情報漏えい原因調査レポート　No.007

CAPCOM IDへの不正アクセスで約1,177万件が漏えい。何が分かり、何が分かっていないのか

カプコンの共通アカウント「CAPCOM ID」が不正アクセスを受け、全世界で1177万4247件のメールアドレスなどが外に出た。196件ではパスワードが勝手に変えられ、そのうち19件では通販サイトの氏名や住所、購入履歴まで見られた。10月19日の発見から23日の第二報までの4日間の経緯と、侵入の手口について何が公表され、何が公表されていないのかを、公開情報で整理する。

2026年10月26日公開KEYRING編集部2026年10月26日時点の公開情報にもとづく読了の目安約25分

株式会社カプコンcapcom.co.jp

数字で見る今回の事案

出典は各数字の下に記載

漏えいしたメールアドレスなど: 11,774,247件
全世界の合計。アカウント作成日時や最終ログイン時のIPアドレスなどの識別情報を含む（カプコン第一報）
パスワードを不正に変えられたアカウント: 196件
利用者が設定したパスワードの漏えいは確認されていない。196件はリセット済み（第一報）
通販サイトの個人情報まで漏れた件数: 19件
196件のうち、「イーカプコン」のマイページに入られたもの。いずれも日本国内（第二報）
生年月日や性別なども漏れた件数: 43件
約1,177万件のうち、生年月日・性別・国と地域・ニックネームを含むもの（第一報）
痕跡の発見から公表まで: 3日
10月19日に痕跡を見つけて遮断し、22日に公表。第二報は23日（第一報・第二報）
パスワードを変えられ、ほかの漏えいは確認されなかった件数: 177件
196件から19件を引いた数（編集部の計算）。カプコンは、19件以外では不正な変更による漏えいは確認されなかったとしている（第二報）

エグゼクティブ
サマリー

漏れたのは、約1,177万件のメールアドレスとログインの記録だった。CAPCOM IDに登録されたメールアドレスと、アカウントの作成日時・最終ログイン日時・ログイン回数・最終ログイン時のIPアドレスが、全世界で11,774,247件漏えいした。クレジットカード情報は含まれていない。
パスワードの漏えいは確認されていない一方、196件では書き換えられていた。カプコンは、利用者が設定したパスワードの漏えいは確認されていないとしている。一方で、196件ではパスワードが不正に変更されていた。変更の方法は公表されておらず、カプコンは経緯を「公表できない」としている（読売新聞）。
共通アカウントから、19件で通販サイトの情報まで見られた。パスワードを変えられた196件のうち19件では、第三者が同じアカウントで通販サイト「イーカプコン」のマイページに入り、氏名・住所・電話番号・購入履歴・会員アドレス帳などを見た。1つのIDで複数のサービスに入れる仕組みは便利だが、乗っ取られたときの範囲も広がる。
侵入の経路と手口は、公表されていない。カプコンは「攻撃手段の特定と対応を完了」したと書くが、その中身は明らかにしていない。同じ時期、JPCERT/CCは国内で相次ぐ不正アクセスについて、アプリのAPIを悪用した権限変更やアカウント操作の手口を報告している。本件がこれに当たるかは分からない。
発見から4日で、影響範囲の調査を終えたと公表した。10月19日に痕跡を見つけてその日のうちに遮断し、21日に警察と個人情報保護委員会へ報告、22日に第一報、23日に第二報で「影響範囲の調査は完了」とした。2020年の事案のあとに置いた、社外の専門家を含む委員会にも、20日に報告している。

1はじめに

2026年10月22日、株式会社カプコンは、自社のオンライン会員サービス「CAPCOM ID」が第三者の不正アクセスを受け、お客様情報の一部が外部に漏えいしたと発表しました。対象は全世界で11,774,247件です。翌23日の第二報では、パスワードを不正に変えられたアカウントのうち19件で、通販サイト「イーカプコン」の氏名や住所、購入履歴なども漏えいしたと公表しました。

CAPCOM IDは、カプコンのWebサービスを使ったり、一部のオンラインゲームを遊んだりするのに必要な、登録制の共通アカウントです。カプコンは緊急対策を終えたとして、CAPCOM IDを使うサービスの提供を続けています。ゲームのプレイへの影響はないとしています。

