要点
カプコンは、会員が自分で設定したパスワードの漏えいは確認されていないとしている。それでも一部のアカウントでは、ログインのパスワードが不正に変更されていた。翌日の第二報で、そのアカウントのうち一部について、同じ ID で使う通販サイトのマイページに第三者が不正にアクセスし、住所や購入履歴が漏えいしたと公表した。パスワードがどの手順で変えられたかと、変更とマイページへのアクセスの関係や順序は、公表されていない。共通の ID では、パスワードを変える操作が一つ通るだけで、その ID で入るサービスがまとめて他人に開きうる。
実行の前の照合＝パスワードの変更を確定する前に、その変更が持ち主の操作かを照合し、記録に残すこと。検知＝不正アクセスが起きた後に気づくこと。下の日付は、カプコンが確認・公表した日で、変更やアクセスが起きた日ではない。
うち 19 件でマイページへの不正なアクセス
通った操作
- 通った操作
- CAPCOM ID のログインのパスワードの変更。196 件のアカウントで、パスワードが不正に変更されていた。会員が自分で設定したパスワードの漏えいは確認されていない。196 件はパスワードをリセットした（カプコン第一報）。
- 通販のマイページ
- パスワードが不正に変更された 196 件のアカウントのうち 19 件（日本国内）について、第三者が通販サイト「イーカプコン」のマイページに不正にアクセスし、住所や購入履歴などが漏えいした（カプコン第二報）。パスワードの変更とこのアクセスの関係や順序は、公表されていない。
- 受け付けた側に届くもの
- 一般に、パスワードの変更は、ログインした状態からの操作か、再設定の手順を通った操作として届く。手順を通ったことは、その変更をアカウントの持ち主がしたことを示さない。
- 公表されていないこと
- 侵入の手段（同社は特定済みとする）、侵入が始まった日、パスワードがどの手順で変えられたか（再設定の手順か、ほかの機能か）、変更が持ち主に知らされたか、多要素認証の有無、なぜ 196 件だったか。
実行前の照合
経路を問わず区別できる条件は、パスワードやメールアドレスの変更を確定する側が、その変更が持ち主の操作かを、変更の前から登録されている連絡先や鍵で、確定の前に照合することである。
共通の ID では、パスワードを変える操作が一つ通るだけで、その ID で入るサービスがまとめて他人に開きうる。
- 誰が承認を出すか
- アカウントの持ち主。変更の前から登録されている連絡先（メールアドレス・電話番号）か、持ち主の端末にある鍵（パスキーなど）で、その変更を承認する。変更を受け付けたサーバーや、変更の画面そのものでは作れない形で出す。
- どこで照合するか
- パスワードやメールアドレスの変更を確定するサーバー。ログイン中の画面、再設定の手順、サポートの窓口や管理の機能など、どの手順から届いた変更も、確定の手前の一か所で照合する。承認と一致しない変更は確定せずに保留し、共通の ID では、保留の間、住所や購入履歴を持つサービスに入れないようにする。
- 何が残るか
- どのアカウントの変更が、どの手順から届き、どの承認で確定したかの記録。
遮断とリセットは、気づいた後の手当てである。持ち主かを照合しないままアカウントの登録情報が変えられる点は、Instagram のサポート経由の乗っ取り（AI のサポートに頼むだけで、登録メールアドレスが攻撃者のものに変えられた）とも共通する論点である。
Lemma でできること
Lemma は、実行前の照合を、パスワードやメールアドレスの変更を確定する側に組み込む。侵入を見つけるのではなく、届いた変更が持ち主の承認に基づくかを、確定の前に照合する。
注意したい業界・業務
- 業界メディア・コンテンツ
- ゲームや動画、電子書籍など、一つの会員アカウントで複数のサービスやアプリに入れる事業者。会員の数が多く、アカウントの変更は自動の手順で処理されることが多い。
- 業界サービス・小売
- 会員のアカウントで、住所や電話番号、購入履歴、配送先の住所録を持つ通販サイト。共通 ID でログインさせていると、ID の側の変更がそのまま通販の入口になる。
- 業務アカウント・権限の管理
- 会員のパスワードやメールアドレスの変更、再設定の手順の管理。
いまの対策と Lemma の違い
今回の公表は、CAPCOM ID のパスワードの不正な変更 196 件と、そのうち 19 件での通販のマイページへの不正なアクセスで、侵入の手段とパスワードを変えた手順は公表されていない。このため、今回の変更が 1 列目（手順を通った変更）と 3 列目（直接の書き換え）のどちらに当たるかは分からない。2 列目は変更の後にほかのサービスに入る場合で、19 件のアクセスがこれに当たるかも公表されていない。右端の列は、メールアドレスなど 1,177 万件の漏えいに当たる。
| 対策 | 画面や再設定の手順を通った変更 | 変更の直後の、ほかのサービスへの入場 | データベースや管理の機能での直接の書き換え | 登録情報の持ち出し |
|---|---|---|---|---|
| 強いパスワード・使い回さない | 一部 | 一部 | 関係しない | 関係しない |
| ログインの多要素認証 | 一部 | 一部 | 効かない | 関係しない |
| 変更後の通知（登録済みの連絡先へ） | 一部 | 一部 | 効かない | 関係しない |
| 不正アクセスの検知と遮断 | 一部 | 一部 | 一部 | 一部 |
| Lemma（実行の前の照合） | 効く | 効く | 効かない | 効かない |
強いパスワードと多要素認証はログインを守り、再設定の手順で求めていなければ、そこは通る。変更後の通知は、持ち主が後から気づく手がかりになる。検知と遮断は気づいた後に効く。Lemma は、ログインではなく変更の操作そのものを、確定の前に持ち主の承認と照合する。
