Capcom／官方：CAPCOM ID 遭未授權存取——全球約一千一百七十七萬電郵紀錄受影響；一九六帳戶密碼被改

Key takeaway

卡普空於二〇二六年十月二十二日以官方新聞稿確認，統一會員帳戶 CAPCOM ID 遭第三方未授權存取：全球共約一千一百七十七萬四千二百四十七筆電郵及系統識別資料受影響，其中四十三筆另含出生日期、性別、國家／地區與暱稱；另有一百九十六個帳戶登入密碼被擅自更改（公司未確認客戶原本設定之密碼本身外洩）。十月二十三日第二報進一步指出，該一百九十六帳戶中有十九個日本帳戶之「イーカプコン」網購會員頁遭存取，姓名、電話、地址、購買紀錄等外洩；信用卡資料不在影響範圍，遊戲與 CAPCOM ID 服務經緊急應變後仍可使用。公司已於十月二十一日向大阪府警察與個人情報保護委員會報告，並警告釣魚與冒充詐騙風險。本文已核對官方英文／日文第一報與第二報，來源真實性已驗證。

Capcom／官方：CAPCOM ID 遭未授權存取——全球約一千一百七十七萬電郵紀錄受影響；一九六帳戶密碼被改

卡普空於二〇二六年十月二十二日以官方新聞稿確認，統一會員帳戶 CAPCOM ID 遭第三方未授權存取：全球共約一千一百七十七萬四千二百四十七筆電郵及系統識別資料受影響，其中四十三筆另含出生日期、性別、國家／地區與暱稱；另有一百九十六個帳戶登入密碼被擅自更改（公司未確認客戶原本設定之密碼本身外洩）。十月二十三日第二報進一步指出，該一百九十六帳戶中有十九個日本帳戶之「イーカプコン」網購會員頁遭存取，姓名、電話、地址、購買紀錄等外洩；信用卡資料不在影響範圍，遊戲與 CAPCOM ID 服務經緊急應變後仍可使用。公司已於十月二十一日向大阪府警察與個人情報保護委員會報告，並警告釣魚與冒充詐騙風險。本文已核對官方英文／日文第一報與第二報，來源真實性已驗證。

Capcom／官方：CAPCOM ID 遭未授權存取——全球約一千一百七十七萬電郵紀錄受影響；一九六帳戶密碼被改

遊戲廠商的統一登入層一旦失守，影響往往不止「一款遊戲」：電郵清單、登入軌跡與少數被改密的帳戶，足以啟動大規模釣魚與帳戶接管鏈。卡普空今次以兩日連發新聞稿交代規模、時間線與第二波網購頁影響，對同樣營運統一帳號、電商與線上服務的香港團隊，是可直接對照的資安營運案例。

一、事件核心：統一帳號層被撞開

技術細節

官方英文稿（2026-10-22）標題為 “Notice and Apology Regarding Customer Information Affected Through Unauthorized Access”。CAPCOM ID 被定義為可登入多個網頁服務、並為部分線上遊戲所需的註冊制共通帳戶。

截至十月二十二日確認的影響範圍：

  1. 電郵地址紀錄與系統專用識別資訊：全球合計 11,774,247 筆。識別資訊包括帳戶建立／最後登入時間、登入次數、登入時客戶端 IP 等。
  2. 出生日期、性別、國家／地區、暱稱：在上述總數之中 43 筆。
  3. 登入密碼遭未授權更改：196 個帳戶。卡普空寫明「未確認客戶自行設定的原密碼外洩」，但確認這批帳戶密碼曾被第三方改寫；相關密碼已重置。

信用卡資料「不在受影響資訊之列」。公司稱已完成必要緊急應變，使用 CAPCOM ID 的服務（含遊戲）仍可使用，並已「識別並處理今次事件所用攻擊手法」。

時間線（官方）

  • 十月十九日：發現 CAPCOM ID 可疑未授權存取跡象，即時阻斷並調查；同日確認確有未授權存取，展開緊急對策與攻擊手法對應。
  • 十月二十日：成立內部對策本部；確認部分客戶資料外洩及有限帳戶遭改密；向外部顧問組織「セキュリティ監督委員会」報告。
  • 十月二十一日：向大阪府警察與日本個人情報保護委員會報告；持續監控與影響範圍精查。

第二報（2026-10-23）進一步釐清改密帳戶的下游影響：一百九十六個被改密帳戶之中，有 19 個（日本）遭第三方進入「イーカプコン」（e-Capcom，日本網購站）會員頁，外洩欄位包括姓名、姓名假名、電話、郵遞區號、地址、性別、出生日期、購買紀錄、對 e-Capcom 查詢紀錄、會員通訊錄；信用卡仍不在列。其餘被改密帳戶，公司稱未再發現因改密而造成的其他資訊外洩。調查稱影響範圍已查完，但仍會持續監察 CAPCOM ID 及相關服務，並警告電郵／電話冒充詐騙。

