ソースネクストの会員情報システムへの不正アクセス（最大22,519,960件の情報流出の可能性）
公表日
ソースネクストの会員情報システムに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、最大22,519,960件の情報が流出した可能性があると発表されました。クレジットカード情報は対象外とされています。
対象者は？
同社に登録している顧客。流出した可能性のある情報は、メールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、加入サービス・登録日・ログイン日などです。全員の全項目が対象ではなく、登録状況で異なります。クレジットカード情報は含まれていません。
同社の公式のお知らせを確認してください。不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。専用の問い合わせ窓口（フリーダイヤル0120-035-116、受付10時～18時）でも相談できます。個別の通知の有無はまだ発表されていません。
いますぐできること
- 同社のサービスにログインするときにパスワードの再設定を求められたら、案内に従って変更する
- 同じパスワードを使っている他のサービスがあれば、そのパスワードも変更する
- 同社を装ったメール、SMS、電話、郵便物が届いても、記載のリンクや連絡先に応じないよう注意する
何が起きたのか
2026年10月9日10時頃から、第三者が同社の会員情報取得APIを不正に使い、登録客の情報を取得しました。同社は10月13日9時頃に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を確認し、不正な通信を遮断するなどの対応をして、同日13時36分までに封じ込めを完了しました。10月15日に個人情報保護委員会へ報告し、お詫びとお知らせを公表しました。警察署への被害申告は16日に行う予定とされています。
なぜ起きたのか・なぜ広がったのか
APIが不正に使われたことまでは公表されていますが、具体的な手口や原因はまだ発表されていません。
いまの状況2026-10-15 時点続報待ち
2026年10月15日時点で、外部の専門調査機関と連携した詳細調査と、全システムの緊急点検が続いています。対応完了後の不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は確認されていません。ログイン時のパスワード再設定の措置が行われ、専用の問い合わせ窓口も設けられています。流出が確定した件数、原因の詳細、補償や再発防止策は、まだ発表されていません。
企業として考えたいこと
自社が顧客情報を返すAPIを公開しているとき、不正な大量取得が始まってから気づくまで、何日かかる仕組みになっていますか。
技術的な要約
ソースネクストは2026年10月13日9時頃、会員情報を管理するシステムへの不正アクセスを確認した。調査で、第三者による不正アクセスは10月9日10時頃から行われていたことが判明した。第三者は会員情報取得APIを不正に利用し、登録客の情報を取得した。流出した可能性のある対象は22,519,960件で、メールアドレス、パスワード、氏名、住所、電話番号、生年月日などが含まれる。クレジットカード情報は対象システムに保存されておらず、流出の対象外とされている。同社は10月13日13時36分までに封じ込めを完了し、10月15日に個人情報保護委員会へ報告した。外部の専門調査機関と連携した調査を継続している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 管理画面/API公表で確認公式発表では「会員情報取得APIを不正に利用し、当社にご登録いただいているお客様の情報を取得した」とされている。APIの不正利用の具体的な手口（認証の突破方法など）は公表されていない。
- 脆弱性
- CVE 非公表不明脆弱性の有無、CVE、製品名は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する公表は確認できない。
- データ
- おそれ上限 22,519,960確定 —件メール氏名住所性別電話生年月日その他対象件数22,519,960件は流出した可能性のある件数。対象情報は、メールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、システム固有の識別情報（加入サービス・登録日・ログイン日等）。すべての顧客で全項目が流出したわけではなく、登録状況により異なる。パスワードの保存形式（ハッシュ化の有無）は公表されていないため、data_typesの「その他」に含めた。クレジットカード情報は対象システムに保存されておらず、流出対象外。
- 波及先
- —
- 同社を装ったフィッシングメール、SMS、電話、郵便物が届く可能性（注意喚起）
- 流出した可能性のあるメールアドレスとパスワードの組み合わせによる他サービスへのログイン試行のおそれ（注意喚起）
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先経由の侵害に関する公表はない。
時系列
- 2026-10-09 10:00第三者による不正アクセスが開始された（調査で判明）。1
- 2026-10-13 09:00会員情報を管理するシステムへの不正アクセスを確認した。1
- 2026-10-13不正な通信を遮断するなどの緊急措置を講じた。1
- 2026-10-13 13:36不正アクセスの封じ込めを完了した。1
- 2026-10-15個人情報保護委員会への報告を完了した。1
- 2026-10-15「お詫びとお知らせ」を公表し、会員情報取得APIの不正利用による登録客情報の取得と、対象件数22,519,960件を明らかにした。1
- 2026-10-15不正アクセス専用の問い合わせ窓口（フリーダイヤル、受付10時～18時）を設置し、ログイン時のパスワード再設定措置を実施している。1
- 2026-10-15外部の専門調査機関と連携した詳細調査と全システムの緊急点検を実施中。対応完了後の不正アクセスは確認されていない。1
