カプコンのCAPCOM IDへの不正アクセス（11,774,247件）：メールアドレスなどが漏えい、利用者がやること
株式会社カプコンは2026年10月22日、オンライン会員サービス「CAPCOM ID」への不正アクセスで、全世界で11,774,247件のメールアドレスなどが漏えいしたと発表しました。196件ではパスワードが不正に変更されていました。対象と今日やることを公式発表から整理します。
- 公開日
- 更新日
- 最終確認
目次
対象：CAPCOM ID（カプコンのWebサービスや一部のオンラインゲームに使う共通アカウント）を持っている人、日本以外でカプコンのゲームを遊んでいる人、会員アカウントを持つサービスを運営している人。本記事は株式会社カプコンの公式発表にもとづく解説で、攻撃手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月23日11時時点まだ分かっていないこと
- 不正アクセスの手段・経路と始まった時期（公表されていない）
- 影響範囲の調査結果（同社は調査を継続）
- パスワードの保存方法（記載なし）
- 196件のアカウントで不正な変更のあとに何がされたか
- 個別の連絡の方法と時期
- 件数が何人にあたるか
同社は、引き続き詳細な調査を進め、新たに知らせるべき事実が判明した場合には、公式ホームページ等で速やかに知らせるとしています。続報の時期は書かれていません。
10月23日11時時点で、同社のIRニュース一覧と適時開示（TDnet）に続報は出ていません。CAPCOM IDのサイトのお知らせ欄には、10月22日付で漏えいを知らせる短い告知が載り、詳細はカプコンの発表ページを見るよう案内しています。
CAPCOM IDを持っている人が今日やること
カプコンやゲームを名乗るメールのリンク・添付を開かない
同社は、漏えいした情報を悪用し、同社や関係先を装った不審なメール等が送られる可能性があるとして、記載されたURLにアクセスしたり、添付ファイルを開いたりしないよう呼びかけています。
「アカウントが停止されます」「パスワードの再設定が必要です」「ゲーム内アイテムの補償」といった件名（当サイトの例）でも、本文のリンクからログインしないでください。CAPCOM IDの公式サイトは、ブックマークや自分で検索して開きます。偽メールの見分け方は フィッシングとは にまとめています。
同じパスワードを他のサービスで使っているなら変える
同社は、利用者自身が設定したパスワードの漏えいは確認されていないとし、パスワードの変更は求めていません。
ただし、CAPCOM IDのログインIDはメールアドレスです。一般に、漏れたメールアドレスと、別のサイトから漏れたパスワードを組み合わせて、ログインを試す攻撃があります。CAPCOM IDと同じパスワードを他のサービスで使っているなら、それぞれ別のパスワードに変えてください。これは同社の案内ではなく、当サイトの一般的な助言です。自分のパスワードが過去に漏れていないかは パスワード漏えいの確認方法 で調べられます。
CAPCOM IDに二要素認証を設定する
同社のサポートページによれば、CAPCOM IDはマイページから二要素認証（パスワードに加えて、スマホの認証アプリが出す確認コードを使う仕組み）を設定できます。
設定しておくと、メールアドレスとパスワードが知られても、それだけではログインできません。機種変更の前には二要素認証を解除する必要がある、と同社は案内しています。選び方の基本は 多要素認証の選び方 にまとめています。
ログインできない・登録内容が変わっているときは窓口へ
同社は、196件のアカウントでパスワードが不正に変更されていたことを確認し、すでにパスワードをリセットしたとしています。
ログインできなくなった、心当たりのない変更がある、という場合は、発表ページに載っている問い合わせ窓口に連絡してください。日本の窓口は「CAPCOM ID 不正アクセス専用お問い合わせ窓口」（フリーダイヤル 0120-801-271、10時〜20時）です。届いたメールに書かれた電話番号ではなく、発表ページで番号を確かめてからかけてください。
日本以外の利用者へ
件数の11,774,247件は全世界の合計です。同社は、地域ごとに問い合わせ先を分けています。
| 地域（同社の発表より） | 問い合わせ先 |
|---|---|
| 日本 | CAPCOM ID 不正アクセス専用お問い合わせ窓口（フリーダイヤル 0120-801-271、10時〜20時） |
| 北米・中米・南米 | Capcom USA のカスタマーサポートの問い合わせフォーム |
| 欧州・中東・アフリカ | Capcom Europe のカスタマーサポートの問い合わせフォーム、またはメール |
