カプコンは10月22日、自社のオンライン会員サービス「CAPCOM ID」が第三者の不正アクセスを受け、全世界で11,774,247件のメールアドレスと、アカウントごとの識別情報が外部に漏れたと公表した。クレジットカード情報は漏えいの対象に含まれておらず、利用者が自分で設定したパスワードの漏えいも確認されていないという。
漏れたのはメールアドレスに加えて、そのアカウントがいつ作られ、最後にいつ、どの IP アドレスからログインしたかという記録だ。カードが無事でも、この組み合わせは本物らしいメールを作る材料になる。自分が対象かどうか、届いたメールをどう扱うかを、いま決めておきたい。
何が漏れ、何が漏れていないか
公表文 (10月22日時点) が挙げる内容は3段に分かれる。
- メールアドレスと、システム固有の識別情報 (アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のクライアント IP) — 11,774,247件 (全世界合計)
- 生年月日・性別・国と地域・ニックネーム — このうち43件
- ログインパスワードの不正な変更 — このうち196件。該当するアカウントはすでにパスワードをリセット済み
パスワードについては、利用者自身が設定したものの漏えいは確認されていない一方、196件では不正に変えられていたことを認め、影響の範囲を調べ続けている。
経緯はこうだ。10月19日に不正アクセスの疑いがある痕跡を見つけてアクセスを遮断し、同じ日に不正アクセスを確認した。20日に社内に対策本部を置き、情報の漏えいと不正なパスワード変更を確認。21日には警察と個人情報保護委員会に報告した。攻撃の手段は特定して対応を終えたとしているが、その中身は公表文に書かれていない。
ゲームの画面から作ったアカウントも対象になりうる
CAPCOM ID は、カプコンのウェブサービスや一部のオンラインゲームを使うための共通アカウントだ。公式のガイドによると、ゲームの起動画面に出る二次元コードをスマートフォンで読み込んで登録し、PlayStation や Xbox、Steam、Epic Games、Nintendo のアカウントと連携する使い方がある。ゲームを始めるときに一度登録しただけで、作ったことを覚えていない人もいるだろう。
対象の利用者には、カプコンが順次個別に連絡するとしている。ゲームのプレイに影響はなく、CAPCOM ID を使うサービスはそのまま使える。
届くメールを、どう扱うか
カプコンが利用者に求めているのは1点だ。漏れた情報を悪用し、カプコンや関係先を装った不審なメールが届くおそれがあるため、記載された URL を開いたり、添付ファイルを開いたりしないこと。
ややこしいことに、カプコン自身も対象者に個別の連絡を送る。本物の連絡と、それを装ったメールが同じ時期に届きうる。偽のメールが最終ログインの日時や回数を書いてきたら、本物らしく見えてしまうかもしれない。
取れる手はいくつかある。
- メールの中のリンクからは開かず、ブックマークや検索から CAPCOM ID の公式サイトに自分で入る
- 電話で確かめたいときは、メールに書かれた番号ではなく、カプコンの公表文に載った専用窓口 (日本: 0120-801-271、受付10時〜20時) を使う
- 同じパスワードを他のサービスにも使っているなら、ここを機に分けておく。カプコンは自分で設定したパスワードの漏えいを確認していないとしているので、これは今回への対処というより、次の漏えいへの備えになる
手間もかかる。パスワードを分けるには、管理の仕組みを持つか、覚え方の工夫が要る。全部のサービスで一度にやろうとすると続かないので、乗っ取られると困るアカウントから順に、という選び方もある。何もしないと決めるのも一つの判断だが、その場合でもメールの中のリンクを開かないことだけは、今日から変えられる。
まだ分かっていないこと
公表文には、国や地域ごとの件数、攻撃の手段、一部のパスワードが変えられた理由は書かれていない。カプコンは原因を踏まえた再発防止策を講じ、新たな事実が分かれば公式サイトなどで速やかに知らせるとしている。
次に確かめる先は、カプコン公式サイトの IR ニュースの欄だ。対象者への個別の連絡が始まったあとの続報や、原因と再発防止策の公表がここに出るかを見ておきたい。
ことば
- システム固有の識別情報 — 今回の公表文で、アカウント作成日時・最終ログイン日時・ログイン回数・最終ログイン時のクライアント IP をまとめて呼んだ言葉。メールアドレスと組むと、いつ使ったアカウントかが分かる記録になる。
- クライアント IP — ログインしたときに使っていた機器や回線に割り当てられた、インターネット上の番号。接続元のおおまかな地域や回線の事業者が分かることがあり、本物らしいメールの材料にもなりうる。
- 個人情報保護委員会 — 個人情報の扱いを監督する国の機関。一定の漏えいが起きた事業者には報告が求められ、カプコンは10月21日に警察とあわせて報告した。
あなたのメールアドレスで作ったアカウントのうち、いくつを今すぐ思い出せるだろうか？
