대상: CAPCOM ID(Capcom 웹 서비스와 일부 온라인 게임에 쓰는 공통 계정)를 가진 모든 분, 일본 밖에서 Capcom 게임을 즐기는 분, 회원 계정이 있는 서비스를 운영하는 분. 이 글은 일본 게임 회사 Capcom Co., Ltd.의 공식 공지를 바탕으로 하며 공격 기법은 다루지 않습니다.
진행 중: 기관이 추가 정보를 공개하는 대로 이 글을 갱신합니다
2026년 10월 24일 기준아직 알려지지 않음
- 공격 방식, 경로, 접근이 시작된 시점(공개되지 않음)
- 비밀번호의 저장 방식(언급 없음)
- 피해 고객에게 연락하는 방법과 시기
- 레코드 수가 몇 명에 해당하는지
회사는 10월 23일 2차 공지를 내고, 비밀번호가 변경된 196개 계정 중 19개에서 온라인 스토어 e-Capcom에 등록된 정보가 유출됐다고 밝혔습니다. 영향 범위 조사는 끝났으며 CAPCOM ID와 관련 서비스를 계속 감시하겠다고 합니다.
공격 방식과 경로, 접근이 시작된 시점은 2차 공지에서도 공개되지 않았습니다.
CAPCOM ID 회원이 오늘 해야 할 일
Capcom이나 게임을 사칭한 이메일, 문자, 전화에 주의하세요
회사는 2차 공지에서 유출된 정보가 Capcom이나 관계자를 사칭한 사기 문자, 전화, 이메일 등에 악용될 수 있다고 경고하며, 그 안의 URL에 접속하거나 첨부 파일을 열지 말라고 당부했습니다.
전화로 이름이나 주소 확인, 비밀번호나 인증 코드를 요구하면 답하지 말고 끊으세요.
제목이 "계정이 정지됩니다", "비밀번호를 재설정해야 합니다", "게임 아이템 보상" 같은 내용(이 사이트의 예시)이어도 링크로 로그인하지 마세요. 북마크나 직접 검색으로 공식 CAPCOM ID 사이트를 여세요. 가짜 이메일을 구별하는 기본은 피싱이란에 있습니다.
비밀번호를 다른 서비스에서 재사용한다면 바꾸세요
회사는 고객이 직접 설정한 비밀번호의 유출은 확인하지 못했다고 하며, 비밀번호 변경을 요청하지 않았습니다.
다만 CAPCOM ID의 로그인 ID는 이메일 주소입니다. 일반적으로 공격자는 유출된 이메일 주소와 다른 사이트에서 유출된 비밀번호를 조합해 로그인을 시도합니다. CAPCOM ID 비밀번호를 다른 서비스에서도 쓴다면 각각 다르게 바꾸세요. 이는 회사가 아닌 이 사이트의 일반적인 조언입니다. 내 비밀번호가 과거에 유출됐는지는 비밀번호 유출 여부 확인 방법으로 확인할 수 있습니다.
CAPCOM ID에 2단계 인증을 켜세요
회사 지원 페이지에 따르면 CAPCOM ID는 계정 페이지에서 2단계 인증(비밀번호에 더해 휴대폰 인증 앱의 코드를 입력)을 설정할 수 있습니다.
켜 두면 이메일과 비밀번호를 알아도 로그인할 수 없습니다. 회사는 휴대폰을 바꾸기 전에 2단계 인증을 꺼야 한다고 안내합니다. 방식 선택은 다중 인증 선택 가이드에서 다룹니다.
e-Capcom을 쓴다면 주소나 주문 내용을 언급하는 연락을 경계하세요
2차 공지에 따르면 비밀번호가 변경된 196개 계정 중 19개(일본)는 제3자가 회사의 일본 온라인 스토어 e-Capcom의 계정 페이지에 접근해 이름, 전화번호, 주소, 생년월일, 구매 이력, 문의 이력, 저장된 주소록 정보 등이 유출됐습니다. 회사는 이들 고객에게 개별 연락한다고 합니다.
구매한 상품이나 배송을 언급하는 문자나 전화라고 해서 진짜라는 증거는 아닙니다. 주소록에 가족이나 지인의 배송지를 저장해 두었다면, 그분들에게도 뜻밖의 연락을 조심하라고 알려 두는 것이 좋습니다.
