最終更新：10 月 24 日 01:50（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ CAPCOM ID を使っている人 ／ 会員サービスを持つ会社 ／ 技術的な詳細 ／ 経緯
ひとことで言うと
カプコンの共通アカウントに入り込まれ、メールアドレスなどが漏れた事故（10 月 23 日の第二報まで）
- カプコンのゲームやサービスで使う共通のアカウント「CAPCOM ID」に、外から何者かが入り込んだ（不正アクセス）。メールアドレスと、ログインの記録などが漏れた。件数は全世界の合計で 11,774,247 件
- 一部のアカウントはパスワードを勝手に変えられた。そのうち日本の 19 件は、通販サイト「イーカプコン」の住所や購入履歴まで見られた
- 自分で決めたパスワードとクレジットカードの情報が漏れたことは確認されていない。ゲームもサービスも、これまでどおり使える
どうすればいい？
よくある疑問と答え
-
自分は対象？
対象の人には、カプコンから順に個別の連絡があります。不安なときは、専用の窓口（0120-801-271・10:00〜20:00）に聞けます。
→ 使っている人がやること -
何が漏れた？
ほとんどはメールアドレスと、アカウントを作った日時や最後にログインした日時などの記録です。一部のアカウントでは、生年月日や住所・購入履歴も漏れました。
→ 漏れた情報と件数の表 - パスワードは変えたほうがいい？ 自分で決めたパスワードが漏れたことは、確認されていません。同じパスワードをほかのサービスでも使っているなら、そちらを別のものに変えておくと安心です（この記事での整理）。
- ゲームは遊べる？ 遊べます。CAPCOM ID を使ったサービスは引き続き使えて、すべてのゲームで遊ぶことへの影響はないと発表されています。
-
気をつけることは？
カプコンや関係先を名乗るメール・SMS・電話です。届いても、書かれた URL や添付ファイルは開かないでください。
→ 最近の偽メール・偽 SMS の傾向 -
どうやって入られた？
原因や入られた方法は、発表に書かれていません。システム担当者向けに、発表から分かることを下にまとめています。
→ 技術的な詳細 -
会員サービスを持つ会社は？
1 つの会員 ID でどこまで入れるか、パスワードが変えられたときに本人へ知らせが届くかを確かめておきます（この記事での整理）。
→ 会社が見直すこと
詳しくは：CAPCOM ID を使っている人 ／ 会員サービスを持つ会社 ／ 技術的な詳細
この記事では、カプコンの情報漏洩（CAPCOM ID への不正アクセス）について、同社の 10 月 22 日の発表と 10 月 23 日の第二報だけをもとに、何が起きたのかと、CAPCOM ID やイーカプコンを使っている人・会員サービスを持つ会社がやることを整理します。
何が起きたか
第二報（10 月 23 日）までに分かっていることです。CAPCOM ID は、カプコンの Web サービスや一部のオンラインゲームを使うための、登録制の共通アカウントです。
カプコンは 10 月 19 日に、外から入り込まれた疑いのある跡を見つけました。すぐにそのアクセスを止め、同じ日に不正アクセスがあったことを確かめています。カプコンによると、急ぎの対策と、攻撃の手段を突き止めての対応は終わっています。
| 対象 | 漏れた情報・起きたこと |
|---|---|
| 11,774,247 件（全世界の合計） | メールアドレスと、システムが持つアカウントの記録（アカウントを作った日時・最後にログインした日時・ログインの回数・最後にログインしたときの接続元の情報） |
| 上のうち 43 件 | 生年月日・性別・国や地域・ニックネーム |
| 上のうち 196 件 | ログインのパスワードを勝手に変えられた。カプコンがすでにパスワードをリセットしている |
| 196 件のうち 19 件（日本国内） | 通販サイト「イーカプコン」のマイページに入られた。氏名・氏名（カナ）・電話番号・郵便番号・住所・性別・生年月日・購入履歴・イーカプコンへの問い合わせ履歴・会員アドレス帳が漏れた |
| 漏れていないもの | クレジットカード情報。利用者が自分で決めたパスワードが漏れたことも確認されていない |
パスワードを変えられた 196 件のうち、19 件以外では、それによって情報が漏れたことは確認されていません。第二報で影響の範囲の調査は終わったとし、これからも見張りを続けるとしています。
CAPCOM ID・イーカプコンを使っている人がやること
カプコンの案内です。登録しているメールアドレスは、そのまま使い続けられます。ただ、漏れた情報を悪用して、カプコンや関係先を装った SMS・電話・メールが届くおそれがあるとしています。
- 不審なメールや SMS が届いたら、書かれた URL も添付ファイルも開かない
- 分からないことは、専用の窓口「CAPCOM ID 不正アクセス専用お問い合わせ窓口」（フリーダイヤル 0120-801-271・受付 10:00〜20:00）に聞く。番号は、届いたメールではなく、カプコンの公式サイトの発表で確かめる