注：Lemma の照合が働くのは、パスワードやメールアドレスの変更を確定するサーバーに照合を組み込み、ログイン中の画面・再設定の手順・サポートや管理の機能のどこから届いた変更も同じ照合を通り、承認に使う連絡先や鍵が、変更を受け付ける仕組みとは別にある場合に限る。変更前に登録された連絡先そのものを乗っ取られた場合や、データベースや管理の機能を直接書き換えられた場合は通る。メールアドレスなどの持ち出しも、この照合では止まらない。表は何を照合しているかの比較で、今回の事案で止まったかどうかを示すものではない。Lemma は、侵入を検出・防止するものではない。
会員のアカウントの変更について、組織で確認する 3 項目
- 会員のパスワードやメールアドレスが変わったとき、変更前の登録済みの連絡先にも知らせが届くか。
- 共通 ID で入るサービスのうち、住所や購入履歴を見られるものは、パスワードの変更の直後に入るとき、もう一度本人を確認しているか。
- 短い間に多くのアカウントでパスワードが変わったとき、気づいて変更を止められるか。
事実と時系列
- サービス
- CAPCOM ID は、カプコンの Web サービスや一部のオンラインゲームで使う、登録制の共通アカウント（カプコン）。カプコンの通販サイト「イーカプコン」も、利用には CAPCOM ID の登録が要る（イーカプコンのご利用ガイド）。
- 漏えいした情報
- メールアドレスとシステム固有の識別情報（アカウントの作成日時、最終ログイン日時、ログイン回数、最終ログイン時の接続元 IP アドレス）が、全世界で 11,774,247 件。うち 43 件では、生年月日、性別、国・地域、ニックネームも漏えいした。クレジットカードの情報は含まれない（カプコン第一報）。
- パスワードの不正な変更
- 11,774,247 件のうち 196 件で、ログインのパスワードが不正に変更されていた。会員が自分で設定したパスワードの漏えいは確認されていない。196 件はパスワードをリセットした（カプコン第一報）。
- 通販のマイページ
- パスワードが不正に変更された 196 件のアカウントのうち 19 件（日本国内）について、第三者がイーカプコンのマイページに不正にアクセスし、氏名、氏名（カナ）、電話番号、郵便番号、住所、性別、生年月日、購入履歴、イーカプコンへの問い合わせ履歴、会員の住所録が漏えいした。クレジットカードの情報は含まれない。ほかのアカウントについても、パスワードの不正な変更による情報漏えいは確認されなかったと同社は説明している（カプコン第二報）。
- 経路
- カプコンは、攻撃の手段を特定して対応を完了したとしている。手段の中身は公表されていない（カプコン第一報）。
用語メモ
CAPCOM ID — カプコンの Web サービスや一部のオンラインゲームで使う、登録制の共通アカウント。カプコンの通販サイト「イーカプコン」も、CAPCOM ID で利用する。
システム固有の識別情報 — カプコンの公表では、アカウントの作成日時、最終ログイン日時、ログイン回数、最終ログイン時の接続元 IP アドレスを指す。
マイページ — 通販サイトで、会員が自分の住所や購入履歴、配送先の住所録を見たり変えたりする画面。
時系列
- カプコンが CAPCOM ID への不正アクセスの疑いのある痕跡を見つけ、直ちにそのアクセスを遮断して調べ始める。同日、不正アクセスがあったことを確認し、緊急の対策と、攻撃の手段の特定を始める。
- 社内に対策本部を置く。登録された情報の一部の漏えいと、一部のアカウントでのパスワードの不正な変更が分かる。外部の助言組織であるセキュリティ監督委員会に報告する。
- 警察と個人情報保護委員会に報告する。
- 第一報を公表する（適時開示）。緊急の対策と、攻撃の手段の特定と対応を完了したとし、CAPCOM ID を使うサービスは引き続き使えるとした。
- 第二報で、パスワードが不正に変更された 196 件のうち 19 件で、イーカプコンのマイページに不正なアクセスがあったと公表する。影響範囲の調査は完了したとした。
事実はカプコンの第一報と第二報（いずれも一次・適時開示、同社サイトに日本語と英語）に拠る。第一報は、攻撃の手段を「特定と対応を完了」と書くが、中身は書いていない。第二報は、パスワードが不正に変更された 196 件のうち 19 件でマイページへの不正なアクセスがあったと書くが、変更とアクセスの順序や、変更後のパスワードが使われたかは書いていない。公表されていないことは、対策が無かったことを意味しない。11 月 2 日時点で、同社のお知らせの一覧に第三報は出ていない。
公表後の対応
- カプコン: 196 件のパスワードをリセットし、対象の会員に順次知らせている。専用の問い合わせ窓口を国内外に置いた。CAPCOM ID と関連サービスの監視を続け、原因を踏まえた再発防止策を講じるとしている。
- 会員への注意: 漏れた情報を使って、カプコンや関係先を装うメール、ショートメッセージ、電話が来るおそれがあるとして、URL や添付ファイルを開かないよう呼びかけている。
Sources
- 一次・適時開示カプコン「不正アクセスによるお客様情報漏えいのお詫びとお知らせ」
- 一次・適時開示カプコン「不正アクセスによるお客様情報漏えいのお詫びとお知らせ（第二報）」
- 一次・当事者の公表カプコン「不正アクセスによるお客様情報漏えいのお詫びとお知らせ」
- 一次・当事者の公表カプコン「不正アクセスによるお客様情報漏えいのお詫びとお知らせ（第二報）」
- 一次・利用案内イーカプコン「ご利用ガイド」
報道・解析 1 件
- 報道ASCII.jp「カプコン、1177万件超の顧客情報漏えい 「CAPCOM ID」に不正アクセス、パスワードの不正変更も」