로그인이 안 되거나 정보가 바뀌어 있으면 문의처에 연락하세요
회사는 196개 계정의 비밀번호가 무단으로 변경된 사실을 확인했고 이미 초기화했다고 밝혔습니다. 2차 공지에 따르면 그 196개 중 19개에서 e-Capcom 정보가 유출됐고, 나머지 177개는 비밀번호 변경으로 인해 정보가 침해된 사실이 확인되지 않았습니다.
로그인할 수 없거나 직접 바꾸지 않은 변경이 보이면 공지 페이지에 적힌 지역별 문의처에 연락하세요. 일본에서는 CAPCOM ID 정보 보안 사고 전용 문의처(수신자 부담 0120-801-271, 일본 시간 10:00~20:00)입니다. 받은 이메일에 적힌 번호가 아니라 공지 페이지의 번호를 확인하세요.
일본 밖의 이용자에게
11,774,247건은 전 세계 합계입니다. 회사는 지역별로 별도의 문의처를 마련했습니다.
| 지역(회사 공지 기준) | 문의처 |
|---|---|
| 일본 | CAPCOM ID 정보 보안 사고 전용 문의처(수신자 부담 0120-801-271, 일본 시간 10:00~20:00) |
| 북미, 중미, 남미 | Capcom USA 고객 지원 문의 양식 |
| 유럽, 중동, 아프리카 | Capcom Europe 고객 지원 문의 양식 또는 이메일 |
| 아시아(일본 제외)와 오세아니아 | Capcom Asia 고객 지원 이메일 |
양식 URL과 이메일 주소는 Capcom의 공지 페이지(일본어, 영어)에 있습니다. 영어판에서는 아시아·오세아니아 항목이 "Capcom Europe Customer Support"로 표기돼 있지만, 우선하는 일본어 원문은 Capcom Asia Customer Support로 적고 있습니다. 받은 이메일이 아니라 공지 페이지에서 연락처를 확인하세요.
무슨 일이 있었나(Capcom 공지 기준)
Capcom Co., Ltd.는 2026년 10월 22일 "부정 접근으로 인한 고객 정보 유출 사과 및 안내"(영어판 제목: "Notice and Apology Regarding Customer Information Affected Through Unauthorized Access")를 발표했습니다. 같은 문서는 그날 일본 시간 17:00에 도쿄증권거래소의 적시 공시 시스템(TDnet)에도 제출됐습니다. 아래 내용은 모두 회사 공지와 CAPCOM ID 사이트의 공지를 바탕으로 합니다.
2026년 10월 19일(월)
회사는 CAPCOM ID에 대한 부정 접근을 의심할 흔적을 발견하고 즉시 접근 차단과 원인·범위 조사를 시작했습니다. 같은 날 부정 접근이 있었음을 확인하고 긴급 조치를 취했습니다.10월 20일(화)
회사는 사내 사고 대응 본부를 설치했습니다. 조사 결과 CAPCOM ID에 등록된 고객 정보 일부가 유출됐고 일부 계정의 비밀번호가 무단으로 변경된 사실이 확인됐습니다. 같은 날 외부 자문 기구인 정보기술 보안 감독 위원회에 보고했습니다.10월 21일(수)
회사는 경찰(영어판에 따르면 오사카부 경찰)과 일본 개인정보보호위원회에 신고했습니다.10월 22일(목)
공지가 발표되고 CAPCOM ID 사이트에도 게시됐습니다. 피해 고객에게 개별 연락하고 전용 문의처를 마련한다고 밝혔습니다.10월 23일(금)
2차 공지가 발표됐습니다. 비밀번호가 변경된 196개 계정 중 19개(일본)에서 제3자가 e-Capcom 계정 페이지에 접근해 이름, 주소, 전화번호, 구매 이력 등이 유출됐습니다. 회사는 영향 범위 조사가 끝났다고 밝혔습니다.
공지에는 부정 접근이 언제 시작됐는지 적혀 있지 않습니다. 10월 19일은 회사가 흔적을 발견한 날입니다.
- 회사
- Capcom Co., Ltd.
