CAPCOM IDで1177万件超の情報漏えい　19件は通販サイトにも不正アクセス、利用者が確認すべきこと

今回のニュース

カプコンは2026年10月22日、オンライン会員サービス「CAPCOM ID」への第三者による不正アクセスで、顧客情報の一部が外部へ漏えいしたと公表しました。翌23日の第二報では、不正にパスワードを変更された196件の影響範囲について追加調査の結果を公表しています。

第一報で公表された漏えい対象は、メールアドレスとアカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のクライアントIPアドレスなどで、全世界合計11,774,247件です。このうち43件では生年月日、性別、国・地域、ニックネームも含まれていました。利用者自身が設定したパスワードの漏えいは確認されておらず、クレジットカード情報も漏えい対象には含まれていません。

第二報では、パスワードを不正に変更された196件のうち、日本国内の19件について、第三者が通販サイト「イーカプコン」のマイページにも不正アクセスしていたことが判明しました。カプコンは本件の影響範囲の調査は完了したとしています。

要点

今回の件で広く影響するのは、CAPCOM IDに登録されたメールアドレスやログイン関連情報が大量に漏えいしたことです。メールアドレスが知られたからといって、それだけで他のサービスへログインされるわけではありません。一方で、カプコンやゲーム関連サービスを装ったフィッシングの材料として悪用される可能性があります。

より直接的な被害が確認されたのは、パスワードを不正に変更された196件です。カプコンはこれらのパスワードをリセット済みです。さらに、そのうち国内19件ではイーカプコンのマイページにも第三者が入り、氏名、住所、電話番号、生年月日、購入履歴などが漏えいしました。

CAPCOM ID利用者は、カプコンを名乗るメールやSMS、電話を以前より慎重に扱ってください。メール内のリンクからログインせず、必要な確認はブックマークや自分で入力した公式サイトから行うのが安全です。

何が起きたのか

カプコンによると、10月19日にCAPCOM IDへの不正アクセスを疑う痕跡を発見し、アクセスを遮断して調査を開始しました。同日中に不正アクセスを確認し、緊急対策を実施。20日には顧客情報の漏えいと、一部アカウントでのパスワード不正変更が判明しました。

漏えいが確認されたメールアドレスなどは全世界合計11,774,247件です。ただし、この数字をそのまま「1177万人」と読み替えるのは避けるべきです。公式発表は漏えいした情報の件数として示しており、個人の実人数とは区別して考える必要があります。

196件では第三者にログインパスワードを変更されました。10月23日の第二報で、その196件のうち19件について、第三者がイーカプコンのマイページへ不正アクセスし、氏名、氏名のカナ、電話番号、郵便番号、住所、性別、生年月日、購入履歴、問い合わせ履歴、会員アドレス帳が漏えいしたことが明らかになりました。対象は日本国内です。

カプコンは、残るアカウントについてはパスワード不正変更に伴う追加の情報漏えいは確認されなかったとしています。

利用者にとって何が危険なのか

多くの利用者にとって最も現実的な二次被害は、漏えいしたメールアドレスなどを利用したフィッシングです。攻撃者が「CAPCOM IDの安全確認」「パスワード再設定」「不正アクセスのお知らせ」など、今回の事件と自然につながる題名を使えば、通常の迷惑メールより信じやすくなります。

国内19件では住所や電話番号、購入履歴など、本人しか知らないと思いやすい情報まで第三者に取得されています。こうした情報を会話やメッセージに混ぜられると、偽の連絡でも本物らしく見えるため注意が必要です。

一方、現時点の公式発表では、利用者自身が設定したCAPCOM IDのパスワードが漏えいしたとは確認されていません。クレジットカード情報も漏えい対象外です。「1177万件のパスワードやカード番号が流出した」という意味ではありません。確認されている事実と、想定される二次被害を分けて考えることが重要です。

CAPCOM ID利用者が今確認すること

まず、CAPCOM IDに正常にログインできるか確認してください。ただし、メールやSMSに記載されたリンクは使わず、自分で公式サイトを開いて確認するのが安全です。カプコンは、不正にパスワードを変更された196件についてパスワードをリセットしています。

次に、カプコンや関係先を名乗るメール、SMS、電話に注意してください。カプコン自身も、漏えい情報を悪用した不審な連絡が届く可能性を挙げ、メッセージ内のURLへアクセスしたり添付ファイルを開いたりしないよう呼びかけています。

CAPCOM IDと同じ、または似たパスワードを別サービスでも使っている場合は、この機会にサービスごとに異なるパスワードへ変更することを勧めます。今回、利用者が設定したパスワード自体の漏えいは確認されていませんが、パスワードの使い回しをなくすことは、別の漏えい事故が起きた際の被害拡大を防ぐ基本対策になります。

カプコンから個別連絡を受けた場合も、メール本文のリンクだけで真偽を判断せず、公式サイトの案内や公式問い合わせ窓口と照合してください。

イーカプコン利用者は購入履歴や登録情報にも注意

今回、追加の個人情報漏えいが確認されたイーカプコンの19件は、対象者へカプコンから順次個別に連絡されます。対象者は、氏名や住所だけでなく購入履歴や問い合わせ履歴なども第三者に取得されたことを前提に、今後の連絡を慎重に判断する必要があります。

たとえば、過去に購入した商品を知っている相手から「注文内容の確認」「返金」「配送トラブル」などを装った連絡が来ても、その情報を知っていることだけで本物とは判断できません。公式サイトや注文履歴を別経路で確認してください。

なお、カプコンはクレジットカード情報は今回の漏えい対象に含まれていないと明記しています。カード情報が流出したと決めつけて慌てて偽のカード確認ページへ入力することのないよう注意してください。

事件後の「公式っぽい連絡」を信用しすぎない

情報漏えい事故の直後は、事故そのものを題材にした便乗フィッシングに特に注意が必要です。「あなたのアカウントが対象です」「24時間以内に確認してください」などと不安をあおり、偽サイトへ誘導する手口が考えられます。

メールの送信者名やロゴ、文面が本物らしいことは、安全の証明にはなりません。リンクを押す前に、公式サイトを自分で開いて同じ案内が掲載されているか確認してください。ログイン情報、認証コード、カード情報などを突然求められた場合は特に慎重に判断します。

電話でも同様です。相手が自分の氏名や住所、利用サービスを知っていても、それだけで本人確認にはなりません。不審に感じた場合はいったん通話を終了し、自分で調べた公式窓口へかけ直す方法が安全です。

まとめ

CAPCOM IDへの不正アクセスでは、全世界で11,774,247件のメールアドレスやログイン関連情報などが漏えいし、196件でパスワードが不正に変更されました。さらに10月23日の第二報で、そのうち国内19件ではイーカプコンのマイページにも第三者がアクセスし、氏名、住所、電話番号、購入履歴などが漏えいしたことが確認されました。

一方、利用者自身が設定したパスワードの漏えいや、クレジットカード情報の漏えいは確認されていません。必要以上に不安を広げず、確認された範囲を正確に理解することが大切です。

利用者が特に警戒したいのは、この事件を利用したフィッシングやなりすましです。CAPCOM IDに関する確認はメール内リンクからではなく公式サイトから行い、不審なSMS・電話・添付ファイルにも注意してください。今回のように個人情報が漏えいした後は、「相手が自分の情報を知っているから本物」と考えないことが重要です。