- 2026-10-16所轄警察署への被害申告を行う予定（公表時点）。1
- 2026-10-15漏洩の対象となった可能性のある顧客へ、10月15日以降、順次メールで個別に案内を開始した。メールアドレスの登録がない顧客には書面（郵送）で連絡する予定。2
技術解説
侵入から封じ込めまでの経過 事実
公式発表によると、第三者による不正アクセスは2026年10月9日10時頃に始まった。同社が会員情報を管理するシステムへの不正アクセスを確認したのは10月13日9時頃である。第三者は会員情報取得APIを不正に利用し、登録客の情報を取得したと説明されている。同社は不正な通信を遮断するなどの緊急措置を講じ、10月13日13時36分までに封じ込めを完了した。確認から封じ込め完了までは約4時間半である。対応完了後の不正アクセスは確認されていない。なお、APIの不正利用の具体的な手口は、参照できる公表情報には含まれていない。
対象となった情報と件数の読み方 事実
公表された対象件数は22,519,960件で、これは流出した可能性のある件数である。流出が確定した件数は示されていない。対象情報は、メールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、システム固有の識別情報（加入サービス・登録日・ログイン日等）である。同社は、すべての顧客について全項目が流出したわけではなく、登録状況により対象項目は異なると説明している。クレジットカード情報は対象システムに保存されておらず、流出の対象に含まれていないとされている。
被害が広がりうる構造（解釈） 解釈
会員情報取得APIは、呼び出し一つで個人情報を返す設計であれば、正規の認証や制限をすり抜けた場合に自動化された大量取得が行われやすい。今回の件数規模は、そのような経路で取得された可能性と整合する。ただし手口や認証の突破方法は公表されておらず、これは一般的な構造からの推測にとどまる。また、メールアドレスとパスワードの組み合わせは他サービスへのログイン試行に使われうる。同社自身も注意喚起しており、被害が同社の外へ波及しうる点が、件数以上に影響範囲を読みにくくしている。
公表と対応の内容 事実
同社は2026年10月15日に「お詫びとお知らせ」を公表し、対象件数、対象情報、クレジットカード情報が対象外であることを示した。同日、個人情報保護委員会への報告を完了し、翌16日に所轄警察署へ被害申告を行う予定とした。不正アクセス専用の問い合わせ窓口（フリーダイヤル0120-035-116、受付10時～18時）を設置し、ログイン時にパスワードの再設定を求める措置を講じている。外部の専門調査機関と連携した詳細調査と全システムの緊急点検も進めている。利用者には、同社を装うメール・SMS・電話・郵便物への注意と、同じパスワードを使う他サービスの変更を依頼している。
対応
- 封じ込め
- 不正な通信を遮断するなどの緊急措置を講じ、2026年10月13日13時36分までに封じ込めを完了。ログイン時にパスワードの再設定を求める措置を実施。外部の専門調査機関と連携して調査し、全システムの緊急点検を実施。対応完了後の不正アクセスは確認されていない。
- 公表の仕方
- 2026年10月15日に公式サイトで「お詫びとお知らせ」を公表。対象件数、対象情報、クレジットカード情報が対象外であること、フィッシングや他サービスへの不正ログインへの注意喚起を記載。専用問い合わせ窓口（フリーダイヤル、受付10時～18時）を設置。
- 当局対応
- 個人情報保護委員会（2026-10-15報告完了）
- 所轄警察署（2026-10-16被害申告予定）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| APIは画面と同じ強度で認可と流量を管理する必要がある | 個人情報を返すAPIにはリクエストごとにトークンの権限範囲とアカウント単位の認可を検査する。さらにAPIゲートウェイでIP・トークン・アカウント別のレート制限と、1日あたりの取得件数の上限を設ける。 |
| 大量取得の兆候を早く検知する | 個人情報取得APIの呼び出し回数・応答バイト数・ユニークなID参照数を指標化し、平常値を超えたらアラートを出す。今回は開始から確認まで約4日あり、検知間隔の短縮が課題となる。 |
| 遮断手順を事前に用意しておく | APIキーやトークンの一括失効、特定エンドポイントの停止、WAFでの遮断をRunbook化し、定期的に訓練する。確認から封じ込めまで約4時間半で完了した事例を、手順整備の目安にできる。 |
| 保存する会員情報の項目と期間を最小化する | ログイン日など利用履歴を含む項目の保持期間を定め、不要になった休眠会員のデータは削除または匿名化する。APIの応答項目も用途別に絞る。 |
| パスワードの保管と他サービスへの波及に備える | パスワードは強度の高いソルト付きハッシュ（argon2idやbcrypt）で保存し、漏えい時の強制再設定の仕組みを用意する。ログイン時の漏えい済みパスワード照合や、多要素認証の提供も進める。 |
自組織などでの確認項目
- 自組織の会員・顧客情報を返すAPIの一覧を作ったとき、認可の検査とレート制限が全エンドポイントに入っているか。
- 個人情報APIで通常の何倍の取得があればアラートが出るか。その通知は何時間以内に担当者へ届くか。
- 不審なAPI通信を見つけてから、遮断を完了するまでの手順と所要時間を直近の訓練で測っているか。
未解明点
- 会員情報取得APIが不正に利用された具体的な手口（認証の突破方法、脆弱性や設定不備の有無）は何か。
- パスワードはどのような形式（ハッシュ化の有無など）で保存されていたのか。
- 流出が実際に確認された件数はいくつか。22,519,960件のうち、項目ごとの該当数はどうなっているか。
- 10月9日から13日までに取得された通信の量や、第三者の特定は調査でどこまで進むのか。
- 対象となる顧客への個別通知の有無と方法はどうなるか。
出典
- 1ソースネクスト株式会社2026-10-15公式本文確認済
- 2日本経済新聞2026-10-15報道本文確認済
- 3ライブドアニュース(共同通信配信)2026-10-15報道本文確認済
- 4産経新聞2026-10-15報道本文確認済