- 서비스
- CAPCOM ID. Capcom 웹 서비스에 쓰이며 일부 온라인 게임에 필요한 온라인 회원 계정
- 유출 정보
- 이메일 주소와 시스템 고유의 식별 정보(계정 생성 일시, 마지막 로그인 일시, 로그인 횟수, 마지막 로그인 때의 클라이언트 IP 주소): 11,774,247건(전 세계 합계)
- 일부에서 추가 유출
- 생년월일, 성별, 국가/지역, 닉네임: 위 건수 중 43건
- 비밀번호
- 고객이 설정한 비밀번호의 유출은 확인되지 않음. 위 계정 중 196개는 비밀번호가 무단으로 변경돼 초기화됨
- 비밀번호 변경의 영향(2차 공지)
- 196개 계정 중 19개(일본)에서 제3자가 온라인 스토어 e-Capcom의 계정 페이지에 접근. 이름, 이름의 일본어 발음 표기, 전화번호, 우편번호, 주소, 성별, 생년월일, 구매 이력, e-Capcom 문의 이력, 저장된 주소록 정보가 유출됨. 나머지 177개 계정은 비밀번호 변경으로 인해 정보가 침해된 사실이 확인되지 않음
- 포함되지 않음
- 신용카드 정보(e-Capcom 19건도 포함되지 않음)
- 원인
- 제3자의 부정 접근. 회사는 공격 방식을 파악해 대응했다고 함. 방식과 경로는 공개되지 않음
- 범위 조사
- 완료(2차 공지). CAPCOM ID와 관련 서비스의 감시는 계속됨
- 신고
- 경찰(영어판에서는 오사카부 경찰)과 개인정보보호위원회(10월 21일), 회사의 외부 정보기술 보안 감독 위원회(10월 20일)
- 서비스
- CAPCOM ID를 쓰는 서비스는 계속 이용 가능. 게임 플레이에 영향을 받는 게임은 없음. 등록된 이메일 주소는 계속 사용 가능
- 고객 연락
- 피해 고객에게 개별 연락(방법은 밝히지 않음)
- 재발 방지
- 회사는 파악한 원인에 따라 대책을 세우고 정보 보안을 강화한다고 함. 구체적 내용은 없음
알려진 것과 알려지지 않은 것
2026년 10월 23일 2차 공지를 포함한 10월 24일 기준 상태입니다. 후속 공지가 나오면 상태 열을 갱신합니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 발견과 차단 시작 | 10월 19일 흔적 발견. 회사는 즉시 접근 차단과 원인·범위 조사를 시작했고 같은 날 부정 접근을 확인 | 확인됨(회사) |
| 이메일 주소와 식별 정보 | 11,774,247건(전 세계). 식별 정보: 생성 시각, 마지막 로그인 시각, 로그인 횟수, 마지막 로그인 때의 클라이언트 IP | 유출 확인(회사) |
| 생년월일, 성별, 국가/지역, 닉네임 | 위 건수 중 43건 | 유출 확인(회사) |
| 비밀번호 무단 변경 | 위 계정 중 196개. 초기화됨 | 확인됨(회사) |
| e-Capcom 등록 정보(2차 공지) | 196개 계정 중 19개(일본). 이름, 발음 표기, 전화번호, 우편번호, 주소, 성별, 생년월일, 구매 이력, 문의 이력, 저장된 주소록 | 유출 확인(회사) |
| 196개 중 나머지 177개 계정의 영향 | 비밀번호 변경으로 인해 정보가 침해된 사실이 확인되지 않음 | 확인되지 않음(회사) |
| 고객이 설정한 비밀번호 | 유출 확인되지 않음 | 확인되지 않음(회사) |
| 비밀번호 저장 방식 | 적혀 있지 않음 | 언급 없음 |
| 신용카드 정보 | 대상 정보에 포함되지 않음(e-Capcom 19건도 동일) | 포함되지 않음(회사) |
| CAPCOM ID의 이름, 우편 주소, 전화번호 | CAPCOM ID에서 유출된 항목으로 나열되지 않음(위 19건은 e-Capcom 계정 페이지에서 유출) | 언급 없음 |
| 원인 | 제3자의 부정 접근. 공격 방식은 파악해 대응. 방식과 경로는 적혀 있지 않음 | 확인됨(회사) / 세부 내용 언급 없음 |
| 접근이 시작된 시점 | 적혀 있지 않음 | 언급 없음 |
| 범위 조사 | 완료(2차 공지). 감시 계속 | 확인됨(회사) |
| 몇 명인지 | 사람이 아니라 레코드 또는 계정 수로 제시 | 언급 없음 |
| 경찰과 규제 당국 신고 | 10월 21일 실시 | 확인됨(회사) |
| 피해 고객 연락 | 피해 고객에게 개별 연락(방법은 적혀 있지 않음) | 예정(회사) |
| 서비스와 게임 | 계속 이용 가능. 플레이에 영향 없음 | 확인됨(회사) |
| 유출 정보의 악용 | 사기 문자, 전화, 이메일이 올 수 있다고 경고. 악용이 확인됐다고는 하지 않음 | 언급 없음 |
읽을 때 주의: "확인되지 않음"과 "포함되지 않음"
공지는 신용카드 정보가 "영향을 받은 정보에 포함되지 않았다"고 적고 있습니다. 비밀번호에 대해서는 유출이 확인되지 않았다고만 하며, 이는 비밀번호가 대상 범위 밖이라는 말과 같지 않습니다.
