CAPCOM IDへの不正アクセス（約1,177万件の顧客情報漏えい）
公表日
カプコンの共通アカウントサービス「CAPCOM ID」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、全世界で約1,177万件の顧客情報が漏えいしました。
対象者は？
「CAPCOM ID」を利用している顧客（全世界合計11,774,247件）。漏えいしたのはメールアドレスやログイン履歴等の識別情報で、うち43件では生年月日や性別なども含まれます。なお、利用者が設定したパスワードやクレジットカード情報は含まれていません。
対象となる利用者には順次個別に連絡が行われるほか、カプコンが開設した専用窓口で確認できます。
いますぐできること
- カプコンや関係先を装った不審なメールに注意し、本文中のリンクを開いたり添付ファイルを開封したりしないようにする
- 念のため「CAPCOM ID」にログインし、登録情報やパスワードが意図せず変更されていないか確認する
何が起きたのか
2026年10月19日にカプコンが「CAPCOM ID」で不審なアクセスの痕跡を発見し、通信を遮断して調査を開始しました。その結果、全世界で11,774,247件のメールアドレスや利用履歴が外部に流出したことが判明しました。また、196件のアカウントでパスワードが勝手に変更されていましたが、同社によりすでにパスワードのリセットが完了しています。
なぜ起きたのか・なぜ広がったのか
第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が行われたと公表されていますが、侵入に至った具体的な経路やシステムの不備などの詳細は公表されていません。
いまの状況2026-10-22 時点続報待ち
必要な緊急対策と攻撃手段への対応は完了しており、CAPCOM IDを利用するサービスやゲームプレイへの影響はなく通常どおり利用可能です。不正にパスワード変更されたアカウントのリセットも完了し、対象者への連絡や窓口対応が進められています。
企業として考えたいこと
自社の会員管理システムにおいて、登録情報の大量取得や不正なパスワード変更を検知・遮断する仕組みは機能していますか？
技術的な要約
カプコンは2026年10月22日、同社が運営する共通アカウントサービス「CAPCOM ID」において第三者による不正アクセスが発生し、全世界で11,774,247件の顧客情報が外部に漏えいしたと発表した。漏えいした情報にはメールアドレスのほか、アカウント作成日時、最終ログイン日時、ログイン回数、クライアントIPアドレスが含まれ、うち43件では生年月日や性別なども含まれていた。また、196件のアカウントにおいてログインパスワードが不正に変更されていたことが確認されたが、顧客自身が設定したパスワードやクレジットカード情報の漏えいは確認されていない。同社は2026年10月19日に不正アクセスの痕跡を検知して直ちにアクセスを遮断し、不正に変更されたパスワードのリセットや警察および個人情報保護委員会への報告を実施した。現在は緊急対策と攻撃手段への対応を完了しており、CAPCOM IDを利用した各種サービスやゲームプレイへの影響はないとしている。
攻撃の分類
- 侵入口
- 不明公表で確認公表資料では攻撃手段の特定および対処を完了したとされているが、具体的な侵入経路や悪用された脆弱性等の詳細は非公表。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 必要な緊急対策を完了しており、「CAPCOM ID」を使用したサービスは引き続き利用可能で、すべてのゲームにおいてプレイへの影響はないとしている。
- データ
- 確定上限 11,774,247確定 11,774,247件メール生年月日性別その他全世界合計11,774,247件のメールアドレスおよびシステム固有の識別情報（アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のクライアントIP）の漏えいを確認。そのうち43件では生年月日、性別、国・地域、ニックネームも漏えい。また196件のアカウントでパスワードが不正に変更された。顧客自身が設定したパスワードおよびクレジットカード情報の漏えいは確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-10-19
- 2026-10-19
- 2026-10-20
- 2026-10-20
- 2026-10-20
- 2026-10-21
- 2026-10-21
- 2026-10-22
- 2026-10-22
技術解説
不正アクセスの検知と初動対応の経緯 事実
カプコンの公表によると、2026年10月19日に「CAPCOM ID」に対する不正アクセスの疑いがある痕跡を発見し、直ちに該当のアクセスを遮断するとともに原因や影響範囲の調査に着手した。同日中に不正アクセスの発生を確認したため緊急対策の実施と攻撃手段の特定・対応を開始した。翌20日には社内に対策本部を設置して本格的な調査を進め、顧客情報の一部漏えいおよび一部アカウントでの不正なパスワード変更が判明した。同日、外部アドバイザリー組織であるセキュリティ監督委員会へ報告を行い、21日には大阪府警察および個人情報保護委員会へ報告を実施した。その後、22日に公式発表を行い、対象顧客への個別連絡や専用問い合わせ窓口の開設を行っている。
情報漏えいの規模と被害データの種別 事実
