ソースネクスト・CAPCOM ID・スクエニの通知が重なったら｜パスワード変更順と使い回し・二要素認証【2026年10月】

ソースネクストとCAPCOM IDの情報漏えい、スクウェア・エニックス アカウントの不正ログインに関する案内が重なり、どこからパスワードを変えるべきか迷う場合は、まず身に覚えのない変更や購入がないか確かめてください。

被害の兆候があれば復旧を優先し、使い回しがあれば登録メール、決済・通販、ゲームの順を目安に変更します。登録メールのパスワードも流出が疑われるものと同じなら、メールを先に保護します。メールを奪われると、ほかのアカウントの再設定にも悪用されるおそれがあるためです。

メールアドレスが同じでも、パスワードが別なら使い回しとは異なります。ソースネクストの再設定措置には従い、CAPCOM IDとスクエニは、それぞれの通知や被害兆候、パスワードの共有状況に応じて対処してください。

変更順被害の兆候と使い回しの有無で優先順位を決める

次の順番は、メールを起点とする被害の拡大を防ぐための目安です。3社が共通の変更順位を指定したものではありません。身に覚えのない購入や登録情報の変更がある場合は、通常の棚卸しより復旧を優先します。

決済・通販をゲームより先にするのは、使い回し先の中で金銭被害を避けるための目安です。すでにゲームのアカウントを操作されているなら、その復旧を後回しにしないでください。

出典：英国NCSCの侵害アカウント復旧ガイド（2026年10月25日確認）。

公表の違いソースネクストの使い回し先は通知待ちにしない

ソースネクストのFAQでは、10月13日13時36分までに登録がある利用者が対象範囲です。案内は順次送られるため、通知が届いていないことだけを理由に、使い回し先の変更を待つ必要はありません。全対象者について全項目が流出したという意味でもありません。

CAPCOM IDの「元のパスワードの漏えいは未確認」と「パスワードが不正に変更された」は別の事実です。ソースネクストと同じパスワードをCAPCOM IDにも設定していたなら、CAPCOM側の漏えい確認を待たず変更してください。

スクエニの発表は認証情報の流出元企業を特定していません。ソースネクストの情報が使われたと結び付けて対処を狭めず、ほかのサービスとの使い回しも確認します。

ソースネクストに登録した覚えがなくても対象のことがある

ソースネクストの会員登録は、通信会社のサービス経由で行っていることもあります。例えばイッツコムは、スマホ契約者に無償で提供しているセキュリティアプリ「スマートフォンセキュリティ」で、自分でソースネクストのマイページに会員登録した人が対象になると案内しています。ソースネクストの製品やアプリを使ったことがあるなら、登録した記憶がなくても対象かもしれません。

ソースネクストは対象者へ10月15日以降、登録メールアドレス宛てに順次案内を送り、メールアドレスの登録がない人には郵送で連絡する予定としています。心当たりがあるのに案内が見当たらない場合は、不正アクセス専用の窓口（0120-035-116、10時〜18時、土日祝も受付）で確認できます。なお、ソースネクストが販売する1Passwordに保存したパスワードなどのデータは、同社が保有しておらず今回の流出の対象に含まれないと説明されています。

出典：イッツコムのお知らせ、ソースネクストの発表、対象範囲のFAQ、カプコン第一報、スクエニの注意喚起（2026年10月25日確認）。

確認手順保存済みパスワードから使い回し先を探す

Chromeにパスワードを保存しているなら、Google パスワード マネージャーのチェックアップを利用できます。メールアドレスの一致だけで判断せず、同じパスワードを使っているアカウントを探してください。

1. パソコンのChromeで右上のメニューから「パスワードと自動入力」→「Google パスワード マネージャー」を開きます。
2. 左側の「チェックアップ」で、不正使用されたもの・使い回しているもの・脆弱なものを確認します。
3. 保存していないサービスは、受信箱で「会員登録」「登録完了」「購入確認」などを検索し、インストール済みアプリや定期請求の利用先も確認します。見つかったサービスで、ソースネクストなどと同じパスワードを使っていなかったか確かめます。メールを削除したサービスなどもあるため、この検索だけで利用先をすべて把握できるとは限りません。
4. 各サービスの公式サイトを開き、個別の新しいパスワードへ変更します。管理画面の保存内容だけを編集しても、サービス側のパスワードは変わりません。
5. サービス名、変更の完了、追加認証の有効化、復旧手段の保管を手元に記録します。パスワードそのものを一覧メモに書き並べる必要はありません。

