クリプトン・フューチャー・メディアのSONICWIRE・D2Rへの不正アクセス（最大約42万件の会員情報流出のおそれ）
公表日
クリプトン・フューチャー・メディアの音源販売サイト「SONICWIRE」とシリアル管理サービス「D2R」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、会員の個人情報が最大約42万件、閲覧・取得された可能性があります（確定した件数ではありません）。
対象者は？
SONICWIRE会員（ニュースレター購読者を含む）の最大約42万件と、D2R登録店舗が対象となり得ます。会員は氏名、メールアドレス、ハッシュ化されたパスワード、登録日・最終ログイン日などです。請求書・見積書発行時に住所を入力した方は住所も含まれます。D2R登録店舗は氏名、店舗名、ログインID、ハッシュ化されたパスワードで、件数は発表されていません。クレジットカード情報は保存されておらず、漏えいは確認されていません。
会社の公式お知らせで対象と対応を確認してください。D2R登録店舗には個別に連絡されています。SONICWIREの会員への個別連絡については、まだ発表されていません。
いますぐできること
- サービス復旧後の初回ログイン時に、パスワードを新しく設定し直してください（全会員のパスワードが無効化されています）。
- 同じパスワードを他のサービスでも使っている場合は、そちらのパスワードも変更してください。
- 同社や関係先を装った不審なメールが届く可能性があります。メール内のリンクは開かず、公式サイトで確認してください。
何が起きたのか
10月17日の午後8時ごろ、SONICWIREとD2Rに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の可能性があると分かりました。同社は問題のあるアカウントを使えなくし、社内ドメインのアクセスを制限したうえで、午後11時39分ごろにサーバーを停止しました。18日に警察へ連絡し、19日に個人情報保護委員会へ報告して、会員情報が閲覧・取得された可能性があると公表しました。関連するECストアも調査のため停止しています。D2Rの停止により、楽器通販のサウンドハウスは、D2Rでシリアルナンバーを取得する商品の新規注文受付を休止しました。
なぜ起きたのか・なぜ広がったのか
侵入の経路や原因は、まだ発表されていません。調査が続いており、今回の侵入がパスワードリスト攻撃で起きたと分かったわけではないと報じられています。D2Rは販売店で買った製品のシリアルナンバーを受け取る仕組みのため、停止が販売店の注文受付にも影響しました。
いまの状況2026-10-19 時点続報待ち
2026年10月19日時点で、SONICWIRE、D2R、関連ECストアは停止中で、再開時期は未定です。緊急対応後の新たな不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は確認されていません。実際に外部へ取得された情報の範囲は調査中です。同社は外部専門機関への調査依頼を含めて調べ、セキュリティ対策や監視体制を見直すとしています。補償については、まだ発表されていません。
企業として考えたいこと
自社の会員サイトが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けて停止した場合、全利用者のパスワードを無効化して再設定してもらう手順や、取引先・販売店への連絡と代替手段は、すぐに動かせる状態になっていますか。
技術的な要約
クリプトン・フューチャー・メディアは2026年10月19日、音源販売サイト「SONICWIRE」とシリアル管理サービス「D2R」が第三者による不正アクセスを受け、会員の個人情報が閲覧・取得された可能性があると公表した。2026年10月17日20時ごろに不正アクセスの可能性を確認し、侵害アカウントの無効化や社内ドメインのIP制限を行ったうえで、同日23時39分ごろに両サービスのサーバーを停止した。SONICWIRE会員（ニュースレター購読者含む）の最大約42万件について、氏名、メールアドレス、ハッシュ化されたパスワード、住所（請求書・見積書発行時に入力した場合）などが対象となり得る。D2R登録店舗の情報も対象となり得るが件数は公表されていない。クレジットカード情報は保存しておらず、漏えいは確認されていない。10月19日時点で再開時期は未定で、侵入経路と実際に外部へ取得された情報の範囲は調査中である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入経路は2026-10-19時点で調査中。公表では侵害アカウントの無効化を実施したとされるが、侵害の経緯は示されていない。報道によれば、今回の侵入がパスワードリスト攻撃で発生したと判明したわけではない。
