要点
発表された事実
-
カプコンは2026年10月22日、同社のWebサービスや一部のオンラインゲームで使う共通アカウント「CAPCOM ID」に第三者による不正アクセスがあり、お客様情報の一部が外部に漏えいしたと発表した（カプコン）。
-
漏えいしたのは、メールアドレスとシステム固有の識別情報（アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のクライアントIP）で、全世界合計1177万4247件。このうち43件は生年月日、性別、国・地域、ニックネームも漏えいした（カプコン（PDF））。
-
196件のアカウントでは、ログインパスワードが不正に変更されていた。該当アカウントはパスワードをリセット済み。利用者が自分で設定したパスワードの漏えいは確認されていない。クレジットカード情報は漏えいの対象に含まれていない（同）。
-
10月19日に不正アクセスの疑いがある痕跡を見つけて遮断し、同日に不正アクセスを確認。20日に対策本部を設置し、情報の漏えいと不正なパスワード変更が判明、外部のセキュリティ監督委員会に報告。21日に警察と個人情報保護委員会に報告した（同）。
-
緊急対策と「攻撃手段の特定と対応」は完了したとしており、CAPCOM IDを使うサービスは引き続き使え、ゲームのプレイにも影響はない。対象者には順次個別に連絡する（同）。
-
【2026-10-24追記】カプコンは10月23日の第二報で、パスワードを不正に変更された196件のうち19件（日本国内）で、第三者が通販サイト「イーカプコン」のマイページに不正にアクセスし、氏名、氏名（カナ）、電話番号、郵便番号、住所、性別、生年月日、購入履歴、イーカプコンへの問い合わせ履歴、会員アドレス帳が漏えいしたと発表した。対象者には順次個別に連絡する。クレジットカード情報は含まれず、ほかのアカウントではパスワードの不正変更による情報漏えいは確認されなかった。影響範囲の調査は完了したとし、CAPCOM IDと関連サービスの監視は続ける（カプコン 第二報）。
わかっていないこと
- 侵入経路と攻撃手段（同社は「特定と対応を完了」としたが、内容は公表していない）
- 1177万件の情報が一度に持ち出されたのか、どの機能・システムから取得されたのか
- 196件のパスワードがどうやって変更されたのか（パスワード再設定機能の悪用か、管理機能経由か、など）と、変更後のアカウントで何が行われたか（【2026-10-24追記】第二報で、19件ではイーカプコンのマイページに不正アクセスされ個人情報が漏えいしたと判明。変更の手口は未公表）
- 43件だけプロフィール情報まで漏えいした理由（196件との関係）
- 国・地域別の内訳（日本の利用者の件数）（【2026-10-24追記】第二報でも1177万件の内訳は未公表。イーカプコン経由の19件は日本国内とされた）
- 不正アクセスが始まった時期
わかったこと
関係しそうな既知の手口
- （考察）大量のアカウントの基本情報が取られ、ごく一部だけパスワードが書き換えられた形は、会員システムのAPIや管理機能に対する不正なリクエストで起きる被害と似ている。JPCERT/CCは国内で相次ぐ不正アクセスについて、内部APIへの攻撃でユーザー権限の変更や情報の書き換えが起きている例を挙げて注意を呼びかけている。ただし、カプコンの件で同じ手口が使われたかどうかは発表されていない。
概要
- ゲーム会社カプコンの共通アカウント「CAPCOM ID」で、全世界1177万件余りのメールアドレスとログイン履歴に関する情報が漏えいした。
- 196件ではパスワードが不正に変更されており、乗っ取りに使われた可能性があるアカウントがある。
- 侵入経路は公表されていない。サービスは止めずに続けている。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-19（月） | CAPCOM IDへの不正アクセスの疑いがある痕跡を発見し、アクセスを遮断。同日、不正アクセスを確認し、緊急対策と攻撃手段の特定を開始（カプコン） |