今回の事案で外部へ漏えいした顧客情報は全世界合計で11,774,247件と発表されている。漏えいした主な項目は登録メールアドレスのほか、アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のクライアントIPアドレスといったシステム固有の識別情報である。これら約1,177万件のうち43件については、生年月日、性別、国・地域、ニックネームも漏えいした。さらに、196件のアカウントにおいて第三者によりログインパスワードが不正に変更されたことが確認されたが、該当アカウントはすでにパスワードリセットが完了している。なお、顧客自身が設定したパスワードそのものやクレジットカード情報の漏えいは確認されていない。
アカウント乗っ取りの兆候と攻撃手段に関する考察 解釈
本件の特徴として、1,177万件規模の識別情報が取得された一方で、196件という限定的なアカウントでパスワードが不正に変更されていた点が挙げられる。全体に対してパスワード変更の件数がごく少数であることから、攻撃者が抽出したデータを用いて特定の価値あるアカウント（ゲーム内資産や実績の多いアカウント等）を狙って乗っ取りを試みたか、あるいはパスワード変更処理APIなどに特有の認可バイパスや悪用手段が存在した可能性が考えられる。公表資料では「攻撃手段の特定と対応を完了した」と記載されているものの、侵害された具体的な経路（Webアプリケーションの脆弱性、APIの認可不備、外部管理画面経由など）は公表されていないため、内部システムや認証連携のどの層で権限侵害が起きたのかは依然として不明点として残る。
サービス継続性と情報漏えい後のフィッシングリスク 解釈
カプコンは発覚当日の遮断と緊急対策により、ゲームプレイやCAPCOM ID連携サービスを停止させることなく中核業務の継続を維持した。これは可用性の観点では迅速な一次対応といえる。一方で、1,177万件超の正規メールアドレスとログイン日時・IPアドレスなどの利用履歴が攻撃者側に渡った事実は重い。攻撃者はこれらの活動データを元に、実際にサービスを利用しているアクティブユーザーを絞り込み、カプコン公式を騙った精巧なフィッシングメールを送りつけることが可能になる。公式側も注意喚起を行っているが、サービス停止を回避した反面、漏えいしたアカウント基盤情報に起因する二次被害の防止には長期的な警戒が求められる。
対応
- 封じ込め
- 不正アクセスの痕跡を発見した2026年10月19日に直ちに当該アクセスを遮断し、緊急対策を実施。攻撃手段の特定と対処を完了したほか、不正にパスワードが変更された196件のアカウントに対してパスワードリセットを実施した。
- 公表の仕方
- 2026年10月22日に公式ウェブサイトやプレスリリースで不正アクセスと顧客情報漏えいを公表。対象となる顧客への個別連絡を順次開始するとともに、専用のお問い合わせ窓口を開設し、同社等を装う不審メールへの注意喚起を行った。
- 当局対応
- 警察（大阪府警察）
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| アカウント管理APIや認証変更処理における認可制御の厳格化 | パスワードリセットや登録情報変更のAPIエンドポイントに対し、セッション検証だけでなく多要素認証（MFA）の再要求やステップアップ認証を必須化し、他者による強制変更や認可バイパスを防ぐ。 |
| 大量データ抽出を早期遮断するレートリミットおよび異常検知の実装 | 会員情報や識別情報を取得可能なエンドポイントにおいて、同一IPや同一セッションからの短時間での大量リクエストを遮断するレートリミットを導入し、閾値超過時に自動遮断およびSOCへ即時通知するアラートを設定する。 |
| パスワード変更など特権的・重要操作のリアルタイム検知と自動保護 | 普段と異なるIPアドレスや端末からのログイン直後にパスワードが変更された場合、即座に旧メールアドレス宛へ通知を送信するとともに、一時的な利用停止やセッション失効を行う仕組みを整備する。 |
| 漏えいしたメールアドレス等を悪用したフィッシング攻撃への対外防御策 | 自社ドメインにSPF、DKIM、DMARC（rejectポリシー推奨）を完全適用し、なりすましメールを排除するとともに、ユーザー向けに公式ログイン時のドメイン確認や不審メールの通報窓口を常設する。 |
自組織などでの確認項目
- 自社の顧客ID管理基盤や会員APIにおいて、1つのアカウントや通信から大量の顧客リスト・利用履歴を抽出できないようレートリミットやアクセス制限が設けられているか？
- パスワード変更やメールアドレス変更などの機微な操作を行う際、現在のパスワードの再入力や多要素認証（ステップアップ認証）を要求する仕様になっているか？
- 不審なパスワード変更や通常と異なる拠点からの重要操作が行われた際、セキュリティ担当者が即時に検知して対象アカウントを保護（自動リセット等）できる運用体制があるか？
未解明点
- 1,177万件の情報漏えいおよび196件のパスワード変更に至った具体的な侵入経路（悪用された脆弱性やAPIの仕様不備など）は何だったのか？
出典
- 1Game*Spark2026-10-22報道本文確認済
- 2ASCII.jp2026-10-22報道本文確認済
- 3
- 4オリコン2026-10-22報道本文確認済
- 5インサイド2026-10-22報道本文確認済
- 6Capcom Co., Ltd.2026-10-22公式本文確認済
- 7株式会社カプコン2026-10-22公式本文確認済
- 8インサイド2026-10-22報道本文確認済