カプコン、CAPCOM ID不正アクセスで約1177万件のメール情報が流出

カプコンは22日、オンライン会員サービス「CAPCOM ID」への第三者による不正アクセスを確認し、世界全体で1177万4247件のメールアドレス等が影響を受けたと発表した。日本のゲーム大手として近年では最大級の顧客情報事案の一つとなる。

「ストリートファイター」「モンスターハンター」などを手がける同社は、19日に不審な動きを検知し同日にアクセスを遮断した。196件のアカウントでログインパスワードが無断変更されたが、利用者が設定した元のパスワードの漏えいは確認されていないとしている。英語の告知ではクレジットカード情報は対象外とした。

流出した情報

CAPCOM IDは、カプコンタイトルのオンライン機能や各種ウェブサービスで使う統合アカウントである。同社によると、流出したレコードにはメールアドレスと、アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のIPアドレスなどのシステム識別情報が含まれる。

1177万件のうち43件には、生年月日、性別、国・地域、ニックネームも含まれた。20日に社内インシデント対策本部を設置し、21日に大阪府警と個人情報保護委員会へ報告。カプコン名を装うフィッシングに注意を呼びかけた。

緊急措置の後もCAPCOM IDを利用するサービスは継続利用可能で、プレイヤーのゲーム利用には影響がないと説明している。

発表は、政府機関や企業がPHPの脆弱性対応でサイトを一時停止する動きが広がる週に出された。カプコンの告知はCAPCOM IDへの侵入をその欠陥に結びつけておらず、攻撃手法の特定と対処は完了したとしている。

アナリストは、2020年のランサムウェア事件で社内ファイルや一部顧客データが流出した経緯があり、投資家の注目が集まると指摘する。大阪本社の同社は東京証券取引所プライム市場に上場している。

辻本春弘社長が署名した謝罪文は投資家向けサイトに掲載され、影響者への通知と調査継続を約束した。

カプコンは、同社を名乗る予期しないメールの添付ファイルやリンクを開かないよう求めた。メールアドレスと最終ログイン情報は巧妙なフィッシングの材料になり得るため、社外の研究者は二要素認証の利用や、他サービスでCAPCOM IDと同じパスワードを使い回していないかの見直しを勧めている。

同社は調査結果を順次公表するとしている。22日午後の時点で、捜査当局が容疑者名を公表した形跡はなく、フォレンジック調査の完了見通しも示されていない。