 북미, 중미, 남미 고객은 Capcom USA 고객 지원 페이지에서 온라인 문의 양식을 제출할 수 있다. 유럽, 중동, 아프리카 고객은 문의 양식을 이용하거나 [email protected]로 이메일을 보낼 수 있으며, 일본을 제외한 아시아와 오세아니아 고객은 [email protected]로 문의할 수 있다.

Capcom은 외부 조사 최종 결과를 담은 2021년 4월 13일 보도자료에서 별도의 정보 보안 사고에 관해 앞서 상세히 설명했다. 해당 보도자료에 따르면 공격자들은 2020년 10월 북미 자회사 Capcom U.S.A., Inc.가 관리하던 구형 백업 VPN 장치를 사이버 공격해 회사 내부 네트워크에 무단으로 침입했다. 이후 미국과 일본 사무실의 장치들이 침해됐고, 2020년 11월 1일 늦은 시간부터 랜섬웨어가 피해 장치의 파일을 암호화했다. Capcom은 2020년 11월 2일 연결 장애를 감지했고, 영향을 받은 장치에서 Ragnar Locker라는 이름을 내건 단체의 협박 메시지를 발견했다.

2021년 보도자료에 따르면 이번 사건에서 유출된 것으로 확인된 정보와 관련된 사람은 15,649명이었다. 온라인 거래는 공격과 무관한 별도 시스템에서 제3자 서비스 제공업체가 처리했기 때문에, 위험에 노출된 데이터에는 신용카드 정보가 포함되지 않았다고 밝혔다.

2020년 사건 이후 Capcom은 외부 전문가들로부터 지속적으로 권고를 받기 위해 2021년 1월 하순에 정보기술 보안 감독위원회를 출범시켰다. 2021년 발표에 따르면 외부 위원은 4명으로, 사이버 보안 전문가인 대학교수 2명, 사이버 보안 및 개인정보 보호법 전문 변호사 1명, IT 시스템 감사 전문가인 공인회계사 1명이다. 새로운 발표에 따르면, 이 위원회는 2026년 10월 20일 CAPCOM ID 사건과 관련한 회사의 보고를 받은 바로 그 외부 자문 기구다.

하루히로 쓰지모토 사장 겸 COO가 서명한 발표문에서 Capcom은 이번 사건에 사용된 공격 수법을 파악해 대응했으며, 사안을 매우 엄중하게 받아들이고 있다고 밝혔다. 회사는 면밀한 조사를 계속하고, 조사 결과를 바탕으로 재발 방지 대책을 시행하는 한편 정보 보안 체계를 더욱 강화할 예정이라고 말했다. 또한 추가로 공개해야 할 사실이 확인될 경우 공식 웹사이트와 기타 적절한 채널을 통해 신속히 알리겠다고 밝혔다.