Engadget 於十月二十四日（美西時區報道周期）跟進，將規模約述為「一千一百七十萬用戶」，並提醒 CAPCOM ID 仍可用、用戶宜提防釣魚——硬數字與時間線仍以官方稿為準。

二、技術原理：統一身分、改密鏈與釣魚武器化

今次並非「單一遊戲存檔外洩」敘事，而是 IdP／統一會員層 被打開後的典型擴散：

  1. 高價值清單：逾一千一百萬電郵加上登入時間與 IP 等系統識別，本身已是精準釣魚與憑證填充的原料；即使原密碼未直接外洩，攻擊者仍可用「我們偵測到異常登入，請重置」話術。
  2. 帳戶接管捷徑：一百九十六個帳戶被直接改密，等於跳過「猜密碼」階段；其中十九個再切入電商會員頁，把身分識別升級為姓名、地址、購買史——對社工與貨到付款詐騙尤其危險。
  3. 服務持續可用 ≠ 風險結束：官方強調遊戲與 CAPCOM ID 服務仍可登入，正正代表用戶會繼續點官方樣式連結；冒充客服電郵的成功率往往在「事件新聞曝光後四十八至七十二小時」最高。
  4. 監管通報節奏：偵測（十九日）→ 對策本部（二十日）→ 警察與個資主管機關（二十一日）→ 公開第一報（二十二日）→ 第二報補電商影響（二十三日），呈現日本大型遊戲商在個資事故上的標準對外節奏，可作香港企業事故對外溝通的對照樣本。

三、日常應用場景

1. 開發者與技術團隊

若產品採用「一個帳號打通官網、商城、論壇、遊戲／App」架構，應假設電郵清單外洩是高機率事件：強制對高風險操作（改電郵、改送貨地址、查看完整付款方式）做逐步驗證；改密後撤銷既有 session／refresh token；對異常改密、異常登入 IP 做即時告警與強制登出。日誌至少保留建立時間、最後登入、來源 IP——卡普空今次披露的正是這類系統識別欄位。

2. 企業與隱私敏感行業

香港金融、法律、醫療與零售若自建會員或客戶入口，應把「統一登入 + 電商檔案」視為同一信任域：電商 PII（姓名、地址、電話、訂單）與遊戲／內容帳號權限要做資料域隔離，避免一次改密即可讀完整購買史。事故對外稿宜分階段（已知範圍 → 補遺），並預先準備監管通報與客戶專線——卡普空設置了專用免費電話與分區支援表單。

3. 一般用戶

CAPCOM ID 用戶應：改用獨一無二強密碼或通行密鑰、啟用官方提供的額外驗證（如有）、對「卡普空客服／補償／鎖帳」來電與電郵一律先經官方網站重新登入查證；不要點郵件內短網址。日本 e-Capcom 受影響的十九名用戶應以官方個別通知為準，並留意銀行／電商異常訂單。

4. 香港與亞洲市場視角

亞洲玩家與港人常用同一電郵註冊多個遊戲與商城；清單級外洩會直接流入本地即時通訊與假冒客服騙局。企業 IT 可借鏡把「會員 IdP、電商 PII、內容服務」分段存放，並演練四十八小時內的對外聲明與釣魚預警。若需要把帳戶防護、零信任與雲端邊界一併加固，可參考 YSK Limited 的香港雲端遷移與網絡安全服務（公開資料刊 99.99% SLA）（https://ysk.hk/services/cloud-security）。

四、專業評價與潛在考量

優勢（就事故披露而言）

  • 官方給出可核對的硬數字（11,774,247／43／196／19）與清晰時間線，避免「規模不詳」式公關空話。
  • 明確區分「原密碼外洩未確認」與「密碼被改寫」，並交代電商頁第二波影響，屬較完整的分層披露。
  • 信用卡不在列、服務保持可用、已處理攻擊手法——有助玩家與業務連續性判斷。

需要留意的地方

  • 逾千萬電郵清單的長期釣魚風險不會因「緊急應變完成」而消失；用戶教育需持續數週。
  • 第二報十九筆 e-Capcom 影響雖小，但欄位極敏感；其餘地區是否有同等電商／支付頁連結，外界只能依賴後續官方更新。
  • Engadget 等媒體約數「11.7 million users」與官方「11,774,247 records」表述略有不同，寫作與對外溝通應採官方紀錄筆數。
  • 攻擊手法技術細節（漏洞編號、入口元件）官方未公開，防禦同業難以做一對一特徵對照，只能落在身分與 session 衛生的通用控制。

結語

CAPCOM ID 事故提醒一條老規則：統一登入層是整條數位產品鏈的單點。一千一百多萬電郵紀錄加上近二百個被改密帳戶、再加十九個電商會員頁，已足夠支撐數週的冒充詐騙活動。香港團隊宜立刻檢查自身 IdP 與商城資料域是否過度耦合，並演練「偵測—阻斷—通報—分階段公開」節奏。若要一併強化雲端邊界、帳戶接管防護與安全營運，可參考 YSK Limited 的雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。

參考來源

Related services & products

Related posts