ゲーム大手カプコンは、会員向けサービス「CAPCOM ID」が不正アクセスを受け、約1170万件の顧客のメールアドレスなどが外部に流出したと明らかにしました。同社は10月19日に不審なアクセスを検知し、警察と個人情報保護委員会への報告を済ませたうえで、22日に公表しました。クレジットカード情報の流出は確認されていません。
流出した情報の中身
カプコンによると、流出したのは会員のメールアドレスを中心に、アカウント作成日や最終ログイン日時、ログイン回数、最終ログイン時のIPアドレスなどです。さらに43件のアカウントについては、生年月日や性別、ニックネーム、国名も含まれていました。一方、クレジットカード番号などの決済情報は被害を受けていないとしています。
一部アカウントは乗っ取り被害
被害はこれにとどまりません。196件のアカウントでは、攻撃者によってログインパスワードが書き換えられ、本来の利用者がログインできない状態に陥りました。カプコンはこれらのパスワードをリセットしたうえで、それ以外の会員のパスワードは流出していないと説明しています。
対応と今後の課題
カプコンは10月19日に不審なアクセスを検知し、翌20日までに顧客情報が影響を受けたと判断しました。21日には警察と個人情報保護委員会に届け出ています。侵入の具体的な手口は公表していないものの、侵入経路を特定したうえでセキュリティー対策を強化したとしています。対象者が多いため通知は段階的に進める方針で、オンラインサービス自体は通常どおり利用できるとしています。同社は、情報を聞き出そうとする不審なメールや、リンク・添付ファイル付きのメッセージに注意するよう呼びかけています。
日本への影響
今回の流出は、日本を代表するゲーム企業で起きただけに、国内の利用者にとって身近な脅威です。「バイオハザード」や「モンスターハンター」などで知られるカプコンは世界中に会員を抱えており、流出したメールアドレスを悪用した偽メールやフィッシングの被害が広がる恐れがあります。心当たりのない通知や、カプコンを装ったメッセージには安易にリンクを開かず、公式サイトで情報を確認する慎重さが求められます。企業側にとっても、個人情報保護委員会への届け出が必要となる今回の事案は、改正個人情報保護法のもとで日本企業に課される説明責任の重さを改めて示すものです。他のゲーム会社やネットサービス事業者にとっても、会員基盤の防御を点検する契機となり、利用者がパスワードを使い回さず、二段階認証を設定することの大切さを示す事例だといえます。
まとめ：人気ゲーム企業で起きた大規模流出は、誰にとっても他人事ではありません。不審なメールへの警戒を、改めて心がけたいところです。
出典：
BleepingComputer
SecurityWeek
Help Net Security
Photo: Javier Garcia Chavez / Unsplash