KEYRINGでは、この事案を速報「株式会社カプコン、CAPCOM IDのメールアドレスなど約1,177万件が漏えい」で取り上げました。このレポートでは、カプコンの第一報・第二報（日本語版と英語版）、個人情報保護委員会とJPCERT/CCの公表資料、報道をもとに、次の問いに答えます。

何が、いつ、どの順番で起きたのか
何が、どこまで漏れたのか。何は漏れていないのか
なぜ、共通アカウントから通販サイトの情報まで見られたのか
侵入の経路について、何が公表され、何が公表されていないのか
利用者と企業は、いま何を確かめればよいのか

調査の方法と範囲

2026年10月26日までに公開された情報を対象にしました。件数はカプコンの発表の値（11,774,247件など）を使い、見出しや地の文では「約1,177万件」と万の単位に丸めて書く箇所があります。日付はカプコンの発表の表記に合わせています。侵入の経路や攻撃の手口など、カプコンが公表していないことは「公表されていない」と書き、推測で埋めていません。一般的な手口に触れる箇所では、本件に当てはまるかどうかは分からないと明記しています。

2発見から第二報までの経緯

カプコンが痕跡を見つけたのは10月19日です。同じ日にアクセスを遮断し、不正アクセスがあったことを確かめました。漏えいとパスワードの不正な変更が分かったのは翌20日で、公表は22日、影響範囲の調査を終えたとする第二報は23日でした。

図表1CAPCOM IDへの不正アクセスの経緯（日本時間）

10月19日
不正アクセスの痕跡を見つけ、遮断する
CAPCOM IDへの不正アクセスの疑いがある痕跡を発見し、ただちにそのアクセスを遮断して、原因と影響範囲の調査を始めた。同じ日に不正アクセスがあったことを確認し、緊急対策と、攻撃の手段の特定を始めた。
出典：カプコン第一報
10月20日
対策本部を置き、漏えいを確認する
社内に対策本部を置いた。調査の結果、CAPCOM IDに登録されたお客様情報の一部の漏えいと、一部のアカウントでの不正なパスワード変更を確認した。同じ日、社外の専門家を含む「セキュリティ監督委員会」に報告した。
出典：カプコン第一報
10月21日
警察と個人情報保護委員会に報告する
英語版の発表は、報告先の警察を大阪府警察と書いている。監視と調査を続け、影響範囲を詳しく調べた。
出典：カプコン第一報（日本語版・英語版）
10月22日
第一報：全世界で11,774,247件の漏えいを公表
メールアドレスと識別情報の漏えい、43件の生年月日などの漏えい、196件のパスワードの不正な変更を公表した。専用の問い合わせ窓口を設け、対象の利用者に順次連絡するとした。英語版も同じ日に掲載した。ITmedia NEWSは17時24分にこれを報じた。
出典：カプコン第一報、ITmedia NEWS
10月22日夜
「変更の経緯は公表できない」
読売新聞の取材に対し、カプコンはパスワードが不正に変えられた経緯を「公表できない」とし、変えられたパスワードで利用者の意図しないログインがあったかは「調査中」と答えた。意図しない課金サービスの申し込みといった事例は確認されていないとした。
出典：読売新聞（10月22日21時28分）
10月23日
第二報：19件で通販サイトの情報も漏えい
パスワードを変えられた196件のうち19件で、第三者がイーカプコンのマイページに不正に入り、氏名や住所、購入履歴などが漏えいしたと公表した。影響範囲の調査は完了したとし、ショートメッセージや電話にも注意するよう呼びかけた。
出典：カプコン第二報

痕跡の発見から公表まで3日、第二報まで4日です。カプコンは発見した19日のうちに遮断しています。第三者がいつから入っていたのか、遮断までにどれだけの時間があったのかは公表されていません。

3何が、どこまで漏れたのか

漏れた情報を範囲ごとに整理すると、図表2のようになります。いちばん広いのが約1,177万件のメールアドレスと識別情報で、その中に、プロフィールも漏れた43件と、パスワードを変えられた196件があります。196件のうち19件では、通販サイトの情報まで漏れました。