- 脆弱性
- CVE 非公表不明脆弱性に関する公表はなく、侵入経路は調査中。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり SONICWIRE、D2R、SONICWIRE関連ECストアを停止。再開時期は10月19日時点で未定。他の自社サービスは監視を強化して運営。期間：2026-10-17から継続中（2026-10-19時点）
- データ
- おそれ上限 420,000確定 —件氏名メールハッシュ化PW住所その他SONICWIRE会員（ニュースレター購読者含む）最大約42万件は閲覧・取得された可能性の上限で、確定件数ではない。内訳は氏名、メール、ハッシュ化されたパスワード（ハッシュ値のみ）、住所（請求書・見積書発行時に入力した場合）、登録日・最終ログイン日などの識別情報。D2R登録店舗は氏名、店舗名、ログインID、ハッシュ化されたパスワードが対象となり得るが件数は非公表。クレジットカード情報は保存されておらず漏えいは確認されていない。
- 波及先
- —
- サウンドハウスが10月19日、D2Rでシリアルナンバーを取得する商品の新規注文受付を休止し、納品済みアクティベートコードも手続きできない状態になった
- 金銭影響
- —
- サプライチェーン
- 委託先経由の侵入は公表されていない。D2R停止により販売店のサウンドハウスで新規注文受付休止などの影響が出たが、同社への不正アクセスは確認されていないとされる。
時系列
- 2026-10-17 20:00
- 2026-10-17 20:00
- 2026-10-17 23:39
- 2026-10-18
- 2026-10-19
- 2026-10-19
- 2026-10-19
- 2026-10-19
- 2026-10-19
技術解説
公表されている経過と対応 事実
2026年10月17日20時ごろ、SONICWIREおよびD2Rへの不正アクセスの可能性が確認された。侵害アカウントの無効化や社内ドメインのIP制限などの緊急措置が講じられ、同日23時39分ごろに該当サービスのサーバーが停止された。10月18日に警察へ第一報が連絡され、19日に個人情報保護委員会への報告が完了し、同日に公式サイトで公表された。19日時点で、緊急対応後の新たな不正アクセスは確認されていない。SONICWIRE関連ECストア（ec.crypton.co.jp）も調査の一環で停止されており、再開時期は未定である。他の自社サービスは、セキュリティ対策を増強して監視しながら運営されている。
影響を受け得る情報と数字の読み方 事実
SONICWIRE会員（ニュースレター購読者含む）の最大約42万件が閲覧・取得された可能性があるとされる。これは可能性の上限であり、確定件数ではない。対象となり得る情報は、氏名、メールアドレス、ハッシュ化されたパスワード（ハッシュ値のみ）、登録日・最終ログイン日などで、請求書・見積書発行時に住所を入力した場合は住所も含まれる。D2R登録店舗は氏名、店舗名、ログインID、ハッシュ化されたパスワードが対象となり得るが、件数は公表されていない。クレジットカード情報はシステムに保存されておらず、漏えいは確認されていない。実際に外部へ取得された情報の範囲は調査中である。
D2R停止による販売店側への影響 事実
D2Rは、楽器店などの販売店で購入したダウンロード製品のアクティベートコードをSONICWIREアカウントで登録し、製品シリアルナンバーを受け取るサービスである。D2Rの停止を受け、楽器通販のサウンドハウスは10月19日、D2Rでシリアルナンバーを取得する商品の新規注文受付を休止した。納品済みのアクティベートコードも手続きできない状態になっていると告知されている。同社は、本件に関連した自社への不正アクセスは確認されていないとしている。また、漏えいした可能性のある情報が悪用され、同社や関係先を装ったフィッシングメールが届く可能性があるとして、注意喚起が行われている。
侵入経路をめぐる現時点での読み方 解釈
公表では侵害アカウントの無効化が行われたと説明されているが、そのアカウントの種類や侵害に至った経緯は示されていない。侵入経路は調査中で、今回の侵入がパスワードリスト攻撃で発生したと判明したわけではないとも報じられている。そのため、MITRE ATT&CKのT1078（有効なアカウント）への対応づけは、侵害アカウントという表現からの暫定的な整理にとどまる。脆弱性の悪用、委託先経由の侵入のいずれについても公表はなく、可能性の有無を論じる材料は現時点でない。侵入開始日も未公表のため、10月17日の検知前にどの程度の期間アクセスがあったかは判断できない。
第1報の公表の特徴 解釈
