캡콤이 10월 22일 온라인 회원 계정 서비스 CAPCOM ID의 고객 정보에 제3자가 무단 접근했다고 공지했다. 영향을 받은 이메일 주소 기록은 전 세계 합계 11,774,247건이다. 여기에는 이메일 주소와 함께 계정 생성 일시, 마지막 로그인 일시, 로그인 횟수, 마지막 로그인 때 쓴 IP 주소가 포함됐다. 다만 생년월일·성별·국가/지역·닉네임까지 같이 노출된 기록은 이 가운데 43건이다. 신용카드 정보는 포함되지 않았다고 캡콤은 밝혔다.
무엇이 노출됐나 — 1,177만 건과 43건의 차이
캡콤이 10월 22일 공지에서 밝힌 피해 범위는 세 가지로 나뉜다.
CAPCOM ID는 캡콤의 웹 서비스와 일부 온라인 게임을 이용할 때 필요한 등록제 공통 계정이다.
이번 공지의 대상은 이 계정에 묶인 기록이다.
첫째, 이메일 주소 기록과 시스템 식별 정보다.
계정 생성 일시, 마지막 로그인 일시, 로그인 횟수, 마지막 로그인 때 사용한 클라이언트 IP 주소가 여기에 해당한다.
건수는 11,774,247건이다. 캡콤은 이를 '전 세계 합계'라고 표기했다.
둘째, 생년월일·성별·국가/지역·닉네임 기록이다.
이 항목은 위 건수 가운데 43건에서만 확인됐다.
셋째, 로그인 비밀번호가 무단으로 바뀐 계정이다. 이쪽은 196개다.
결제 수단은 별개로 짚었다. 공지는 신용카드 정보가 피해 정보에 포함되지 않았다고 적었다.
'1,177만 명의 생년월일이 털렸다'는 식의 요약은 공식 발표와 맞지 않는다는 뜻이다.
캡콤은 영향을 받은 고객에게 순차적으로 개별 연락을 하겠다고 밝혔다.
| 구분 | 노출 항목 | 건수 |
|---|---|---|
| 이메일 주소 기록 + 시스템 정보 | 이메일 주소, 계정 생성 일시, 마지막 로그인 일시, 로그인 횟수, 마지막 로그인 IP | 11,774,247건 |
| 위 가운데 추가 노출 | 생년월일, 성별, 국가/지역, 닉네임 | 43건 |
| 비밀번호 무단 변경 | 로그인 비밀번호가 제3자에 의해 바뀐 계정(캡콤이 재설정 완료) | 196계정 |
| 노출되지 않았다고 밝힌 항목 | 신용카드 정보 | 해당 없음 |
▲ 캡콤 공식 공지(2026년 10월 22일) 기준. 전 세계 합계이며 국가·지역별 내역은 공개되지 않았다.
비밀번호는? 원래 비밀번호는 털리지 않았다, 다만 196개 계정은 바뀌었다
캡콤은 이용자가 직접 설정한 CAPCOM ID 로그인 비밀번호가 유출됐다는 점은 확인하지 못했다고 밝혔다.
그러나 196개 계정에서는 비밀번호가 무단으로 변경된 사실이 확인됐다.
해당 계정의 비밀번호는 이미 재설정됐고, 캡콤은 영향 범위를 계속 조사하겠다고 했다.
하루 뒤인 10월 23일 갱신 공지에서 조사 결과가 추가됐다.
비밀번호가 바뀐 196개 계정 가운데 19개는 제3자가 'e-Capcom' 계정 페이지에도 접근한 것으로 확인됐다.
e-Capcom(イーカプコン)은 캡콤이 일본에서 운영하는 통신판매 사이트다.
이 19건은 모두 일본 국내 계정이며, 노출된 정보는 이름, 이름의 가타카나 표기, 전화번호, 우편번호, 주소, 성별, 생년월일, 구매 이력, e-Capcom 문의 이력, 회원 주소록이다.
여기서도 신용카드 정보는 포함되지 않았다.
나머지 계정에서는 비밀번호 변경으로 인해 노출된 정보를 확인하지 못했다고 캡콤은 적었다.
이 가운데 일본 계정 19건을 제외한 나머지 177개 계정은 비밀번호 변경에 따른 정보 노출이 확인되지 않았다.
캡콤은 이 갱신 공지에서 영향 범위 조사가 끝났다고 밝혔다. 다만 CAPCOM ID와 관련 서비스는 계속 감시하겠다고 했다.
발표까지의 경과 — 10월 19일 탐지, 22일 공지
영상: ANNnewsCH 유튜브 채널
캡콤이 공지에 적은 경과는 다음과 같다.
10월 19일, 캡콤은 CAPCOM ID에 대한 무단 접근이 의심되는 이상 징후를 탐지하고 즉시 접근 차단과 원인·범위 조사에 들어갔다.
같은 날 무단 접근이 실제로 있었음을 확인하고 긴급 조치와 공격 수법 파악에 착수했다.
10월 20일에는 사내 대책 본부를 세웠다.