196건의 "비밀번호 무단 변경"은 비밀번호가 유출됐다는 뜻이 아니라, 제3자가 해당 계정의 비밀번호를 바꿨다는 뜻입니다. 2차 공지에서 그중 19개는 제3자가 이어서 e-Capcom 계정 페이지에 접근한 것으로 드러났습니다. 공지처럼 이 둘을 구분해서 보세요.
유출된 항목은 어디에 악용될 수 있나
아래는 이 사고에서 실제로 일어난 일이 아니라 일반적으로 일어날 수 있는 일입니다. 공지는 악용이 확인됐다고 밝히지 않았습니다.
이메일 주소(CAPCOM ID를 쓴다는 사실이 드러남)
↓→
Capcom이나 게임을 사칭한 가짜 이메일
→ 링크로 로그인하지 말고 북마크로 공식 사이트를 여세요
이메일 주소 = 로그인 ID
↓→
다른 사이트에서 유출된 비밀번호로 하는 로그인 시도
→ 비밀번호를 재사용하지 말고 2단계 인증을 켜세요
생성 시각, 마지막 로그인 시각, 로그인 횟수
↓→
"[날짜]에 로그인이 감지됐습니다" 같은 그럴듯한 가짜 알림
→ 날짜가 맞아도 진짜 메시지라는 증거는 아닙니다
이름, 주소, 전화번호, 구매 이력(e-Capcom 19건)
↓→
실제 주문이나 배송을 언급하는 문자나 전화
→ 전화로 개인정보를 알려 주지 말고 공식 번호로 직접 다시 거세요
공지에 따르면 포함되지 않았거나 유출이 확인되지 않은 것
- 신용카드 정보(포함되지 않음, e-Capcom 19건도 마찬가지)
- 고객이 설정한 비밀번호(유출 확인되지 않음)
- 196개 중 나머지 177개 계정의 비밀번호 변경으로 인한 유출(발견되지 않음)
공지에서 유출됐다고 한 항목
- 이메일 주소(로그인 ID이기도 함)
- 계정 생성 시각, 마지막 로그인 시각, 로그인 횟수
- 마지막 로그인 때의 클라이언트 IP 주소
- 43건은 생년월일, 성별, 국가/지역, 닉네임
- 19건(일본)은 e-Capcom의 이름, 주소, 전화번호, 생년월일, 구매 이력, 문의 이력, 저장된 주소록(2차 공지)
19건은 이름, 주소, 전화번호가 구매 이력과 함께 유출됐습니다. 일반적으로 이런 조합이 있으면 실제 주문을 언급하는 그럴듯한 문자나 전화를 보낼 수 있으므로, 이메일과 마찬가지로 문자와 전화에도 같은 주의가 필요합니다.
이메일 주소는 비밀번호와 달리 빠르게 바꾸기 어렵습니다. 일반적으로 유출된 주소에는 사고 후 오랜 시간이 지나서도 다른 구실의 가짜 이메일이 올 수 있으므로 한동안 주의하세요.
2026년 10월에 이메일 주소를 중심으로 한 다른 사례로는 Lawson ID 유출 사고와 JR East, VIEW Card, JR Kyushu 이메일 주소 유출이 있습니다. 원인과 범위는 사례마다 다르므로, 이번 건이 같은 경과를 밟는다고 단정할 수는 없습니다.
이번 사고는 2020년 Capcom 사건과 다른 사고입니다
2020년 11월 Capcom은 랜섬웨어 공격을 받아 개인 정보가 유출됐다고 발표했습니다(Capcom Ransomware (2020)). 이번 공지는 CAPCOM ID에 대한 별개의 부정 접근 사고이며, 2020년 사건과의 관련은 언급하지 않습니다.
회원 계정이 있는 서비스를 운영하는 분께
회사가 공격 방식을 공개하지 않았으므로 이 항목은 어떻게 막을 수 있었는지를 말하지 않으며, 회사 대응에 대한 평가도 아닙니다. 공지에서 알 수 있는 것은 로그인 ID를 겸하는 이메일 주소가 유출됐고, 일부 계정의 비밀번호가 변경됐으며, 2차 공지에 따르면 그중 19개 계정은 온라인 스토어 e-Capcom의 계정 페이지에도 무단으로 접근당했다는 점입니다. 아래 절차는 이 세 가지를 바탕으로 미리 점검할 수 있는 것에 초점을 둡니다.