図表2漏えいした情報の内訳

範囲	件数	漏えいした情報
CAPCOM IDの登録情報	11,774,247件（全世界）	メールアドレスと、システム固有の識別情報（アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のクライアントIP）
約1,177万件のうち、プロフィールも	43件	生年月日、性別、国・地域、ニックネーム
約1,177万件のうち、パスワードを変えられたもの	196件	CAPCOM IDのログインパスワードが不正に変更された。利用者が設定したパスワードの漏えいは確認されていない。196件はリセット済み
196件のうち、通販サイトにも入られたもの	19件（日本国内）	氏名、氏名（カナ）、電話番号、郵便番号、住所、性別、生年月日、購入履歴、イーカプコンへの問い合わせ履歴、会員アドレス帳

出典：カプコン第一報（10月22日）、第二報（10月23日）。クレジットカード情報はいずれにも含まれていない

図表3件数と、漏れた情報の濃さ

カプコン第一報・第二報をもとにKEYRING編集部が作成。面積は件数に比例していない

約1,177万件のうち大半は、メールアドレスとログインの記録です。氏名や住所は含まれていません。ただし、最終ログイン時のIPアドレスやログイン回数は、そのメールアドレスの持ち主がいつ、どのくらいCAPCOM IDを使っていたかを示します。カプコンは第一報で、漏れた情報を使ってカプコンや関係先を装う不審なメールが届くおそれがあると注意を呼びかけ、第二報ではショートメッセージや電話も加えました。

IPアドレスは、それだけで氏名や住所が分かる情報ではありません。一方で、一般には接続に使った回線の事業者やおおよその地域の手がかりになり、メールアドレスと組み合わさると、「いつごろ、どこから使っていたか」を示す記録になります。

件数の単位は「件」で、人数ではありません。1人が複数のアカウントを持つ場合などもあるため、影響を受けた人の数は公表された件数と一致しない可能性があります。カプコンは人数を公表していません。

4共通アカウントから通販サイトへ

第二報で明らかになった19件は、この事案の性質をよく表しています。CAPCOM IDは、ゲームのオンライン機能やWebサービスに共通で使うアカウントです。第三者がCAPCOM IDのパスワードを変えて入れる状態になると、そのIDで入れる別のサービスにも、本人になりすまして入れるようになります。

図表4パスワードの変更から、通販サイトの情報の閲覧まで

カプコン第一報・第二報をもとにKEYRING編集部が作成。第三者がどこから、どの仕組みを使ってパスワードを変えたかは公表されていない

19件で見られた情報には、住所や電話番号に加えて、購入履歴と会員アドレス帳が含まれます。会員アドレス帳は、贈り物の送り先などとして登録した、利用者本人以外の住所の可能性があります。カプコンは会員アドレス帳の中身を説明していないため、本人以外の情報がどれだけ含まれていたかは分かりません。

一方、パスワードを変えられた残りの177件については、第二報で「パスワードの不正な変更による情報漏えいは確認されませんでした」としています。読売新聞は22日、変えられたパスワードで意図しないログインがあったかは「調査中」と伝えていました。第二報では、このうち19件でイーカプコンに入られたことが示されました。残る177件で意図しないログインがあったかどうかは、第二報には書かれていません。

読むときの注意

196件と19件は、第三者が実際に「使った」ことが分かっている件数です。約1,177万件のメールアドレスは、これから別の形で使われるおそれがあります。カプコンが呼びかけているように、カプコンを名乗るメールやショートメッセージ、電話には注意が必要です。

5分かっていること、分かっていないこと

10月26日時点で、カプコンの発表は第二報までです。カプコンは「攻撃手段の特定と対応を完了」したと書いていますが、その中身は公表していません。

図表5公式発表と報道で確認できる範囲（10月26日時点）

項目	公表されていること
侵入の経路と手口	公表されていない。「攻撃手段の特定と対応を完了」とだけ書かれている
パスワードを変えた方法	公表されていない。カプコンは経緯を「公表できない」としている（読売新聞）
不正アクセスが始まった時期	公表されていない。痕跡を見つけたのは10月19日
漏えいした件数と内容	図表2のとおり。影響範囲の調査は完了したとしている（第二報）
利用者のパスワード	漏えいは確認されていない。パスワードの保存方法（ハッシュ化の有無など）は公表されていない
金銭の被害	意図しない課金サービスの申し込みといった事例は確認されていない（読売新聞、10月22日）。クレジットカード情報は対象外
国・地域ごとの件数	公表されていない。19件は日本国内とされている
当局への報告	10月21日に警察（英語版では大阪府警察）と個人情報保護委員会に報告
再発防止策	「今回判明した原因を踏まえた再発防止策を講じ」るとしているが、具体的な内容は公表されていない