| アジア（日本を除く）・オセアニア | Capcom Asia のカスタマーサポートのメール |
フォームのURLとメールアドレスは、カプコンの発表ページ（英語版もある）に載っています。届いたメールに書かれた窓口ではなく、発表ページから確かめてください。
何が起きたのか（カプコンの発表より）
株式会社カプコンは、2026年10月22日に「不正アクセスによるお客様情報漏えいのお詫びとお知らせ」を公表しました。同じ文書は東京証券取引所の適時開示（TDnet）にも同日17時に載っています。以下はすべて同社の発表と、CAPCOM IDのサイトのお知らせにもとづきます。
2026年10月19日（月）
CAPCOM IDに対する不正アクセスの疑いのある痕跡を発見し、ただちにアクセスの遮断と、原因・影響範囲の調査に着手した。同日、不正アクセスが行われたことを確認し、緊急対策を実施した。10月20日（火）
社内に対策本部を設置。調査の結果、CAPCOM IDに登録されたお客様情報の一部が漏えいしたことと、一部のアカウントでパスワードが不正に変更されていたことが判明した。同日、外部の助言組織であるセキュリティ監督委員会に報告した。10月21日（水）
警察と個人情報保護委員会に報告した。英語版の発表では、報告先の警察は大阪府警察とされている。10月22日（木）
発表を公表。CAPCOM IDのサイトにもお知らせを載せた。対象者には順次個別に連絡するとし、専用の問い合わせ窓口を設けた。
不正アクセスがいつ始まったかは、発表に書かれていません。10月19日は、同社が痕跡を発見した日です。
- 運営会社
- 株式会社カプコン
- 対象サービス
- オンライン会員サービス「CAPCOM ID」（同社のWebサービスや一部のオンラインゲームに必要な共通アカウント）
- 漏えいした情報
- メールアドレス、システム固有の識別情報（アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のクライアントIP）：11,774,247件（全世界合計）
- 一部で漏えいした情報
- 生年月日、性別、国・地域、ニックネーム：上のうち43件
- パスワード
- 利用者自身が設定したパスワードの漏えいは確認されていない。上のうち196件でパスワードが不正に変更されており、リセット済み
- 含まれないもの
- クレジットカード情報
- 原因
- 第三者による不正アクセス。攻撃手段の特定と対応は完了したとしている。手段・経路は公表されていない
- 報告
- 警察（英語版では大阪府警察）、個人情報保護委員会（10月21日）。外部の助言組織のセキュリティ監督委員会（10月20日）
- サービス
- CAPCOM IDを使うサービスは引き続き利用できる。全てのゲームでプレイへの影響はない。登録済みのメールアドレスは引き続き使える
- 対象者への連絡
- 順次個別に連絡する（方法は書かれていない）
- 再発防止策
- 今回判明した原因を踏まえた再発防止策を講じ、情報セキュリティ体制を強化するとしている。具体的な内容は書かれていない
分かっていること・分かっていないこと
2026年10月23日11時時点の状態です。続報が出たら、この表の状態欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 不正アクセスの発見と遮断の着手 | 10月19日に痕跡を発見し、ただちにアクセスの遮断と、原因・影響範囲の調査に着手。同日に不正アクセスを確認 | 確定（同社） |
| メールアドレス・識別情報 | 11,774,247件（全世界合計）。識別情報は作成日時・最終ログイン日時・ログイン回数・最終ログイン時のクライアントIP | 漏えいを確認（同社） |
| 生年月日・性別・国・地域・ニックネーム | 上のうち43件 | 漏えいを確認（同社） |
| パスワードの不正な変更 | 上のうち196件。リセット済み | 確定（同社） |
| 利用者自身が設定したパスワード | 漏えいは確認されていない | 確認されていない（同社） |
| パスワードの保存方法 | 書かれていない | 記載なし |
| クレジットカード情報 | 漏えいの対象に含まれない | 含まれない（同社） |
| 氏名・住所・電話番号 | 漏えいした項目に挙げられていない | 記載なし |
| 原因 | 第三者による不正アクセス。攻撃手段の特定と対応は完了。手段・経路は書かれていない | 確定（同社）／詳細は記載なし |
| 不正アクセスの始まった時期 | 書かれていない | 記載なし |
| 影響範囲 | 引き続き調査中 | 調査中 |
| 件数が何人にあたるか | 件数（アカウント・記録の数）で示され、人数は書かれていない | 記載なし |
| 警察・個人情報保護委員会への報告 | 10月21日に報告 | 確定（同社） |
