CAPCOM IDに不正アクセス、1,177万件のメールアドレスが漏えい、パスワードを書き換えられた19件では通販サイトの住所・購入履歴まで — 会員IDを共通化する企業の点検点
カプコンは2026年10月22日、ゲームなどのサービスに共通で使うオンライン会員サービス「CAPCOM ID」が不正アクセスを受け、全世界で11,774,247件のメールアドレスなどが漏えいしたと公表した。翌23日の第二報では、パスワードを第三者に書き換えられた196件のうち国内の19件で、通販サイト「イーカプコン」のマイページから氏名・住所・電話番号・購入履歴までが漏えいしたことを明らかにした。1つのIDで複数のサービスにログインできる仕組みは、利用者にとって便利な反面、IDが1つ乗っ取られると連携先のサービスの個人情報まで見られる。自社の会員IDを複数のサービスで共通にしている企業にとって、点検すべき点がはっきり出た事案である。
背景
カプコンの第一報（10月22日）と第二報（10月23日）によると、経緯は次のとおりである。
- 10月19日：不正アクセスの痕跡を発見し、同日に発生を確認
- 10月20日：社内対策本部を設置し、外部の助言組織であるセキュリティ監督委員会に報告
- 10月21日：警察と個人情報保護委員会に報告
- 10月22日：第一報を公表
- 10月23日：第二報で、パスワードを書き換えられたアカウントの影響範囲の調査完了を公表
漏えいした情報は、11,774,247件のアカウントのメールアドレスと、アカウント作成日時・最終ログイン日時・ログイン回数・最終ログイン時のIPアドレスといったシステム上の記録である。このうち43件では、生年月日・性別・国または地域・ニックネームも含まれていた。利用者が設定したパスワードの漏えいは確認されていない。
一方で、196件のアカウントではログインパスワードが第三者に書き換えられていた。このうち日本国内の19件では、同じIDでログインできるイーカプコンのマイページが開かれ、氏名（カナを含む）、電話番号、郵便番号、住所、性別、生年月日、購入履歴、問い合わせ履歴、会員アドレス帳が漏えいした。196件はパスワードをリセット済みで、ほかのアカウントでは、パスワードの書き換えによる情報漏えいは確認されていない。クレジットカード情報は対象外である。侵入の手口と原因は公表されていない。
リスクの全体像
共通IDは、ゲーム、通販、会員サイトなど複数のサービスに同じIDとパスワードでログインできるようにする仕組みである。利用者はサービスごとに会員登録をしなくて済み、企業は会員情報を1か所で管理できる。その代わり、IDの管理基盤が破られると、連携しているすべてのサービスが一度に影響を受ける。
今回、ID基盤から漏えいしたのはメールアドレスとログインの記録が中心だった。しかし、第三者がパスワードを書き換えた196件では、そのIDで通販サイトにログインされ、住所や購入履歴まで見られた。ID基盤そのものには住所を置いていなくても、IDでログインした先のサービスに住所があれば、そこまで届く。共通IDの危険は、ID基盤に何を保存しているかではなく、そのIDで何を開けるかで決まる。
1,177万件のメールアドレスが漏えいしたことで、カプコンを装うメールやSMSが利用者に届きやすくなった。メールアドレスと「カプコンの会員である」という事実がそろえば、パスワード再設定を装うフィッシングは本物らしく見える。カプコン自身も、同社や関係先を装う連絡に注意するよう呼びかけている。
チェックリスト
自社の会員IDを複数のサービスで共通にしている企業は、次の点を確かめる。
- パスワードやメールアドレスが変更されたとき、変更前のメールアドレスに通知が届くか。通知に「心当たりがない場合の連絡先」が書いてあるか
- パスワードの変更に、現在のパスワードや確認コードなど本人確認を挟んでいるか
- 住所や購入履歴を表示する通販のマイページなど、重要な情報を見る画面で再ログインや追加の確認を求めているか
- 短い時間にパスワード変更が集中した場合など、普段と違う動きを検知して担当者に知らせる仕組みがあるか
- 二段階認証やパスキーを会員が選べるようにしているか
- 漏えいが起きたとき、どのサービスの、どの項目まで影響が及ぶかを、連携先ごとに説明できるか
打ち手
まず、パスワード変更とメールアドレス変更の通知を見直す。第三者がパスワードを書き換えても、本人に通知が届けば、乗っ取りに早く気づける。通知は変更前のメールアドレスにも送り、心当たりがない場合にアカウントを止める連絡先を明記する。
次に、連携先のサービスで「重要な情報を見る画面」を洗い出す。住所、電話番号、購入履歴、カードの下4桁などを表示する画面では、共通IDでログイン済みであっても、一定時間がたったら再ログインを求める。配送先の変更や登録情報の書き換えには、登録済みの連絡先への確認コードを挟む。共通IDが乗っ取られても、連携先で被害が止まる設計にしておく。
会員向けには、二段階認証やパスキーを選べるようにし、会員サイトのお知らせで設定を勧める。漏えいが起きた際の会員向けの注意文（自社がメールでパスワードの入力を求めることはない、など）も、事前に用意しておくと初動が速くなる。
社員の立場では、CAPCOM IDを含め、私用のサービスと同じパスワードを業務のアカウントで使い回していないかを確かめる。漏えいした会員情報を使ったフィッシングは、業務用のメールアドレスにも届く。
あわせて読みたい
- ローソンIDに不正アクセス、215万件の氏名・メールアドレス・住所が漏えい — アプリの本人向け表示の仕組みが悪用、会員アプリを持つ企業の点検点
- ソースネクストの会員情報2,251万件が流出、パスワードも対象 — 会員情報を返すAPIが4日間悪用、社員のパスワード使い回しから社内システムを守る3つの確認
- パスキーとFIDO2 完全ガイド ― パスワードを卒業する認証が、AI時代のフィッシングをどう無力化するか
- 侵入の8割が盗まれたIDになった ― 脆弱性を塞いでも入られる時代の防御
Omamori AI の結論
- 事実: CAPCOM IDから全世界で1,177万件のメールアドレスなどが漏えいし、パスワードを書き換えられた196件のうち国内19件で、通販サイトの住所や購入履歴まで漏えいした。
- 判断軸: 共通IDの影響範囲は、ID基盤に保存している情報ではなく、そのIDでログインできる先の情報で決まる。
- 打ち手: パスワード変更の通知と本人確認を強め、住所などを表示する画面で再ログインを求める。二段階認証やパスキーを会員が選べるようにする。
経営者視点で考えるべきこと
会員IDの共通化は、会員数を増やし、サービス間の行き来を楽にする施策として進められることが多い。経営者は、その判断と同時に「1つのIDが破られたときに、どのサービスの、どの情報まで見られるか」を担当者に説明させたい。今回の事案では、漏えいの大半はメールアドレスにとどまったが、パスワードを書き換えられたわずか19件で、住所と購入履歴まで漏れた。件数の大小にかかわらず、住所を見られた会員から見れば、それは自分の生活に直結する被害である。共通IDを入れている企業は、連携先の通販や会員サイトで追加の確認を挟む費用を、会員の信頼を守るための費用として予算に組み込んでおきたい。