| 2026-10-20（火） | 社内に対策本部を設置。登録情報の一部の漏えいと、一部アカウントの不正なパスワード変更が判明。セキュリティ監督委員会に報告（カプコン） |
| 2026-10-21（水） | 警察と個人情報保護委員会に報告（カプコン） |
| 2026-10-22（木） | 公表。対象者への個別連絡を順次開始し、専用窓口を設置（カプコン） |
| 2026-10-23（金） | 第二報。196件のうち19件（日本国内）でイーカプコンのマイページへの不正アクセスによる個人情報の漏えいが判明。影響範囲の調査は完了（カプコン 第二報） |
発表内容の整理
事実（カプコンの発表）
| 項目 | 内容 |
|---|---|
| 対象サービス | CAPCOM ID（カプコンのWebサービスや一部のオンラインゲームで使う登録制の共通アカウント） |
| 漏えい（1） | メールアドレス、アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のクライアントIP：1177万4247件（全世界合計） |
| 漏えい（2） | （1）のうち43件：生年月日、性別、国・地域、ニックネーム |
| 不正なパスワード変更 | （1）のうち196件。パスワードはリセット済み |
| 漏えいが確認されていないもの | 利用者が設定したパスワード、クレジットカード情報 |
| サービス | 継続。ゲームのプレイへの影響なし |
| 届け出 | 警察、個人情報保護委員会 |
| 窓口（日本） | CAPCOM ID 不正アクセス専用お問い合わせ窓口 0120-801-271（10:00〜20:00） |
考察
漏えいの中心はメールアドレスと「いつ作られ、いつ最後に使われ、何回ログインしたか、最後にどのIPから来たか」という情報だ。パスワードやカード情報が含まれない分、直接の金銭被害につながりにくい一方で、「実在して、最近も使われているゲームアカウントのメールアドレス」の一覧として価値がある。最終ログイン時のIPアドレスからは、おおよその地域や使っている回線がわかる場合もある。カプコンを名乗るフィッシングメールの宛先リストとして使われるおそれがあり、同社も不審なメールへの注意を呼びかけている（考察）。
196件という少数のアカウントでパスワードが書き換えられていた点は、単なる情報の読み取りだけでなく、アカウントの状態を変える操作まで攻撃者ができたことを示している。利用者のパスワードそのものは漏えいしていないとされているので、変更は正規のパスワードを使ったログインではなく、別の経路で行われた可能性がある。その経路が「攻撃手段の特定と対応を完了」の中身で、公表されれば同じ型の会員システムを持つ事業者の参考になる（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは2026年10月8日（9日更新）、国内組織で相次ぐ不正アクセスについて注意喚起を出した。報告された手口として、公開アプリの解析でAPIのエンドポイントやキーを特定する、本来の画面操作ではできない内部APIを呼んでユーザー権限を変更する・不正なアカウントを作る、NoSQLインジェクションでアカウント情報を探る、などを挙げ、APIのレート制限やエンドポイントごとのアクセス制御を求めている（JPCERT/CC）。
考察
1000万件を超える規模の取得は、一件ずつ画面を操作して集められる量ではなく、APIやデータベースへのまとまったアクセスがあったと考えるのが自然だ。ただし、それが会員システムの脆弱性なのか、内部の認証情報の悪用なのかは、今の発表からは判断できない（考察）。
利用者・運用者がいまできること
- CAPCOM IDを持っている人は、カプコンからの個別連絡を確認し、カプコンを名乗るメールのリンクからログインやカード情報の入力をしない。ログインは公式サイトやゲーム内から行う。
- CAPCOM IDと同じパスワードを他のサービスで使っている場合は、念のため変更しておく（今回、利用者のパスワードの漏えいは確認されていない）。
- 会員アカウントを運営する事業者は、パスワード変更・再設定やプロフィール取得のAPIに、本人確認と大量アクセスの検知・制限がかかっているかを点検する。