CAPCOM IDに不正アクセス、メールアドレス1177万件が流出

Capcomは、同社のウェブサービスへのログインや、一部ゲームのオンラインプレイに使われるアカウント「Capcom ID」から、侵入者が顧客情報を持ち出したと明らかにした。流出したメールアドレスは1,100万件を超え、各アドレスにはアカウントの作成日、最終ログインの日時、ログイン回数、そして最後にログインした際のIPアドレスが紐づいている。こうした情報の組み合わせは、犯罪者にとって格好の材料になる。メールアドレスを知り、Capcomのゲームを遊んでいることを把握し、最後に接続した場所もおおよそ見当がつけば、詐欺師は本物らしい偽のサポートメールを作成できるからだ。

最新作の「ストリートファイター」をオンラインで遊ぶため、あるいはCapcomのサイトを利用するためにアカウントを作った人にとって、現実的なリスクは銀行口座の残高を奪われることではなく、フィッシング詐欺が相次ぐことだ。「バイオハザード」「モンスターハンター」「ロックマン」を手がける同社は、影響を受けたデータにクレジットカード情報は含まれておらず、利用者自身が設定したパスワードが流出したことも確認していないとしている。同社は、「Capcomまたは関連会社から届いた」とするメッセージを受け取っても、リンクや添付ファイルを開かないよう強く呼びかけている。

Capcomの発表によると、流出した記録は全世界で11,774,247件に上る。一方、より少数のアカウントでは、さらに多くの情報が影響を受けた。43アカウントでは、生年月日、性別、国または地域、ニックネームも流出した。また、196アカウントでは攻撃者がログインパスワードを無断で変更しており、BleepingComputerは、アカウントの所有者を締め出そうとした可能性があるとみている。Capcomは該当するパスワードをリセットし、ゲームを含め、Capcom IDに紐づくすべてのサービスは引き続き稼働していると説明している。

今回の発表では、最も重要な疑問が未解明のまま残されている。Capcomは攻撃の手口を特定し、対処したとしているものの、その詳細は明らかにしていない。また、不審な活動を発見するまで侵入者がどれほどの期間アクセスできていたのかも説明していない。パスワードの変更があったという事実も、パスワードに関する同社の説明とすっきり噛み合わない。196件のログイン情報をリセットした人物は、元のパスワードを知らなくても、何らかの手段でアカウント管理機能にアクセスしていたことになる。Help Net Securityによると、攻撃を主張するグループは現れていない。Capcomは、被害の全容を把握するための調査を続けているとしている。

Capcomによると、登録済みのメールアドレスは今後もそのまま利用できるため、プレイヤーがアドレスを変更する必要はない。取るべき対策はおなじみのものだが、今回の流出を受けて、いっそう重要になっている。Capcom IDのパスワードをほかのサービスでも使い回している場合は、変更しよう。アカウントの利用履歴や最近のログイン、プロフィールのセキュリティ上の問題に触れるメッセージは、すべて疑ってかかるべきだ。流出した情報が、まさにそうした話題を本物らしく見せる手がかりになるからだ。メールのリンクはクリックせず、Capcomのサポートページに直接アクセスしよう。

Capcomは、不審な活動を10月19日に検知し、同日中に遮断したと説明している。10月20日には社内にインシデント対応本部を設置し、10月21日に大阪府警察と日本の個人情報保護委員会へ情報漏えいを報告したうえで、10月22日に謝罪を公表した。BleepingComputerによると、同社は影響を受けた顧客に段階的に連絡する予定で、専用の問い合わせ窓口も開設した。日本ではフリーダイヤルを設け、南北アメリカ向けと、欧州・中東・アフリカ向けにはオンラインの問い合わせフォームを用意。アジア・オセアニア向けにはメールアドレスを設けている。

今回の規模はCapcomにとって初めてのものだ。前回の大規模なインシデントは、2020年11月に発生したランサムウェア集団Ragnar Lockerによる攻撃で、同社の社内ネットワークが標的となった。Capcomによれば、最大で39万人に影響した可能性があり、後に侵入経路は古いVPN機器だったと判明した。前回狙われたのは社内システムだった。今回は、何百万人ものプレイヤーがログインに使うアカウントが標的となった。

タグ: サイバーセキュリティ, ゲーム, Kali Reis, Cody Rhodes, David Dastmalchian, Callina Liang, フィッシング, 情報漏えい