概要
カプコンは10月22日、ゲームタイトル横断で利用できる共通会員サービス「CAPCOM ID」が不正アクセスを受け、全世界で約1,177万件（1,177万4,247件)の会員情報が流出したと発表した。同社は10月19日に不審な挙動を検知して即座にアクセス遮断などの緊急対応を行い、翌20日に社内対策本部を設置して不正アクセスの事実を確認、21日には警察および個人情報保護委員会への報告を済ませたうえで22日に公表に踏み切った。流出が確認された情報はメールアドレス、アカウント作成日時、最終ログイン日時・ログイン回数、ログイン時のIPアドレスなどで、このうち43件については生年月日・性別・ニックネーム・居住国・地域といった追加の登録情報も含まれていた。さらに196件のアカウントではログインパスワードが何者かによって不正に変更されており、該当アカウントは既にリセット対応が取られている。一方、ユーザーが設定したパスワードそのものやクレジットカード情報は漏洩していないと同社は強調している。
被害の内容と対応状況
各ソース間で流出件数の表記には多少のばらつきがある(BleepingComputerは約1,170万件、ITmediaとGameSparkは11,774,247件と報じている)。流出件数の規模(1,100万件超)は、過去にカプコンが経験した2020年のランサムウェア被害(最大約39万人規模)と比べても大きいが、各ソースはこの点を直接比較・評価してはいない。カプコンは侵入経路・攻撃手段についてはすでに特定し緊急対応を完了させたとしているが、具体的な内容は公表されておらず、影響範囲の調査や再発防止策の策定は現在も進められている。現時点でゲームプレイ自体やCAPCOM IDの各種機能に支障は出ていないといい、影響を受けた利用者には段階的に通知を行うとともに、専用のサポート窓口(0120-801-271、10時~20時対応)を設置して問い合わせに応じる体制を整えた。196件の不正なパスワード変更が実際にどの程度悪用されたかについては、各記事とも具体的な被害報告(なりすましログインによる不正購入など)には触れておらず、現時点では確認中の段階とみられる。
背景と今後の影響
カプコンにとって大規模な不正アクセス被害はこれが初めてではない。2020年にはランサムウェア攻撃を受け、約1TBに及ぶ社内データが流出する事件が発生しており、2021年の調査では老朽化したVPN機器が侵入の足がかりになったことが判明している。今回の「CAPCOM ID」への侵入が同様に周辺システムの脆弱性を起点としたものかどうかは、現段階の報道からは判断できない。メールアドレスや利用履歴中心の流出とはいえ、1,000万件を超える規模はフィッシングなど二次被害の呼び水になりやすく、対象ユーザーはカプコンからの公式通知を装った不審なメールやログイン試行への警戒が求められる。カプコン側が今後発表する詳細な原因調査結果と、再発防止に向けた追加のセキュリティ対策の内容が、今回の事案の評価を左右する焦点になりそうだ。