ソースネクスト会員情報2,251万9,960件が流出か、パスワードを元に戻す情報も同じ管理システムに

2026年10月20日

ノートパソコンの画面に表示されたログイン画面とパスワード入力欄（記事内容のイメージ）

この記事のポイント

いつ：10月9日10時頃から会員情報取得APIが不正利用され、13日9時頃に確認、13時36分までに封じ込め。発表は15日
何が：最大2,251万9,960件の会員情報が流出した可能性。項目は登録状況で人により異なる。クレジットカード情報は対象外
パスワード：同社は「暗号化して保管」と説明。一方、元に戻すのに必要な情報も同じシステムにあったと説明。平文流出は報道の分析で、同社の認定ではない
誰に：パスワードのリセット対象は、13日13時36分までに会員登録した人。ログイン時に再設定を求められる場合がある
やること：同じメール＋パスワードを使ったサービスを洗い出し、受信メール→決済・金融→通販・クラウド→ソースネクストの順に変更。不審な連絡は公式窓口から確認

会員情報取得APIが不正利用され、最大2,251万9,960件の流出可能性

ソースネクストは10月15日、会員情報を管理するシステムへの第三者の不正アクセスにより、最大2,251万9,960件の会員情報が外部に流出した可能性があると発表しました。媒体によっては「約2,252万件」と四捨五入して表記されています。

攻撃者は10月9日10時頃から、「会員情報取得API」（ソフト同士が情報をやり取りする窓口）を不正に利用して登録者情報を取得していたとされます。同社は13日9時頃に不正アクセスを確認し、同日13時36分までに封じ込めを完了しました。パスワードのリセット対象は、13日13時36分までに会員登録があった顧客と報じられています。流出した可能性がある範囲がこれと同じかどうかは、20日時点で不明です。

流出した可能性がある項目

報じられている項目は次のとおりです。ただし全員が全項目ではなく、登録状況によって対象項目は異なります。

区分	項目
ログイン情報	メールアドレス、パスワード
本人情報	氏名、氏名カナ、性別、生年月日
連絡先	住所、電話番号、FAX番号
勤務先情報	会社名、役職名、部署名
その他	システム固有の識別情報

リセット対象に含まれるかの確認

13日13時36分までに会員登録をしたことがあれば、パスワードのリセット対象に含まれます。クレジットカード情報は対象システムに保存されておらず、同社はカードの停止・再発行は不要と案内しています。

パスワードを元に戻す情報が、同じ管理システムにあったと同社が説明

この件で最も読み違えやすいのが、パスワードの扱いです。報じられている内容は、2つの説明と報道の分析に分けて読む必要があります。

同社の説明

同社が説明しているのは2点です。1つは、パスワードを「暗号化して保管していた」こと。もう1つは、NHKの取材に対し、不正アクセスを受けた会員情報の管理システムの中に「パスワードを元の状態に戻すのに必要な情報」も入っていたと説明したことです。

報道側の分析

この2点を受け、INTERNET Watchなどの報道は、パスワードが暗号化されないまま外に出た可能性があるとみています。これは報道側の分析であり、同社が平文での流出を認定したわけではありません。暗号化の方式や、復元に必要な情報の具体的な中身については、同社の公表を20日時点で確認できていません。

ハッシュ化パスワードの流出との対照

元に戻せない形で保管されたパスワードの流出は、skyticketの不正アクセス3件で扱いました。今回は、復元に使える情報が同じシステムにあったと同社が説明しています。

流出した可能性のあるメールとパスワードの組み合わせは、他サービスのログインでも試される

同社は、流出した可能性のあるメールアドレスとパスワードの組み合わせで、他サービスへのログインを試みられるおそれがあるとして、他サービスで同じパスワードを使っている人にも、ただちに変更を呼びかけています。流出した組み合わせを別サービスで試す手口は、クレデンシャルスタッフィングと呼ばれます。使い回し先が次の標的になる仕組みです。

使い回し先の洗い出しの手がかり

パスワード管理ツールの重複検知（機能がある場合）：同じパスワードを使っているサービスの一覧が出ます
ブラウザの保存パスワード一覧：ソースネクストのメールアドレスで保存されたサイトを探します
メール受信箱の検索：「登録完了」「ご登録ありがとうございます」などで検索し、登録したサービスを拾います