出典：カプコン第一報（日本語版・英語版、10月22日）、第二報（10月23日）、読売新聞（10月22日）

日本語版と英語版の発表で、書き方が違う点

カプコンは同じ日に日本語版と英語版の発表を出していますが、細かな書き方に違いがあります。日本語版の題は「お客様情報漏えい」で、本文も「漏えいしたことが判明」としています。英語版の題は「Customer Information Affected Through Unauthorized Access」（不正アクセスで影響を受けたお客様情報）で、本文も「subject to unauthorized access」（不正アクセスを受けた）という表現です。また、報告した警察を、日本語版は「警察」、英語版は「Osaka Prefectural Police」（大阪府警察）と書いています。件数や日付に違いはありません。

6パスワードを変えられた196件が示すこと

カプコンは、利用者が設定したパスワードの漏えいは確認されていないとしています。一方で、196件ではパスワードが書き換えられていました。カプコン側からパスワードが漏れていなくても、他社から漏れたIDとパスワードの組を試す、いわゆるパスワードリスト攻撃で入られた可能性は、発表からは否定できません。乗っ取った側が本人を締め出すためにパスワードを変えることもあります。どの経路だったかは公表されていません。

カプコンはパスワードを変えた方法を公表していません。参考として、元のパスワードを知らなくてもアカウントのパスワードを変えられる一般的な経路を整理します。本件がこれらに当たるかどうかは分かりません。

図表6元のパスワードを知らなくてもパスワードを変えられる、一般的な経路

経路	起きること	確かめる点
パスワード再設定の仕組み	再設定用のメールやコード、確認の手順に欠陥があると、本人でない者が再設定できる	再設定の要求と完了を、本人のメールアドレスと端末で確かめているか
管理用の機能やAPI	運用者が使う管理画面や内部のAPIが外から呼べると、利用者の情報の書き換えができる	管理用の機能に、認証と権限の確認、接続元の制限があるか
データベースへの直接の操作	保存先に入られると、登録情報の読み出しと書き換えが同時にできる	保存先への経路と権限が、必要な範囲に絞られているか

KEYRING編集部が一般的な経路を整理したもの。カプコンの事案について、このいずれかが使われたとは公表されていない

同じ時期、JPCERT/CCは10月8日に「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」を出し、23日に更新しました。報告された手口の1つが「API経由での不正な操作」で、公開しているスマートフォンアプリを解析してAPIの入り口や鍵を特定し、本来の画面では実行できない内部のAPIを呼び出して、ユーザーの権限を変える、不正なアカウントを作る、といった操作が確認されています。JPCERT/CCは対策として、ログインやパスワード再設定など悪用のおそれが高い機能に、個別の回数制限をかけることを挙げています。

カプコンの事案がこの手口に当たるかどうかは、公表された情報からは判断できません。約1,177万件の登録情報の取得と、196件のパスワードの変更が同じ経路で起きたのかどうかも公表されていません。

JPCERT/CCの注意喚起は、APIを通じたアクセスへの対策として、ほかにも次の点を挙げています。単位時間あたりのリクエストの件数を制限して、短時間の繰り返しや大量の実行を防ぐこと。非公開のものを含む各APIの入り口で、許可された利用者とHTTPメソッドからのアクセスだけを受け付けること。APIの利用者やトークンには必要最小限の権限だけを与え、適切な有効期限を設けること。不要になった、または漏えいが疑われるトークンを速やかに無効にできるようにすること。カプコンに限らず、会員の仕組みをAPIで外に開いている企業が、自社に当てはめて確かめられる項目です。

出典：カプコン第一報・第二報、読売新聞（10月22日）、JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（10月8日公開、10月23日更新）

7同じ月に相次いだ会員基盤への攻撃

2026年9月から10月にかけて、国内では大量の会員情報を持つ企業への不正アクセスの公表が続きました。日本経済新聞は、9月以降に個人情報の漏えいやその恐れを公表した企業の一覧を随時更新しており、10月22日の欄にカプコンが載っています。会員情報を扱う仕組みが狙われた主な事案を並べます。

