カプコン「CAPCOM ID」不正アクセス事件（2026年）
2026年10月、ゲーム大手の株式会社カプコンが運営するオンライン会員サービス「CAPCOM ID」に不正アクセスが発生し、世界で約1,177万件の利用者情報が漏洩しました。
さらに、一部のアカウントではパスワードが不正に変更され、関連する通販サイトの個人情報まで流出する事態となりました。
今回の事件は、大規模な会員情報の漏洩だけでなく、複数のサービスで共通アカウントを利用することのリスクを浮き彫りにしています。
事件の概要
2026年10月20日、アイドマ・ホールディングスは、ママ2026年10月22日、カプコンはオンライン会員サービス「CAPCOM ID」に対する第三者からの不正アクセスを公表しました。
CAPCOM IDは、同社のWebサービスや一部オンラインゲームを利用する際に必要となる共通アカウントです。
今回、全世界で1,177万4,247件のメールアドレスやシステム関連情報の漏洩が確認されました。
さらに196件のアカウントでは、利用者のログインパスワードが第三者によって不正に変更されていました。
カプコンは緊急対策を実施し、サービスの継続利用に支障はないと発表しています。
発覚から公表までの経緯
事件が発覚したのは2026年10月19日です。
カプコンはCAPCOM IDへの不審なアクセスの痕跡を発見し、直ちにアクセスを遮断するとともに調査を開始しました。
その後の経緯は次のとおりです。
- 10月19日：不審なアクセスを検知。不正アクセスを確認し、緊急対策を開始。
- 10月20日：社内に対策本部を設置。情報漏洩と一部アカウントのパスワード不正変更を確認。
- 10月21日：警察および個人情報保護委員会へ報告。
- 10月22日：約1,177万件の情報漏洩を公表。
- 10月23日：追加調査の結果、通販サイト「イーカプコン」の利用者情報19件についても漏洩を公表。
不正アクセスの発見から最初の公表まで3日間という経過でした
漏洩した情報と被害規模
今回漏洩した情報は、主にCAPCOM IDに登録されたメールアドレスと、アカウントの利用状況に関する情報です。
| 対象 | 件数 |
|---|---|
| メールアドレス・システム識別情報 | 11,774,247件 |
| 生年月日・性別・国や地域・ニックネーム | 上記のうち43件 |
| パスワードの不正変更 | 上記のうち196件 |
| イーカプコンの個人情報漏洩 | 196件のうち19件 |
10月23日の続報では、19件のアカウントについて、第三者が通販サイト「イーカプコン」のマイページにアクセスしていたことが判明しました。
漏洩した情報には、氏名、住所、電話番号、生年月日、購入履歴、問い合わせ履歴などが含まれています。
なお、カプコンによれば、利用者が設定したパスワードそのものの漏洩は確認されておらず、クレジットカード情報も漏洩対象には含まれていません。
不正アクセスの原因と問題点
今回の不正アクセスについて、カプコンは攻撃手段の特定と対応を完了したと発表しています。
ただし、具体的な侵入経路や悪用された技術的な弱点については、10月23日までの公式発表では詳しく説明されていません。
そのため、今回の事件を特定のシステム設定ミスやソフトウェアの脆弱性が原因だったと断定することはできません。
一方、注目すべき点は、CAPCOM IDが複数のサービスを利用するための共通アカウントであったことです。
実際に、パスワードを不正変更された一部のアカウントでは、関連する通販サイトの個人情報にも被害が及びました。
共通アカウントは利用者の利便性を高める一方、不正アクセスが発生した場合には、関連サービスにも影響が広がる可能性があります。
カプコンの対応と利用者への影響
カプコンは不正アクセスの発覚後、アクセスの遮断、対策本部の設置、関係機関への報告などを実施しました。
パスワードが不正に変更された196件についてはリセットを行い、対象となる利用者への個別連絡も進めています。
10月23日時点では、影響範囲の調査は完了したと説明しており、今後も関連サービスの監視と再発防止策を継続するとしています。
また、漏洩したメールアドレスなどを悪用し、カプコンや関係企業を装った不審なメール、SMS、電話が届く可能性があるとして注意を呼びかけています。
情報漏洩は、事件が発覚した時点で終わるわけではありません。
流出した情報が、その後のフィッシング詐欺やなりすましに悪用されるおそれがあることも、重要な問題です。
この事件から学ぶべきこと
今回の事件は、1,000万件を超える大規模な情報漏洩に加え、アカウントの不正変更や関連サービスへの影響が確認された事例です。
企業が学ぶべき教訓は、個人情報を保管するシステムの安全性だけでなく、アカウント管理や不正アクセス発生後の対応まで含めた対策が必要だということです。
特に、複数のサービスで共通の認証基盤を利用している場合、一つのアカウントが不正に操作されることで、別のサービスにも影響が及ぶ可能性があります。
企業には、アクセス権限の適切な管理、不審な操作の監視、認証機能の保護、そして事故発生時に迅速に対応できる体制が求められます。
また、情報漏洩後の二次被害を防ぐためには、対象者への速やかな通知や注意喚起も欠かせません。
情報セキュリティ対策は、不正アクセスを防ぐことだけでなく、万が一の被害を最小限に抑える仕組みを整えることが重要です。
個人情報管理を組織として継続するために
ママワークスの事例は、システムの設定上の脆弱性が個人情報漏えいのリスクにつながることを示しています。
企業には、システムの安全性の確保に加え、定期的な点検やアクセス管理、事故発生時の対応手順を組織として整備することが重要です。
こうした個人情報保護の管理体制を整え、第三者の視点から確認する方法の一つが、JAPHICマークです。
JAPHICマークの取得によって不正アクセスを完全に防げるわけではありませんが、個人情報の適切な取扱いを継続するための仕組みづくりに役立ちます。
JAPHICマークで備える安心
JAPHICマークを取得した事業者には、情報漏えい保険（サイバーリスク保険）が自動付帯されます。
- 賠償責任支払限度額：500万円（免責0円）
- 情報漏えい対応費用支払限度額：200万円（免責0円）
（※売上5億円以下は自動付帯、5億円超は任意加入）
取引先からの「個人情報保護の証明」に応えるだけでなく、万が一のリスクにも備えられるのがJAPHICマークの大きなメリットです。
実際の導入を検討されている場合は、以下のページも参考にしてみてください。
▶JAPHICマーク取得支援コンサルティングの詳細はこちら
▶他の記事も読む：JAPHICコラム一覧ページへ
参考資料
