東証プライム上場のゲーム会社カプコン（9697）は、同社のウェブサービスや一部のオンラインゲームの利用に必要な登録制の共通アカウントであるCAPCOM IDに第三者による不正アクセスがあり、保有していた顧客情報の一部が漏えいしたと発表した。最も広い区分で、10月22日時点の対象件数は全世界で1177万4247アカウントに上るとしている。
漏えいした情報の内容
最も広い区分では、メールアドレスと、アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のクライアントIPアドレスといったシステム固有の識別情報が漏えいした。1177万4247件という数字はこの区分のアカウント数であり、カプコンの発表にはこれが何人分に当たるかは記載されていない。
さらに多くの情報が漏えいしたアカウントはごく一部にとどまる。上記アカウントのうち43件では、生年月日、性別、国・地域、ニックネームも漏えいした。
カプコンによると、クレジットカード情報は漏えいしたデータに含まれていない。
パスワードの変更
これとは別に、カプコンは対象アカウントのうち196件でログインパスワードが無断で変更されていたことを確認した。該当アカウントのパスワードはすでにリセット済みだという。この196件は、追加の個人情報が漏えいした43件とは別の区分として集計されており、発表では両者に重複があるかどうかは明らかにされていない。
カプコンは、顧客自身が設定したパスワードの漏えいは確認されていないとしている。これは現時点で確認された事実に関する説明であり、同社は影響範囲について引き続き調査を進めているとした。
経緯と対応
カプコンによると、10月19日に不正アクセスの疑いのある痕跡を発見し、アクセスを遮断して調査に着手、同日中に不正アクセスが行われたことを確認した。10月20日には社内に対策本部を設置し、顧客情報の一部漏えいと一部パスワードの変更を確認した上で、外部アドバイザリー組織であるセキュリティ監督委員会に報告した。10月21日には警察および個人情報保護委員会へ報告した。
同社は、緊急対策と攻撃手段の特定・対応を完了したとしている。CAPCOM IDを使用したサービスは引き続き利用でき、すべてのゲームでプレイへの影響はない。対象となる顧客には順次個別に連絡しており、国内に専用問い合わせ窓口を設けたほか、米州、欧州・中東・アフリカ、日本を除くアジア・オセアニアの各地域向けサポート窓口も開設した。
利用者への注意点
登録されているメールアドレスは引き続き利用できるものの、カプコンは漏えいした情報が悪用され、同社や関係先を装った不審なメールが送付される可能性があると注意を呼びかけている。こうしたメールを受信した場合は、記載されたリンクへのアクセスや添付ファイルの開封を行わないよう求めた。また、再発防止策を講じるとともに、新たに公表すべき事実が判明した場合は公式ウェブサイトで知らせるとしている。