チェックアップは保存したパスワードの確認に役立ちますが、今回の漏えい対象者を判定する機能ではありません。警告がなくても、公式から再設定を求められたアカウントや、使い回しが分かっているアカウントは変更します。

同じメールアドレスだけなら変更対象は別になる

例として、ソースネクスト、Gmail、Steamを同じメールアドレスで登録していても、パスワードがすべて別なら、ソースネクストの流出可能性を理由にGmailとSteamも同じパスワードだったとは扱いません。ソースネクストの再設定を行い、GmailとSteamでは追加認証と不審なログインを確認します。

反対に3つとも同じパスワードだったなら、まずGmailを保護し、ソースネクストとSteamもそれぞれ異なるものへ変更します。1つの新しいパスワードにまとめて置き換えると、使い回しが残ります。

出典：Googleのパスワードチェックアップ（2026年10月25日確認）。

追加認証ゲームアカウントの設定先と復旧手段

パスワードの変更と追加認証は組み合わせて行います。通知を受けたサービスだけでなく、普段ゲームに使うアカウントも保護してください。

SteamとBattle.netは専用モバイルアプリを使う

Steamには、SteamモバイルアプリのSteam Guardがあり、ログインの承認に使えます。Battle.netは、Battle.netモバイルアプリ内のAuthenticatorを使います。各公式案内からアプリと設定への案内を開いてください。

出典：ValveのSteamモバイルアプリ案内、BlizzardのAuthenticator公式案内（2026年10月25日確認）。

復旧後変更だけで終えず登録メールと購入履歴を確認する

身に覚えのないログインや設定変更があったアカウントは、パスワードを変えた後に、ログイン中の端末・アプリからのログアウトも行います。各サービスのアカウント設定で操作できる範囲を確認し、入れない場合は公式サポートの復旧手順へ進みます。

メールを侵害された疑いがあるなら、転送設定とフィルターを確認します。攻撃者がメールのコピーを転送し、ほかのサービスの再設定メールを受け取るおそれがあります。復旧用メールアドレスや電話番号も、自分のものか確かめてください。

通販やゲームの購入履歴、決済の利用明細にも不審な記録がないか確認します。覚えのない請求はサービスと決済事業者の公式窓口へ相談します。通知の件名や会社ロゴだけを信用せず、普段使っているアプリや公式サイトから操作してください。

背景公表が集中しても同じ原因とは限らない

2026年10月は、ソースネクスト、スクエニ、CAPCOM IDの公表が集中しました。JPCERT/CCの注意喚起（JPCERT-AT-2026-0030）は10月8日公開・23日更新で、APIへの攻撃など複数の手法を扱い、すべての事案で同じ手法が使われたという意味ではないとしています。

NICTは10月13日、公開Androidアプリを解析し、得た情報で接続先サーバーを狙うA2B攻撃（App-to-Backend Attack）を公表しました。JPCERT/CCも15日の調査報告で、攻撃者によるAIを使った脆弱性探索やAPI攻撃を確認しています。これらを根拠に、3社すべての原因やAI利用を同一視することはできません。

こうした事業者側の侵害対策と、利用者側のログイン保護は役割が異なります。二要素認証はログイン時の追加の確認であり、事業者のサーバーから情報が漏れることまで防ぐ仕組みとしては扱えません。利用者は固有のパスワードと追加認証で、漏えい後の不正ログイン対策を進めてください。

出典：JPCERT/CC注意喚起、NICTのA2B攻撃の説明、JPCERT/CCの10月15日調査報告（2026年10月25日確認）。

FAQ使い回しと変更順で迷う点

まとめ通知の数より被害兆候と使い回しで順番を決める

被害の兆候があれば復旧を優先し、登録メールも同じパスワードならメールから保護します。決済・通販・ゲームの使い回し先を固有のパスワードへ変更し、追加認証と復旧手段をそろえてください。CAPCOM IDの対象確認やスクエニのログイン制限解除は、それぞれの個別案内へ進めます。

あわせて読みたい

CAPCOM ID

CAPCOM IDの対象確認と不審メール・二要素認証

スクエニ

スクエニのパスワード変更・OTPとログイン制限解除