Capcomによると、サイバー攻撃により世界中で1,170万件を超えるCAPCOM IDの記録が流出した。これには顧客のメールアドレス、最終ログイン日時、ログイン回数、直近のログインに関連するIPアドレスが含まれる。
日本のゲームパブリッシャーであるCapcomは10月22日、会員サービスへの不正アクセスによって11,774,247件の記録が侵害されたことを確認した。攻撃者は196件のアカウントのパスワードも変更していた。10月23日の更新情報では、そのうち19件のアカウントが、Capcomのオンラインショッピングサービスを通じて追加の個人情報にアクセスするために使われていたことが明らかになった。
CAPCOM IDでオンラインサービスや一部のゲームを利用しているゲーマーにとって、当面の懸念は、不正アクセスや詐欺的な連絡からアカウントを守ることだ。Capcomは顧客が設定した元のパスワードが流出したとは確認していないものの、侵害された情報を使えば、犯罪者は説得力のあるフィッシング攻撃を仕掛けられる可能性がある。
Capcomの侵害でアカウントデータと追加の顧客情報が流出
Capcomの 10月22日付の公式発表によると、同社は10月19日に不審な活動を検知し、同日中に不正アクセスを確認した。
10月20日までに、調査担当者はCAPCOM IDに関連する顧客情報が侵害されたと判断した。Capcomは10月21日にこのインシデントを日本の当局へ報告し、翌日に侵害を公表した。
初期調査では、影響を受けた情報を次の3種類に分類した。
- 11,774,247件：メールアドレスとアカウントのメタデータ。アカウント作成日、最終ログイン日時、ログイン回数、直近のログインに関連するIPアドレスなど。
- そのうち43件：生年月日、性別、国または地域、ニックネームなどの追加の個人情報。
- 196件のアカウント：ログインパスワードが無断で変更された。Capcomは、影響を受けたパスワードをすでにリセットしたとしている。
この数字はCAPCOM IDの記録数を示すものであり、1,170万人のユニークユーザーを意味するとは限らない。
Capcomは、顧客が元々設定したパスワードが流出したことは確認していないと述べた。クレジットカード情報も侵害されたデータには含まれていなかった。
10月23日の更新情報で、19件のアカウントに関する追加流出が明らかに
Capcomは 10月23日付の公式な続報で、攻撃者がパスワードを変更された196件のアカウントのうち19件を使い、e-Capcomオンラインショップの顧客ページにアクセスしていたことを確認した。
この調査結果は Security NEXTも報じており、これらのアカウントを通じて流出した追加の個人情報について詳しく伝えている。
侵害された情報には次のものが含まれていた。
- 本人確認情報：氏名、性別、生年月日。
- 連絡先情報：電話番号、住所。
- 購入・アカウント記録：購入履歴、顧客からの問い合わせ履歴、会員のアドレス帳に保存された情報。
影響を受けた19件のアカウントは、すべて日本で登録されていた。
今回の事態が重大なのは、侵害がメールアドレスや基本的なアカウントのメタデータにとどまらないためだ。この19人の顧客については、追加情報によって、より標的を絞ったなりすましやその他の詐欺が可能になる恐れがある。
Capcomは攻撃手法を特定し、対処したと述べた。10月23日の更新情報で、同社はインシデントの影響に関する評価を完了したと報告している。今後も予防措置を講じながら、CAPCOM IDおよび関連サービスを監視していく。
今回のインシデントに先立ち、消費者の大規模なデータ流出がほかにも発生している。以前には、 ASOSが138,828人の顧客に影響するアカウント乗っ取りインシデントを公表しており、犯罪者がアカウント情報にアクセスした後もリスクが続くことを浮き彫りにした。
Capcomのプレイヤーがアカウントを守るためにすべきこと
CAPCOM IDユーザーにとって、現在も最大の懸念となり得るのは、最初の侵害後に攻撃者が流出情報を悪用しようとする方法だ。
Capcomは、流出した情報が、同社や関連当事者になりすました詐欺メールなどの連絡に悪用される可能性があると警告している。
つまりゲーマーは、アカウントが停止された、直ちにパスワードをリセットしなければならない、プレイを続けるには個人情報の確認が必要だ、と主張する予期しないメッセージに、特に注意する必要がある。
Capcomは今回のインシデントに起因するフィッシング攻撃を確認したとは報告していないが、その可能性には注意が必要だ。
流出のリスクを減らすため、プレイヤーはいくつかの実践的な対策を取れる。
- CAPCOM IDアカウントを直接確認する。予期しないメールやテキストメッセージ内のリンクをたどるのではなく、 CAPCOM ID公式サイトにアクセスする。アカウントにアクセスできることを確認し、利用可能なアカウント情報を確認して、不正な変更がないか調べる。
- 他の場所でも使い回しているパスワードを変更する。Capcomはすべてのユーザーにパスワードのリセットを求めておらず、影響を受けた196件のアカウントについてはすでにパスワードをリセットしたとしている。それでも、複数のゲーム、ショッピング、メールサービスで同じパスワードを使っている人は、固有のパスワードに変更すべきだ。これは予防措置であり、パスワードが盗まれたことを示すものではない。
- Capcomを装ったフィッシング攻撃に警戒する。本物のアカウント情報にアクセスできる攻撃者は、より信頼できそうなメッセージを作成できる可能性がある。不審なリンクや添付ファイルを避け、予期しない発信者にログイン情報や個人情報を提供しないこと。同様の欺瞞的な手口は、 Microsoft 365のカレンダー招待を利用したフィッシングキャンペーンにも見られている。
- 関連するメールアカウントやショッピングアカウントを監視する。予期しないログイン通知、パスワードリセットの要求、アカウント情報の変更があった場合は、各サービスの公式サイトから確認すること。顧客は、個人情報がデータ侵害で流出したかどうかを確認するため、eSecurity Planetの個人情報がデータ侵害で流出したかどうかを確認するためのガイドも参照できる。
- 不審な活動に気づいたらCapcomに連絡する。アカウントにアクセスできない、または自分の情報が悪用されたと考える顧客は、同社の 公式サポートフォームから連絡できる。
Capcomは、影響を受けた顧客に個別に通知しており、今後もサービスの監視を続けるとしている。CAPCOM IDは引き続き利用可能で、今回のインシデントによって顧客がゲームにアクセスしたりプレイしたりできなくなったわけではないという。
ゲーマーにとって、この区別は重要だ。メールアドレスが流出したからといって、必ずしも誰かがアカウントにアクセスできるわけではない。しかし、アカウントの活動情報やその他の個人情報と組み合わされると、犯罪者が説得力のある詐欺を仕掛けるための出発点になり得る。
顧客は、Capcomの公式チャネルを通じてセキュリティ警告を確認し、アカウントごとに固有のパスワードを使い、ゲームの利用状況に言及する予期しない連絡には特に注意すべきだ。
ショッピング情報が流出した19人の顧客にとっては、実際の購入品や住所、個人情報に言及する不審な連絡を監視することが特に重要だ。
Capcomは攻撃手法に対処したとしているが、流出した情報は、同社が直ちに実施したセキュリティ対応から長い時間が経過した後も、詐欺師にとって有用なままかもしれない。
サイバーセキュリティ関連のニュース：流出した顧客情報が標的型詐欺を助長する別の例として、eSecurity Planetの 約4万人の顧客に影響したSafePalのデータ侵害に関する報告を読んでほしい。