検知から約3時間39分でサーバー停止に至り、翌日に警察、翌々日に個人情報保護委員会へ連絡し、同日中に公表している。件数の上限、対象情報の種類、クレジットカード情報の保存有無、パスワードの無効化と再設定の案内が一度に示されており、利用者が自分の状況を把握しやすい構成と読める。一方、侵入経路、侵入日、D2R登録店舗の件数、再開時期は未公表で、これらは調査の進展次第である。状況把握にAnthropicのClaude Mythosを活用したと明記された点は珍しいが、その具体的な使い方や効果は公表されておらず、評価は続報を待つ必要がある。以上は第1報時点の評価である。
対応
- 封じ込め
- 侵害アカウントの無効化と社内ドメインのIP制限を実施し、2026-10-17 23時39分ごろに該当サービスのサーバーを停止。全会員のパスワードを無効化。SONICWIRE関連ECストアも停止。緊急対応後の新たな不正アクセスは確認されていない（10月19日時点）。状況把握にAnthropicの「Claude Mythos」を活用したと公表。
- 公表の仕方
- 2026-10-19に公式サイトで公表。D2R対象店舗へは個別に連絡。フィッシングメールへの注意喚起を実施。外部専門機関への調査依頼を含む詳細調査と、セキュリティ対策・監視体制・情報管理体制の抜本的見直しを表明。
- 当局対応
- 警察（2026-10-18に第一報）
- 個人情報保護委員会（2026-10-19に報告完了）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| パスワードをハッシュ値で保存していたことで、平文流出は避けられる設計だった。ただし、ハッシュ値も取得された可能性があるため、全会員のパスワード無効化が行われた。 | 保存はbcryptやArgon2などの低速・ソルト付きハッシュにする。侵害時に全員のパスワードを一括無効化して再設定を強制する手順（トークン失効、メール通知テンプレート含む）を事前に実装し、演習で確認する。 |
| 侵害されたアカウントの無効化と社内ドメインのIP制限が初動の中心だった。管理系・社内系アカウントが侵入の足がかりになり得る。 | 管理画面や社内ドメインはIP制限とMFA（FIDO2など）を必須にする。特権アカウントの棚卸しと、ログイン元・時刻の異常検知アラートを設定する。 |
| D2Rの停止が販売店の新規注文受付休止など、外部の事業者の業務に波及した。 | 連携先（販売店、決済、API利用者）を一覧化し、停止時の代替手順と連絡窓口を定める。ライセンス発行など単一障害点になる機能は、読み取り専用や遅延発行などの縮退運転を設計しておく。 |
| 請求書・見積書発行時に任意入力された住所のように、利用者ごとに保有項目が異なるため、影響範囲の説明に手間がかかる。 | データ項目ごとに保存場所・必須/任意・保持期間を台帳化し、不要な項目は削除する。侵害時に項目別の対象件数を速やかに出せるクエリやレポートを用意する。 |
| 検知から停止まで約4時間以内に完了し、翌日に警察、翌々日に個人情報保護委員会へ連絡して公表した。初動の速さと連絡の順序が整理されていた。 | インシデント対応手順書に、遮断判断の基準、警察・個人情報保護委員会・利用者向け告知の担当と期限、告知文のひな形を明記し、年1回以上机上演習を行う。 |
自組織などでの確認項目
- 自社の会員サイトや管理画面で、パスワードの保存方式（ハッシュのアルゴリズムとソルト）を把握しているか。全利用者のパスワードを一斉に無効化して再設定させる手順はあるか。
- 自社の社内ドメインや管理系アカウントに、IP制限とMFAが設定されているか。侵害が疑われたとき、該当アカウントを何分で無効化できるか。
- 自社のサービスを止めた場合、販売店や取引先の業務にどのような影響が出るか。影響を受ける相手への連絡先と代替手順は整っているか。
- 自社が保有する個人情報の項目を一覧で示し、侵害時に項目別の対象件数をどれだけ早く出せるか確認できているか。
未解明点
- 侵入経路と、侵害されたアカウントの種類・侵害に至った経緯は、まだ公表されていない。
- 侵入の開始日と、不正アクセスが続いていた期間は公表されていない。
- 実際に外部へ取得された情報の範囲と件数（確定件数）は調査中である。
- D2R登録店舗の対象件数は公表されていない。
- SONICWIREとD2R、関連ECストアの再開時期は未定である。
- 外部専門機関の調査結果と、再発防止策の具体的内容は公表されていない。
出典
- 1スポニチアネックス（ライブドアニュース配信）2026-10-19報道本文確認済
- 2ITmedia NEWS（Yahoo!ニュース配信）2026-10-20報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-20報道本文確認済
- 4クリプトン・フューチャー・メディア株式会社2026-10-19公式本文確認済