どのパスワードを使ったか思い出せない場合は、受信箱の検索で見つかった登録先から順に替えていくのが編集部の判断です。

「似た派生パスワード」も変更する（編集部の判断）

同社の呼びかけは、同じパスワードについてのものです。末尾の数字だけを変えた派生形は呼びかけの対象とは示されていませんが、同様に扱って変更するのが編集部の判断です。

パスワードを替える順番——受信メール、決済・金融、通販・クラウド、ソースネクストの順

以下の順序は同社や公的機関の推奨ではなく、被害が大きくなる順に並べた編集部の整理です。

使い回し先を替える4段の順番

受信メールのアカウント：他サービスのパスワード再発行の受け口になるため最優先です
決済・金融・キャリア：金銭に直結するため次に替えます
通販・クラウド・SNS：保存データや購入履歴が見られる範囲を先に塞ぎます
ソースネクスト：同社は対象のパスワードをリセットし、ログイン時に再設定を求めています。順次強制的にリセットされるとも報じられています

その後、残りの使い回し分を替えます。変更後は使い回さず、二段階認証（パスワードに加えて確認コード等を求める仕組み）も併用してください。

変更はブックマークかアプリから始める

変更は、メール内のリンクではなく、公式サイトのブックマークやアプリから始めます。15日夜から16日にかけては、ログイン・パスワード変更ページにアクセスが集中し、繋がりにくかったと報告されています。

氏名・電話番号・住所・会社名・役職が揃うと、パスワード以外の入口から狙われる

パスワードを変えても、すでに外に出た可能性のある氏名や連絡先は戻りません。同社は流出を「可能性」としており、実被害（不正ログインやフィッシング）の有無は20日時点で不明です。

氏名・住所・電話番号が揃ったときの偽連絡

あくまで想定です。氏名と住所、電話番号が一致していると、本物らしい電話や郵便、SMSを作りやすくなります。料金や契約の確認を装う連絡も考えられます。見分け方は、連絡の入口を公式窓口に切り替えることです。届いたリンクや番号は使わず、公式サイトに載る窓口へ自分から連絡してください。

業務を装う連絡と、本物に見える送信元

会社名・役職名・部署名を登録していた場合は、業務を装った連絡にも注意が必要です。取引先や社内を名乗るメールは、送信元の表示だけで判断せず、別の連絡手段で真偽を確かめてください。今回の件で送信元偽装が確認されたわけではありませんが、送信元が本物に見えても信用できるとは限らない例として、同じドメインから偽メールが届いた事例があります。

復元情報の中身・リセットの範囲・個別通知・実被害は、20日時点で確認できていない

発表から5日が過ぎましたが、20日時点で新たな公表は確認できていません。行動に関わる未確認事項を次に挙げます。

行動に関わる未確認事項

項目	現在の状況
強制リセットの範囲	全会員か対象のみか、媒体間で表現に差があり、確認できていない
個別通知（メール・書面）	開始時期と実施状況を確認できていない
実被害	不正ログインやフィッシングの発生有無を確認できていない。同社は「可能性」としている
パスワードの保管方式	暗号化の方式、ハッシュ化・ソルトの有無、鍵管理の公表を確認できていない
「元に戻すのに必要な情報」の中身	鍵・復号プログラム等の具体を確認できていない
平文で流出したか	報道は可能性を分析。同社の確定した見解は確認できていない

ユニークな人数や項目別の件数内訳、業績への影響額・補償方針も、20日時点で公表を確認できていません。

警察への被害申告と個人情報保護委員会への報告

個人情報保護委員会へは、10月15日に報告したとされます。所轄警察署への被害申告は16日に予定と報じられましたが、実施されたかは不明です。

続報の確認先

同社の発表は公式お知らせに掲載されています。ソースネクストのセキュリティアプリ等を自社サービスとして提供する事業者の一部も、利用者向けに注意喚起や影響を公表したと報じられています。

まとめ

同社は、パスワードを「暗号化して保管していた」と説明する一方、復元に必要な情報も同じシステムにあったと説明しています。暗号化の方式について、同社の公表は20日時点で確認できていません。続報で見るのは、復元情報の具体的な中身、強制リセットの範囲、個別通知の実施状況、実被害の有無、そして暗号化方式の説明が追加されるかどうかです。