図表72026年10月に公表された、会員情報を扱う仕組みへの主な不正アクセス

公表日	組織	内容
10月15日	ソースネクスト	会員情報を取得するAPIが10月9日から不正に使われ、パスワードを含む最大2252万件の会員情報が流出した可能性（速報）
10月16日	日本経済新聞社	開発に使うクラウドの認証情報が盗まれ、「約183万件の個人情報が漏洩」（日経の発表の表記）（No.008）
10月22日	カプコン	CAPCOM IDから11,774,247件のメールアドレスなどが漏えい。196件でパスワードを不正に変更

出典：各社の発表、ITmedia NEWS（10月16日、10月22日）、日本経済新聞「個人情報の漏洩・恐れを公表した企業など随時更新」

国の機関も、この流れを受けて注意喚起を重ねました。個人情報保護委員会は10月7日に「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を出し、10月8日にはJPCERT/CCが注意喚起を公開しました。内閣官房国家サイバー統括室、総務省、IPAも注意喚起を出しています。総務省の注意喚起は、大量の個人情報を取り扱う事業者のシステムが侵入され、個人情報を含むデータが盗まれる事案が相次いでいるとして、迅速な脆弱性対応、多要素認証などの認証の強化、漏えいした情報の悪用を防ぐ対策を、委託先も含めて徹底するよう求めています。

一連の事案の原因は会社ごとに異なり、1つの攻撃者や1つの脆弱性による連続した事案だと公表されているわけではありません。JPCERT/CCも、すべての事案で同じ手口が使われたことを示すものではないと断っています。

82020年の事案と、その後の体制

カプコンが大規模な不正アクセスを公表するのは、2020年11月以来です。このときはランサムウェアの攻撃を受け、社内システムのファイルが暗号化されました。2021年4月13日の最終報告によると、侵入口は北米の現地法人に1台だけ残っていた予備の旧型VPN装置で、流出を確認した個人情報は累計15,649人でした。

図表82020年の事案と今回の事案

項目	2020年11月の事案	2026年10月の事案
攻撃の種類	ランサムウェア。「Ragnar Locker」を名乗る集団の脅迫メッセージ	CAPCOM IDへの不正アクセス。手口は公表されていない
侵入口	北米の現地法人の予備の旧型VPN装置（最終報告で公表）	公表されていない
狙われた範囲	社内システム（メール、ファイルサーバーなど）	顧客向けの共通アカウント
漏えいした情報	個人情報累計15,649人。クレジットカード情報はなし	メールアドレスなど11,774,247件。クレジットカード情報はなし
ゲームへの影響	ゲームのオンライン接続や購入は別のシステムで、影響なし	プレイへの影響はなし
原因の公表	発生から約5か月後の最終報告で、侵入口まで公表	第二報（公表の翌日）の時点で、手口は非公表

出典：カプコン「不正アクセスに関する調査結果のご報告【第4報】」（2021年4月13日）、第一報・第二報（2026年10月）

2020年の事案のあと、カプコンは外部の専門家4人（大学教授2人、弁護士1人、公認会計士1人）と社内の取締役・技術職からなる「セキュリティ監督委員会」を2021年1月に発足させ、その下に「セキュリティ対策室」を置きました。外部との接続を常時監視するSOCのサービスや、端末の不審な動きを見つけるEDRも導入しています。今回の第一報では、10月20日にこの委員会へ報告したと書かれています。現在の委員の構成は、今回の発表には書かれていません。

2020年の事案では、発生から約5か月後の最終報告で、侵入口の装置の種類と、それが残っていた経緯まで公表しました。今回、カプコンは「攻撃手段の特定」を終えたとしています。今後の報告で手口が示されれば、ほかの企業の点検に役立ちます。

9ゲーム会社の過去の事案

ゲーム会社の共通アカウントは、多くの利用者を抱え、ゲーム内の課金や通販とつながっています。国内のゲーム会社では、アカウントへの不正ログインや社内システムへの攻撃が過去にも起き、仕組みの見直しにつながっています。

