カプコン（CAPCOM ID）の不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月22日、カプコンは会員サービス「CAPCOM ID」への第三者の不正アクセスで、利用者の情報の一部が外部に漏えいしたと公表しました（カプコンの発表）。 10月19日に痕跡を見つけてアクセスを遮断し、同日に不正アクセスを確認したとしています。漏えいしたのは全世界で11,774,247件のメールアドレスと、アカウントの作成日時・最後のログインの日時と IP アドレスなどの情報で、うち43件は生年月日・性別なども含みます。196件のアカウントではパスワードが不正に変えられていました。 10月23日の第二報では、この196件のうち19件で通販サイト「イーカプコン」のマイページに第三者が入り、氏名・住所・電話番号・購入履歴などが漏えいしたと公表しました。クレジットカードの情報は対象外としています。原因・侵入経路は公表されていません。

会社の対応

• アクセスを遮断し、10月20日に対策本部を設置。攻撃の手段を特定して対応を終えたとしています
• 10月21日に警察と個人情報保護委員会へ報告
• パスワードを変えられたアカウントのパスワードをリセットし、対象の利用者へ個別に連絡。専用の問い合わせ窓口を設置
• 監視と調査を続け、再発防止策と情報セキュリティの体制の強化を進めるとしています

この事例から中小企業が学べること

• 共通の ID で複数のサービスにつなぐときは、ID を乗っ取られたときに見られる情報を洗い出しておく
• パスワード・メールアドレスの変更を本人に知らせる仕組みと、多要素認証を用意する
• ログインの記録（IP アドレスなど）は、置き場所と見られる人を絞って守る
• 漏えいした情報を使った、それらしい不審なメール・SMS への注意を社内に伝える