| 対象者への個別の連絡 | 順次個別に連絡する（方法は書かれていない） | 予定（同社） |
| サービスとゲーム | 引き続き利用できる。プレイへの影響はない | 確定（同社） |
| 漏れた情報の悪用 | 不審なメール等が送られる可能性があると注意を呼びかけ。悪用を確認したとは書かれていない | 記載なし |
読み方の注意：「確認されていない」と「含まれない」
クレジットカード情報は「漏えい対象には含まれておりません」と書かれています。一方、パスワードは「漏えいは確認されておりません」という書き方で、範囲外と明言したものではありません。
また、196件の「パスワードの不正な変更」は、パスワードが漏れたという意味ではなく、第三者がアカウントのパスワードを書き換えていたという意味です。発表どおりに区別して読んでください。
漏れた項目の組み合わせで何が起きうるか
以下は一般に起きうることで、今回すでに起きたという意味ではありません。発表は、悪用を確認したとは書いていません。
メールアドレス（CAPCOM IDの利用者だと分かる）
↓→
カプコンやゲームを名乗る偽のメール
→ リンクからログインしない／公式サイトはブックマークから開く
メールアドレス＝ログインID
↓→
他のサイトから漏れたパスワードと組み合わせたログインの試み
→ パスワードを使い回さない／二要素認証を設定する
作成日時・最終ログイン日時・ログイン回数
↓→
「〇月〇日のログインを確認しました」など、本物らしく見える偽の通知
→ 日時が合っていることを本物の証拠にしない
発表で含まれない・確認されていないとされたもの
- クレジットカード情報（含まれない）
- 利用者自身が設定したパスワード（漏えいは確認されていない）
漏えいしたと発表された項目
- メールアドレス（ログインIDを兼ねる）
- アカウント作成日時、最終ログイン日時、ログイン回数
- 最終ログイン時のクライアントIP
- 一部（43件）は生年月日・性別・国・地域・ニックネーム
メールアドレスは、パスワードと違ってすぐには変えにくいものです。一般に、漏れたメールアドレスには、時間がたってから別の名目の偽メールが届くこともあります。しばらく注意を続けてください。
同じくメールアドレスが中心の事案に、2026年10月の ローソンIDへの不正アクセス と JR東日本・ビューカード・JR九州のメールアドレス漏えい があります。原因や対象の範囲は事案ごとに違うため、今回も同じとは限りません。
2020年のカプコンの事案とは別の事案です
カプコンは2020年11月にランサムウェア攻撃を受け、個人情報が流出したと発表しています（カプコン ランサムウェア事件（2020））。今回の発表は、CAPCOM IDへの不正アクセスについての別の事案で、2020年の事案との関係は書かれていません。
会員アカウントを持つサービスを運営している人へ
同社は不正アクセスの手段を公表していないため、どう防ぐかはここでは書きません。本節は同社の対応を評価するものではありません。今回の発表から言えるのは、ログインIDを兼ねるメールアドレスが漏れたことと、一部のアカウントでパスワードが書き換えられていたことです。この2点から、事前に見直せることに絞ります。
パスワードやメールアドレスが変わったら、本人に知らせる
今回、同社は196件のアカウントでパスワードが不正に変更されていたことを確認しました。一般に、パスワードの変更を本人に知らせる仕組みがあると、身に覚えのない変更に利用者が自分で気づけます。
変更の通知は、変更前の連絡先に送ると、乗っ取った側が連絡先を書き換えた場合でも本人に届きます。通知に「心当たりがなければここへ」と書くなら、リンクではなく公式サイトでの確かめ方を書いておくと、偽の通知と区別しやすくなります。
ログイン履歴の項目を、どれだけの期間持つか決める
今回漏えいした項目には、最終ログイン日時、ログイン回数、最終ログイン時のクライアントIPが含まれます。これらは不正なログインを見つけるのに役立つ一方で、漏れると利用状況の手がかりになります。
アカウントの情報と同じ場所に、どの履歴を、いつまで置くかを決めておくと、漏えい時に対象を小さくできます。不正ログインの監視に使う記録は、目的と保存期間を決めて別に管理する方法もあります。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。公表されていない攻撃の手段や経路は推測していません。
- 株式会社カプコン「不正アクセスによるお客様情報漏えいのお詫びとお知らせ」（2026年10月22日） — capcom.co.jp（PDF版：capcom.co.jp）
- Capcom Co., Ltd. "Notice and Apology Regarding Customer Information Affected Through Unauthorized Access"（英語版、2026年10月22日） — capcom.co.jp