- 同じパスワードをほかのサービスでも使っているなら、それぞれ別のものに変えておく（この記事での整理）
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 23 日 | 第二報。パスワードを変えられた 196 件のうち 19 件で、イーカプコンのマイページの情報が漏れたと発表。影響の範囲の調査は終わったとした |
| 10 月 22 日 | 第一報。メールアドレスなど 11,774,247 件の漏えいと、196 件のパスワードの不正な変更を発表。専用の問い合わせ窓口を開き、対象の人への個別の連絡を始めた |
| 10 月 21 日 | 警察と個人情報保護委員会に報告 |
| 10 月 20 日 | 社内に対策本部を置いた。調べた結果、登録された情報の一部が漏れたことと、一部のアカウントのパスワードが勝手に変えられたことが分かった。社外の助言組織（セキュリティ監督委員会）に報告 |
| 10 月 19 日 | 不正アクセスの疑いのある跡を見つけ、アクセスを止めた。同じ日に不正アクセスがあったことを確かめ、急ぎの対策を始めた |
会員サービスを持つ会社が見直すこと
会員登録やマイページ、お問い合わせフォームを持つ中小企業に向けた整理です（この記事での整理）。今回は、1 つの共通アカウントのパスワードを変えられたことで、別のサービスである通販サイトのマイページまで見られました。
- 1 つの会員 ID で入れる範囲を知っておく 1 つの ID で通販・予約・マイページに入れると便利です。そのかわり、乗っ取られたときに見られる情報も増えます。どの ID でどこまで入れるかを書き出し、住所や購入履歴を見る画面では、もう一度本人かを確かめるかを考えます。
- パスワードの使い回しがある前提で守る ほかのサービスと同じパスワードを使う人は珍しくありません。ログインの失敗が続いたときの制限、パスワードやメールアドレスを変えたときの本人への知らせ、管理画面の 2 段階認証を確かめます。
- 偽メールへの備えを先に書いておく 自社がどのアドレスから、どんな連絡を送るか（パスワードやカード番号をメールで聞かない、など）を公式サイトに書いておきます。事故のときにお知らせを載せる場所と、問い合わせを受ける窓口も決めておきます。
技術的な詳細（システム担当者向け）
ここからは、会員認証や共通 ID（SSO）の仕組みを運用している担当者・エンジニア向けです。カプコンの第一報・第二報から読み取れる技術的な点を、発表の内容に沿って並べます。
| 観点 | 発表の内容 |
|---|---|
| 漏えいしたデータの種類 | メールアドレスと、システムが保持するアカウントの属性（アカウント作成日時・最終ログイン日時・ログイン回数・最終ログイン時の接続元の情報）。43 件はプロフィール項目（生年月日・性別・国や地域・ニックネーム）も |
| 認証情報の改ざん | 196 アカウントでログインパスワードが第三者に変更された。該当アカウントはカプコンがパスワードをリセット済み。利用者が設定したパスワードの漏えいは確認されていない |
| 連携サービスへの波及 | パスワードを変更された 196 件のうち 19 件（日本国内）で、CAPCOM ID でログインする通販サイト「イーカプコン」のマイページが閲覧され、氏名・住所・購入履歴などが漏えい |
| 検知と初動 | 10 月 19 日に不正アクセスが疑われる痕跡を検知し、アクセスを遮断。同日に不正アクセスを確認。緊急対策と、攻撃手段の特定・対応は完了したとしている |
| 調査と報告 | 10 月 21 日に警察と個人情報保護委員会へ報告。第二報で影響範囲の調査は完了とし、CAPCOM ID と関連サービスの監視を継続 |
| 発表に無いこと | 侵入の経路・悪用された脆弱性や設定・攻撃の手口・不正アクセスが続いた期間・パスワードを変更された仕組み |
この記事での整理です。今回の発表から見える型は「共通 ID のパスワードが書き換えられ、その ID でログインできる別サービスの個人情報まで閲覧された」というアカウントの乗っ取り（アカウントテイクオーバー）の広がり方です。共通 ID を使う仕組みでは、次の点をログと設定で確かめておくと、被害を小さくできます。
- パスワード・メールアドレスの変更は、変更前の連絡先への通知と、現在のパスワードや多要素認証での再認証を求める
- 認証ログに、パスワード変更・ログイン成功／失敗・接続元を残し、短時間に多くのアカウントで変更が起きたときに通知（アラート）が届くようにする
- 住所・購入履歴など個人情報を表示する連携先の画面では、ログインからの経過時間に応じて再認証を求める
- 乗っ取りが疑われるアカウントを、パスワードのリセットとセッションの無効化でまとめて止める手順を用意する
次に読む：ホームページの安全対策の基本 ／ ほかの会社の最近の事故の一覧
公開後も続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、ログインやフォームの安全対策、事故のときのお知らせの掲載を、公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