図表9国内のゲーム会社の主な事案

2020年4月〜6月
任天堂：ニンテンドーネットワークIDへの不正ログイン
任天堂のサービス以外から何らかの手段で不正に入手されたログインIDとパスワードで、4月上旬ごろからNNIDへのなりすましログインが起き、NNID経由で一部のニンテンドーアカウントにも不正にログインされた。対象のNNIDは4月24日の公表で約16万、6月9日の追記で約14万が加わった（合わせて約30万は編集部の合算）。任天堂はNNIDでニンテンドーアカウントにログインする機能を廃止し、パスワードの使い回しを避けることと、二段階認証の設定を呼びかけた。不正な取引の可能性があったのは全体の1%未満で、返金を進めたとしている。
出典：任天堂サポート（2020年4月24日、6月9日追記）
2020年11月〜2021年4月
カプコン：ランサムウェアによる社内システムの侵害
旧型VPN装置から社内に侵入され、個人情報累計15,649人が流出。社外の専門家を含む委員会を設けた。
出典：カプコン（2021年4月13日）
2026年10月
カプコン：CAPCOM IDへの不正アクセス
メールアドレスなど11,774,247件が漏えいし、196件でパスワードが変えられ、19件で通販サイトの情報も漏えい。
出典：カプコン第一報・第二報

任天堂の2020年の事案は、任天堂の外で不正に入手されたIDとパスワードを使う手口でした。古い仕組み（NNID）から新しいアカウントに入れる経路を通って、ニンテンドーアカウントにも入られました。任天堂はこの経路を廃止しています。共通アカウントに複数のサービスがつながるほど、1つの入口が破られたときに届く範囲は広くなります。今回のカプコンの19件も、共通アカウントから別のサービスへ届いた例です。

10法律が求める報告と、国の注意喚起

個人情報保護法は、一定の漏えいが起きたとき、事業者に個人情報保護委員会への報告を義務づけています。報告が必要になるのは、要配慮個人情報が含まれる場合、財産的な被害が出るおそれがある場合、不正の目的をもって行われたおそれがある場合（不正アクセスを含む）、本人の数が1,000人を超える場合のいずれかです。報告は、発覚後速やかに（目安はおおむね3〜5日以内）出す速報と、30日以内（不正の目的のおそれがある場合は60日以内）の確報の2段階です。

図表10漏えい等報告の期限と、カプコンの対応

個人情報保護委員会「漏えい等の対応とお役立ち資料」、カプコン第一報をもとにKEYRING編集部が作成。確報の期限は10月26日時点でまだ来ておらず、提出の状況は公表されていない。横軸の長さは日数に比例していない

カプコンは不正アクセスを確認した2日後の10月21日に、個人情報保護委員会へ報告しています。速報の目安の範囲内です。本件は不正アクセスによるもので、報告の対象になると考えられます。件数は約1,177万件です。人数は公表されていませんが、件数から見て1,000人を超える可能性が高いと編集部は考えます。確報の期限（発覚から60日以内）は10月26日時点でまだ来ておらず、提出の状況は公表されていません。

個人情報保護委員会の10月7日の注意喚起は、2027年4月に見直す予定のガイドラインの対策例を先取りして示しました。報道によると、組織の外からのアクセスや管理者の権限でのアクセス、重要な個人データへのアクセスに、フィッシングに強いものを含む多要素認証を入れること、不正アクセスの兆候を早く見つける監視を置くこと、不要になった個人データを消すことなどが挙げられています。

出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」、同「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日）、ITmedia NEWS（10月8日）、総務省（注意喚起）

11利用者と企業が取るべき対応

カプコンは、CAPCOM IDに登録されているメールアドレスは「継続してご利用いただけます」としています。そのうえで、漏れた情報を悪用した不審なメールなどへの注意を求めています。カプコンの呼びかけに、一般的な備えを加えて整理します。

図表11CAPCOM IDの利用者が確かめる順番

まずカプコンを名乗るメールやSMSのリンクを開かない
カプコンは、カプコンや関係先を装うメール、ショートメッセージ、電話に注意するよう呼びかけている。ログインを求められたら、メールのリンクではなく、自分でブックマークした公式のページから入る。
まず個別の連絡が届いているか確かめる
カプコンは対象の利用者に順次個別に連絡するとしている。心当たりのない連絡の真偽は、専用窓口（日本は0120-801-271、10時〜20時）で確かめられる。
次に使い回しているパスワードを変える
カプコンは利用者のパスワードの漏えいを確認していない。ただ、CAPCOM IDと同じパスワードを別のサービスで使っているなら、それぞれ別のものに変えておくと、今後の被害を防ぎやすい（編集部の推奨）。
次にイーカプコンの購入履歴と登録情報を見る
イーカプコンを使っている人は、身に覚えのない注文や、登録した住所・アドレス帳の変更がないかを確かめる。
これからログインの通知や追加の認証があれば使う
サービスがログインの通知や二段階認証を用意していれば設定する。パスワードを勝手に変えられたとき、早く気づける。