- 東京証券取引所 適時開示情報閲覧サービス（TDnet）、2026年10月22日17時の開示（10月23日に確認） — release.tdnet.info
- CAPCOM ID「【重要】不正アクセスによるお客様情報漏えいに関するお詫びとお知らせ」（お知らせ欄、2026年10月22日） — cid.capcom.com
- CAPCOM ID「サポート」（ログインと二要素認証についての案内、10月23日に確認） — cid.capcom.com
- 株式会社カプコン IRニュース一覧（10月23日に確認。本件の続報なし） — capcom.co.jp
- BleepingComputer「Capcom confirms data breach affecting 11.7 million accounts」（2026年10月23日、報道） — bleepingcomputer.com
更新履歴
2026-10-23：初版。カプコンの10月22日の発表（日本語版・英語版）、TDnetの開示、CAPCOM IDのお知らせとサポートページ（10月23日11時に確認）にもとづく。影響範囲は調査中のため、続報が公表され次第更新します。
次に読む
- 2020年の別の事案：カプコン ランサムウェア事件（2020）
- 同じ時期の事案：ローソンIDへの不正アクセス ／ カーセンサーnet・C-MATCHへの不正アクセス
- 偽メールへの備え：フィッシングとは ／ 自分のアドレスから迷惑メールが届いたとき
- アカウントを守る：パスワードマネージャーの選び方 ／ 多要素認証の選び方
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）
よくある質問
Qカプコンの不正アクセスで何が漏れたのですか？
株式会社カプコンの2026年10月22日の発表によれば、オンライン会員サービス「CAPCOM ID」に登録されたメールアドレスと、システム固有の識別情報（アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のクライアントIP）が、11,774,247件（全世界合計）漏えいしました。そのうち43件は、生年月日・性別・国・地域・ニックネームも漏えいしています。発表は「漏えいした可能性」ではなく、漏えいしたことが判明したと書いています。
Q自分は対象ですか？
対象はCAPCOM IDのアカウントです。件数は全世界の合計で、日本以外の利用者も含まれます。同社は対象者に順次個別に連絡するとしていますが、連絡の方法は書かれていません。件数はアカウントや記録の数で、人数としては発表されていません。分からない場合は、発表ページに載っている地域ごとの問い合わせ窓口で確かめてください。
Qパスワードやクレジットカードは大丈夫ですか？
同社は、利用者自身が設定したパスワードの漏えいは確認されていないとしています。ただし196件のアカウントでは、パスワードが不正に変更されていたことを確認し、すでにリセットしたとしています。パスワードの保存方法（ハッシュ化など）は発表に書かれていません。クレジットカード情報は漏えいの対象に含まれないとしています。同社は今回、利用者にパスワードの変更を求めてはいません。
Q原因は何ですか？
同社は「第三者による不正アクセス」とし、攻撃手段の特定と対応は完了したとしていますが、どのような手段・経路だったかは公表していません。影響範囲は引き続き調査中で、今回判明した原因を踏まえた再発防止策を講じるとしています。2020年にカプコンが受けたランサムウェア攻撃とは別の事案です。
Qカプコンを名乗るメールが来たらどうすればいいですか？
同社は、漏えいした情報を悪用し、同社や関係先を装った不審なメール等が送られる可能性があるとして、記載されたURLにアクセスしたり添付ファイルを開いたりしないよう呼びかけています。対象者には同社からの個別の連絡も届く予定のため、メールのリンクからログインせず、自分でブックマークや検索から開いたCAPCOM IDの公式サイトやカプコンの発表ページで確かめてください。
QログインIDのメールアドレスが漏れたのに、アカウントは安全ですか？
CAPCOM IDは、登録したメールアドレスとパスワードでログインする仕組みです（同社のサポートページ）。同社は登録済みのメールアドレスは引き続き使えるとしています。一方で、ログインに使うメールアドレスが知られたため、同じパスワードを他のサービスでも使っている場合は、そのパスワードを変えるのが安全です。CAPCOM IDはマイページから二要素認証を設定できます（同社のサポートページ）。これは今回の発表での同社の依頼ではなく、当サイトの一般的な助言です。