이날 조사에서 CAPCOM ID에 등록된 고객 정보 일부에 무단 접근이 있었고, 일부 계정의 비밀번호가 무단으로 바뀐 사실도 확인했다.
같은 날 외부 자문 기구인 보안 감독위원회(영문 공지 표기는 Information Technology Security Oversight Committee)에 보고했다.
10월 21일에는 경찰과 일본 개인정보보호위원회에 보고했다.
영문 공지는 이 경찰을 오사카부 경찰로 적었다.
10월 22일 공지가 나왔고, 10월 23일 갱신 공지가 이어졌다.
캡콤은 긴급 대응 조치를 마쳤고 공격 수법을 특정해 대응했다고 밝혔다.
다만 이 날짜는 캡콤이 이상 징후를 발견하고 접근 사실을 확인한 시점이다.
무단 접근이 처음 시작된 시점은 공지에 나와 있지 않다.
다만 침입 경로가 구체적으로 무엇이었는지는 공지에 적지 않았다.
공격 주체에 대해서도 캡콤은 밝힌 바가 없다. 이 기사에서도 추정하지 않는다.
CAPCOM ID를 쓰는 게임과 서비스는 계속 이용할 수 있고, 게임 접속·플레이에도 영향이 없다는 것이 캡콤의 설명이다.
한국 이용자는 영향을 받았나 — 공식 자료로는 알 수 없다
캡콤은 피해 건수를 전 세계 합계로만 공개했다.
국가나 지역별 내역은 공지에 없다.
그래서 한국 이용자가 포함됐는지, 포함됐다면 얼마나인지는 공식 자료로 확인되지 않는다.
캡콤은 앞으로 영향을 받은 고객에게 개별 연락을 하겠다고 밝혔다.
문의 창구는 지역별로 마련됐다.
아시아(일본 제외)와 오세아니아 이용자는 이메일 info-asia@capcom.com으로 문의하면 된다.
일본어 공지는 이 창구를 'Capcom Asia Customer Support'로, 영문 공지는 'Capcom Europe Customer Support'로 표기해 서로 다르다.
미주는 캡콤 USA 고객지원 페이지의 문의 양식을, 유럽·중동·아프리카는 캡콤 유럽 고객지원 양식이나 feedback@capcom.com을 쓰면 된다.
일본 내 전용 상담 전화(0120-801-271, 일본 시간 10~20시)는 일본 이용자용이다.
한국 이용자가 CAPCOM ID로 가입한 적이 있다면, 개별 안내 메일이 오는지 확인하는 것이 현실적인 방법이다.
국내 법인 차원의 별도 공지나 한국 이용자 피해 현황은 현재 확인되지 않는다.
이용자가 할 수 있는 일 — 가장 큰 위험은 피싱
캡콤이 공지에서 직접 경고한 위험은 노출된 정보가 캡콤이나 관계사를 사칭한 사기 메일·메시지에 악용될 수 있다는 점이다.
수상한 메일이나 메시지를 받으면 본문 URL에 접속하거나 첨부 파일을 열지 말라고 캡콤은 당부했다.
10월 23일 갱신 공지는 문자메시지나 전화를 이용한 사칭 가능성까지 언급했다.
캡콤은 CAPCOM ID에 등록된 이메일 주소는 계속 사용해도 된다고 안내했다.
캡콤은 공지에서 비밀번호를 바꾸라고 일괄 권고하지는 않았다. 이용자가 설정한 비밀번호는 유출이 확인되지 않았다는 입장이다.
그래도 일반적인 보안 수칙은 여전히 유효하다.
CAPCOM ID에 쓰던 비밀번호를 다른 사이트에서도 쓰고 있다면 이번 기회에 서로 다르게 바꿔 두는 편이 안전하다.
2단계 인증을 지원하는 서비스라면 켜 두는 것이 좋다.
캡콤을 사칭한 메일은 링크를 누르기 전에 발신 주소와 URL을 확인하고, 의심스러우면 공식 사이트에 직접 접속해 확인하는 것이 낫다.
이 단락은 캡콤의 권고가 아니라 일반적인 계정 보안 수칙이다.
2020년 랜섬웨어 사건과 무엇이 다른가
캡콤은 2020년 11월에도 외부의 무단 접근을 겪었다.
캡콤은 2021년 4월 13일자 조사 결과 공지에서 2020년 11월 2일 사내 네트워크 장애를 감지했고, 랜섬웨어 공격으로 확인했다고 밝혔다.
캡콤이 전한 침입 경로는 북미 자회사에 비상용으로 남아 있던 구형 백업 VPN 장비였고, 이를 통해 2020년 10월 사내망에 접근한 것으로 설명했다.
이번 CAPCOM ID 사건은 사내 네트워크가 아니라 고객 계정 서비스에서 일어났다는 점에서 성격이 다르다.
또 두 사건의 연관성이나 같은 주체의 소행이라는 근거는 공식 자료에 없다.
캡콤은 이번 공지에서도 재발 방지책을 도입하고 정보보안 체계를 더 강화하겠다고 밝혔다.
추가로 공개할 사실이 확인되면 공식 사이트 등을 통해 알리겠다는 입장이다.
