カプコンの会員サービスで大規模な情報流出が発覚
ゲーム大手のカプコンは10月22日、オンライン会員サービス「CAPCOM ID」が外部からの不正アクセスを受け、世界で1177万4247件の登録情報が漏えいしたと発表した。対象にはメールアドレスのほか、アカウントの利用状況を記録した情報などが含まれる。
今回の問題では、登録情報の流出に加え、196件のアカウントでログイン用パスワードが第三者によって書き換えられていたことも判明した。同社は該当するアカウントのパスワードを初期化し、利用者への連絡を進めている。
カプコンは不正アクセスに対する緊急措置を終えており、現在も会員サービスの提供を継続している。
メールアドレスやログイン履歴など幅広い情報が対象
流出したデータには、会員が登録したメールアドレスに加え、アカウントを作成した日時や最後にログインした日時、ログイン回数などが含まれている。さらに、直近のログイン時に使用されたクライアントIPアドレスも対象となった。
漏えい件数は世界全体で1177万4247件に達しており、サービスに登録された顧客情報の一部が外部へ流出したことが確認されている。
また、43件については、基本的な登録情報だけでなく、生年月日や性別、居住する国・地域、ニックネームも漏えいした。流出した情報の種類はアカウントによって異なっている。
一方、クレジットカード情報は今回の漏えい対象に含まれていない。同社は、利用者自身が設定したログインパスワードについても、外部への流出を確認していないと説明している。
10月19日に異常を発見し翌日に対策本部を設置
カプコンが不正アクセスの兆候を把握したのは10月19日だった。同社は「CAPCOM ID」に通常とは異なるアクセスが行われた形跡を発見し、外部からの接続を遮断するとともに、発生原因と影響範囲を調べ始めた。
同日中に不正アクセスの発生を確認し、翌20日には社内に対策本部を設けた。その後の調査で、登録されている顧客情報の一部が外部へ漏れたことが明らかになった。
調査では、情報流出に加えて、複数のアカウントでパスワードが不正に変更されていた事実も確認された。カプコンは攻撃に使われた手段を特定し、必要な対処を完了したとしている。
今回の発表は、不正アクセスが確認された19日から3日後の22日に行われた。
196件で認証情報が書き換えられ利用状況を調査
今回の事案では、196件の会員アカウントにおいて、本人が設定したログインパスワードが無断で変更されていた。
カプコンは対象となったアカウントのパスワードをリセットし、第三者による変更後のパスワードが引き続き使用されることを防ぐ措置を取った。該当する利用者には個別に通知する方針だ。
ただし、パスワードそのものが流出していないにもかかわらず、変更が行われた具体的な経緯について、同社は公表できないとしている。
また、書き換えられたパスワードを使用して、本人の意思に反するログインが実行されたかどうかについては調査を続けている。利用者が申し込んでいない有料サービスへの登録など、意図しない課金につながる事例は現時点で確認されていない。
サービス継続と個別通知を進め不審な連絡に注意喚起
カプコンは、不正アクセスへの緊急対応と攻撃手段への対策が完了したと説明している。「CAPCOM ID」を利用するゲーム関連サービスやウェブサービスについては、引き続き提供を続けている。
一方、流出したメールアドレスなどを利用し、カプコンや関係企業を装った不審なメールが送信される危険性について注意を促している。
同社は影響を受けた利用者に対して順次連絡するほか、問い合わせを受け付ける専用窓口を設置した。窓口の電話番号は0120-801-271となっている。
今後も、パスワードが不正に変更されたアカウントでのログイン状況などについて確認を進める。大規模な登録情報の漏えいが明らかになった一方、クレジットカード情報や利用者が設定したパスワードの流出は確認されていない。