出典：カプコン第一報・第二報。「編集部の推奨」とした項目は、カプコンの呼びかけではなくKEYRING編集部の整理

共通アカウントを運営する企業が確かめること

会員の仕組みを作る部門

パスワードの再設定や変更、メールアドレスの変更に、本人確認と回数制限がかかっているか
アプリやWebの画面から呼べない内部のAPIが、外から呼べる状態になっていないか
1件ずつではなく、大量の登録情報を一度に読み出す操作を検知できるか

つながる各サービスの担当

共通アカウントのパスワードが変わった直後のログインに、追加の確認を求めているか
住所や購入履歴など、濃い情報を見るときに再認証を求めているか
共通アカウント側の異常を、自分のサービスで知る経路があるか

経営層

会員情報の件数と中身を、サービスごとに把握しているか
漏えい等報告の速報を速やかに出せる判断の流れがあるか
過去の事案のあとに置いた体制が、顧客向けの仕組みまで見ているか

企業向けの確認項目は、公開された情報とJPCERT/CCの推奨をもとにKEYRING編集部が整理したものです。関連する事案は、原因別の一覧「不正アクセス」「認証情報の漏れ」でも読めます。

12提言

今回の事案では、利用者のパスワードの漏えいは確認されていない一方で、パスワードが書き換えられ、共通アカウントでつながる通販サイトの情報まで見られました。会員の仕組みを運営する企業に向けて、4つの提言をまとめます。

1パスワードを「変える」操作を、ログインと同じ重さで守る

ログインの防御を固めても、再設定や変更の経路が弱ければ鍵は取り替えられる。変更の操作に本人確認、回数制限、本人への通知を付ける。

2共通アカウントの変更を、つながるサービスに伝える

パスワードが変わった直後に、住所や購入履歴を見る操作が来たら、もう一度本人かを確かめる。共通アカウントの便利さを、乗っ取りの通り道にしない。

3大量の読み出しを、件数で見張る

APIなどを通じて登録情報を大量に読み出す攻撃では、普段とは桁の違う読み出しが起きる。件数と速さで異常を検知し、自動で止める仕組みを置く。本件の取得の手口は公表されていない。

4分かった手口を共有し、ほかの企業の点検につなげる

同じ時期に似た事案が続くときは、ある企業で手口が分かれば、ほかの企業も自社の同じ箇所を点検できる。共有できる範囲を、調査と並行して決めておく。

提言は、公開された情報をもとにKEYRING編集部が考えたものです。

セキュリティに関するご相談自社の状況を相談する

情報漏えいや脆弱性について、自社の状況の確認やご相談をお受けします。

ご相談はこちら→

ほかの調査レポート

No.012　2026年10月26日アンビションDXのランサムウェア被害は、なぜ58万件の情報漏えいのおそれに広がったのか→

No.011　2026年10月26日不正アクセスによる「ふるさとチョイス」会員情報445万件の流出で、何が分かり、何が分かっていないのか→

No.010　2026年10月26日リクルート「カーセンサー」の不正アクセスで、何がどこまで漏えいしたのか→ すべての調査レポート（12本）を見る

用語集

CAPCOM ID: カプコンのWebサービスや一部のオンラインゲームを使うための、登録制の共通アカウント
イーカプコン: カプコンの通販サイト。CAPCOM IDでマイページに入れる
識別情報: 今回はアカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のクライアントIPを指す
パスワードリスト攻撃: 他社から漏れたIDとパスワードの組を、別のサービスで次々に試す攻撃
API: アプリやサービスどうしがデータをやり取りするための窓口。画面の裏側で使われる
多要素認証: パスワードに加えて、スマートフォンへの確認など別の要素も使ってログインする方式
漏えい等報告: 個人情報保護法にもとづき、一定の漏えいが起きたときに事業者が個人情報保護委員会へ行う報告。速報と確報の2段階
SOC・EDR: SOCはシステムやネットワークを常時監視する仕組み。EDRは端末の不審な動きを見つけて対応を助けるソフト

参考文献

このレポートは2026年10月26日時点の公開情報にもとづきます。カプコンが新たな発表を出した場合は、内容を更新します。