パスワードは漏れていない。それなのに196件は変えられていた

• 対象は11,774,247件。今月このサイトで扱った中で最大
• パスワードは漏れていない。だが196件は変更されていた
• 漏れた項目に最終ログイン時のIPアドレスが含まれる

カプコンが、会員サービス「CAPCOM ID」への不正アクセスを公表した。

件数は1,177万件で大きいが、気になったのは196件のほうだった。そこから書く。

まず、内訳

クレジットカード情報は含まれないと明記されている。

「システム固有の識別情報」の中身

ここは注釈を読んだほうがいい。中身はこうなっている。

• アカウント作成日時
• 最終ログイン日時
• ログイン回数
• 最終ログイン時のクライアントIP

IPアドレスが入っている。

多くの人にとっては、契約している回線の一時的な番号でしかない。ただメールアドレスと組になっているので、おおよその地域が推測できる場合がある。

今月は住所が市区町村までだった例も書いたが、漏れた項目は、組み合わせで意味が変わる。

本題：パスワードは漏れていないのに、変えられた

公式の書き方が、かなり慎重だった。

お客様ご自身で設定されたパスワードの漏えいは確認されておりません。一方、196件のアカウントにおいて、パスワードが不正に変更されていたことを確認しました。

一読すると矛盾して見える。パスワードを知らないのに、パスワードを変えられている。

なぜそれが起きるのか

一般論として、パスワードを変えるのにパスワードが要らない経路はいくつかある。

• ログイン済みの状態を乗っ取る。セッションや認証の札を手に入れる
• パスワードの再設定を使う。メールの経路を押さえていれば通る
• 管理側の機能を使う

どれだったかは公表されていない。だから断定はできない。

ただ「パスワードが漏れた話ではない」という点は押さえておきたい。他社で漏れた組み合わせを試す攻撃とは、形が違う可能性がある。

196件という数をどう見るか

1,177万件のうち196件は、割合としては0.0017%にすぎない。

だが性質が違う。

「可能性」と「確認済み」は、分けて読む。件数の大きいほうに目が行くが、重いのは小さいほうだ。

該当のアカウントはすでにパスワードをリセット済みで、影響範囲は調査中とされている。

対応は速い

経緯を並べると、こうなる。

発見から公表まで3日。しかも発見した当日に遮断まで終えている。

今月、検知から3時間39分で止めた例を書いたが、今回も同じ水準になる。

外部の委員会に報告している

見落としやすいが、ここは珍しい。

対策本部を設置したその日に、外部アドバイザリー組織であるセキュリティ監督委員会へ報告している。

社内だけで抱えない形が、あらかじめ用意されていたということになる。別の記事でも書いたが、当日に押せるものは、平時に作ってある。

止めていない

サービスは継続して利用できるとされ、全てのゲームでプレイへの影響はないと明記されている。

「緊急対策の実施および攻撃手段の特定と対応を完了しており」とあるので、塞いだうえで動かしているという判断になる。

今月は止めることを公的機関が勧める場面まであったが、止めるかどうかは、塞げたかどうかで決まる。

利用者がやること

1. 心当たりのないパスワード再設定のメールが来ていないか、過去分を見る
2. ログイン履歴を確認する。見られるなら
3. 他で同じパスワードを使っているなら、そこを変える
4. カプコンを装うメールに注意する。メールアドレスが出ている

1番目は今回の形に合っている。パスワードを変えられた196件には、その痕跡が残っている可能性がある。

3番目については、公式はパスワードの漏えいは確認されていないとしている。だから今回のために急ぐ必要はない。ただ使い回し自体は、今回と関係なく危ない。

多要素認証の選び方はSMSとアプリとパスキーに書いた。パスワードを知られなくても入られる形があるなら、なおさら入れておきたい。

偽の案内の見分け方は漏えいの後に届く「お詫びとお知らせ」にまとめてある。

PHPの件とは別

今週はPHPの脆弱性の話が続いている。この発表にPHPへの言及は一切ない。

時期が近いので結びつけたくなるが、原因そのものが公表されていない。並べて読まないほうがいい。

まとめ

• 対象は11,774,247件。メールアドレスとシステム固有の識別情報
• 識別情報に最終ログイン時のIPアドレスが含まれる
• 43件は生年月日・性別・国と地域・ニックネームも
• 196件はパスワードを不正に変更された。すでにリセット済み
• パスワードの漏えいは確認されていない。原因は非公表
• クレジットカード情報は含まれない
• 10月19日に発見し同日に遮断。3日後に公表
• サービスは継続利用可。ゲームへの影響なし

出典

• カプコン「不正アクセスによるお客様情報漏えいのお詫びとお知らせ」（2026年10月22日。件数の内訳、システム固有の識別情報の中身、パスワードの不正変更、経緯の日付、対応、問い合わせ窓口）

本記事は2026年10月22日時点の公表内容に基づく。原因と影響範囲は調査中であり、続報で内容が変わる可能性がある。パスワードが変更された経路については公表されていないため、本記事の記述は一般論にとどまる。最新の情報は公式の発表で確認すること。本記事は法的な助言ではない。