비밀번호나 이메일 주소가 바뀌면 계정 소유자에게 알리세요
이번 사고에서 회사는 196개 계정의 비밀번호가 무단으로 변경된 사실을 확인했습니다. 일반적으로 비밀번호 변경을 계정 소유자에게 알리면 본인이 바꾸지 않은 변경을 알아챌 수 있습니다.
알림을 변경 전에 등록된 연락처로 보내면, 누군가 연락처를 바꿔 놓았더라도 실제 소유자에게 도달합니다. 알림에 "본인이 아니라면"이라고 쓸 때는 링크를 넣지 말고 공식 사이트에서 확인하는 방법을 안내하면 가짜 알림과 구별하기 쉽습니다.
로그인 이력 항목을 얼마나 보관할지 정하세요
유출된 항목에는 마지막 로그인 시각, 로그인 횟수, 마지막 로그인 때의 클라이언트 IP 주소가 있습니다. 이런 정보는 부정 로그인을 찾는 데 도움이 되지만, 유출되면 계정이 어떻게 쓰이는지 드러납니다.
어떤 이력을 계정 레코드 옆에 얼마나 오래 둘지 정해 두면 유출이 일어나도 범위가 작아집니다. 부정 로그인 감시에 쓰는 기록은 목적과 보관 기간을 정해 따로 보관할 수도 있습니다.
출처(공개 자료)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 공격 방식과 경로는 추측하지 않습니다.
- Capcom Co., Ltd., "不正アクセスによるお客様情報漏えいのお詫びとお知らせ"(일본어 원문, 2026년 10월 22일) — capcom.co.jp (PDF: capcom.co.jp)
- Capcom Co., Ltd., "Notice and Apology Regarding Customer Information Affected Through Unauthorized Access"(영어, 2026년 10월 22일) — capcom.co.jp (PDF: capcom.co.jp)
- Capcom Co., Ltd., "Update to Notice and Apology Regarding Customer Information Affected Through Unauthorized Access"(영어, 2026년 10월 23일) — capcom.co.jp (PDF: capcom.co.jp; 일본어 원문: capcom.co.jp)
- 도쿄증권거래소 적시 공시 서비스(TDnet), 2026년 10월 22일 일본 시간 17:00 제출(10월 23일 확인) — release.tdnet.info
- CAPCOM ID, 부정 접근 및 고객 정보 관련 공지(공지 항목, 2026년 10월 22일) — cid.capcom.com
- CAPCOM ID, "Support"(로그인과 2단계 인증, 10월 23일 확인) — cid.capcom.com
- Capcom Co., Ltd. IR 뉴스 목록(10월 24일 확인) — capcom.co.jp
- BleepingComputer, "Capcom confirms data breach affecting 11.7 million accounts"(2026년 10월 23일, 언론 보도) — bleepingcomputer.com
갱신 이력
2026-10-23: Capcom의 10월 22일 공지(일본어, 영어), TDnet 제출 문서, CAPCOM ID 공지와 지원 페이지(10월 23일 일본 시간 11:00 확인)를 바탕으로 한 첫 버전.
2026-10-24: 10월 23일 2차 공지를 반영해 갱신. 비밀번호가 변경된 196개 계정 중 19개(일본)에서 e-Capcom 계정 페이지를 통해 이름, 주소, 전화번호, 구매 이력 등이 유출됨, 196개 중 나머지 177개 계정은 유출이 발견되지 않음, 범위 조사 완료, 경고가 문자와 전화까지 확대됨. "범위 조사 결과"와 "196개 계정에 대한 조치"는 미확인 항목에서 삭제.
함께 읽기
- Capcom의 별개 사건(2020년): Capcom Ransomware (2020)
- 같은 시기의 사례: Lawson ID 유출 사고 / Carsensor.net와 C-MATCH 유출 사고 / Nikkei 부정 접근(약 183만 건)
- 가짜 이메일 대비: 피싱이란 / 내 이메일 주소로 오는 스팸
- 계정 보호: 비밀번호 관리자 선택 가이드 / 다중 인증 선택 가이드
- 2026년의 다른 사고: 2026년 개인정보 유출과 사이버 공격(일본과 해외)