ソースネクスト、会員情報取得APIへの不正アクセスのよるサイバー攻撃で約2,252万件の個人情報漏洩の恐れ

ソースネクスト株式会社は2026年10月15日、会員情報を管理するシステムへの第三者による不正アクセスを受け、顧客の個人情報が外部に流出したと発表しました。流出した可能性のある会員情報は2,251万9,960件で、メールアドレスや氏名、住所、電話番号に加え、パスワード、勤務先の会社名・役職なども対象項目に含まれています。

攻撃者は10月9日から会員情報取得APIを不正に利用しており、同社は10月13日に検知して同日13時36分までに不正アクセスを封じ込めたと説明しています。会員にはログイン時のパスワード再設定を求めており、同じパスワードを他のサイトで利用している場合は、使い回し先も変更するよう呼びかけています。

ソースネクストへの不正アクセス・個人情報流出のサマリー

• 公表日：2026年10月15日
• 対象：ソースネクストが管理する会員情報システム
• 攻撃開始：10月9日10時ごろから第三者による不正アクセス
• 手口：会員情報取得APIの不正利用による会員情報の取得
• 検知：10月13日9時ごろ
• 封じ込め：10月13日13時36分までに完了。同社はその後の不正アクセスは確認していないと説明
• 流出可能性のある対象件数：2,251万9,960件
• 対象項目：メールアドレス、パスワード、氏名・氏名カナ、住所、電話番号、FAX番号、生年月日、性別、会社名、役職名、部署名など
• クレジットカード情報：当該システムには保存されておらず、今回の流出対象外
• 利用者対応：ソースネクストのパスワード再設定、他サービスでの使い回し解消、不審な連絡への注意
• 当局対応：10月15日に個人情報保護委員会へ報告。10月16日に警察へ被害申告する予定と公表

10月9日から会員情報取得APIを不正利用、13日に封じ込め

同社によると、10月13日9時ごろに会員情報管理システムへの不正アクセスを検知し、外部からの不正通信を遮断しました。その後の調査で、不正アクセスは10月9日10時ごろから始まっており、会員情報取得APIが不正に利用され、顧客情報が取得されていたことが判明しました。

APIはアプリケーションやシステムが情報をやり取りするための仕組みです。今回は情報取得用のAPIが不正利用されたことが明らかになっていますが、認証処理の不備、脆弱性、盗まれた認証情報の利用など、具体的にどの手段でアクセスされたかは10月15日付の発表では特定されていません。

同社は外部専門機関と調査を続ける一方、全システムの緊急点検、監視体制と情報管理体制の見直しを進めています。

パスワードや住所、会社名・役職も対象―件数と流出項目の見方

発表された対象項目は、メールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、加入サービス・登録日・ログイン日などのシステム固有の識別情報です。

一方、2,251万9,960件は、会社が示す「流出した可能性のあるお客様情報」の対象件数です。同数の人について、列挙された情報がすべて流出したと確定したものではありません。登録内容に応じて保持されている項目は異なり、実際の流出範囲については調査が続いています。

パスワードは対象項目として明記されていますが、発表には平文・ハッシュ値などの保存形式や、どの会員のパスワードが取得されたかについての説明はありません。そのため、平文のパスワードが全件流出したとは断定できません。ただし、同社がすべての対象利用者に再設定を求めている以上、使い回しがある場合は流出を前提に備える必要があります。

なお、クレジットカード情報は被害を受けたシステムに保存されていないため、今回の流出対象には含まれないとしています。今回の発表のみを理由に、全利用者がカード停止・再発行を行う必要があるという案内はありません。

想定される悪用の危険性―アカウント乗っ取りと個人情報を使ったなりすまし

他サービスへの「リスト型攻撃」

メールアドレスとパスワードの組み合わせが悪用された場合、攻撃者がソースネクスト以外のECサイト、SNS、メール、クラウドサービスなどへのログインを試みるリスト型攻撃につながるおそれがあります。

特にメールアカウントが乗っ取られると、他サービスのパスワード再設定メールを受信されたり、メールの自動転送設定を追加されたりする可能性があります。ソースネクストと同じパスワードをメールで利用している人は、メールのパスワードと多要素認証を優先して確認してください。

氏名・購入サービス情報を利用した精巧なフィッシング

氏名や電話番号、住所、加入サービスなどの情報が組み合わされると、「製品ライセンスの再認証」「パスワード変更の確認」「サブスクリプション更新」「返金・補償手続き」などを装った、本人に心当たりのある詐欺連絡が届くリスクがあります。これらは想定される悪用例であり、本件で実際に確認された被害事例ではありません。

ソースネクストは、メール・SMS・電話・郵便物などを使ったなりすましについて注意を呼びかけています。公式通知が届く時期には、便乗した偽の通知が混在する可能性もあるため、メールに記載されたリンクからではなく、公式サイトや普段使っているアプリを直接開いて手続きしてください。

会社名・部署名・役職情報を利用した業務への接触

企業名や部署・役職、氏名、連絡先の組み合わせは、個人に対する迷惑連絡だけでなく、職場宛ての標的型メールや役職者を装った連絡の材料にもなり得ます。ただし、特定企業の業務用アカウントが今回侵害されたという発表ではありません。

業務用メールアドレスや社内サービスで同じパスワードを利用していた場合は、所属企業の情報システム部門へ相談し、関連アカウントの変更、ログイン履歴の確認などを行ってください。

ソースネクスト会員が取るべき対策―まずパスワードの変更を

1. ソースネクストのパスワードを再設定する。 メール内のリンクではなく、公式サイトへ直接アクセスし、ログイン時の案内に従って変更します。新しいパスワードには他サービスで使用していないものを設定します。
2. 同じ・類似のパスワードを使うサービスを変更する。 特にメール、金融サービス、通販、SNS、クラウドストレージを優先します。元の文字列に数字を足すだけの使い回しも避けます。
3. 多要素認証を有効にする。 メールや金融・クラウドサービスなど、利用可能なアカウントでは認証アプリやパスキーなどの追加認証を設定します。
4. ログイン履歴と登録情報を確認する。 身に覚えのないログイン、パスワード再設定通知、登録先メールアドレスの変更、メール転送設定などに注意します。不審な操作があればサービス事業者へ連絡します。
5. 通知メール・SMS・電話を鵜呑みにしない。 会社名、氏名、利用中の製品名を知っている相手でも信用せず、確認が必要な場合は公式窓口を自分で調べて問い合わせます。パスワードや認証コードを相手に伝えないでください。
6. 金銭被害や不正ログインが見つかった場合は早急に連絡する。 被害サービスへの申告と、必要に応じて金融機関・警察への相談を行い、通知や取引記録を保存します。

情報の種類ごとの優先対応は、セキュリティ対策Labの個人情報が漏えいした場合の危険性と対策でも整理しています。

企業の情シス・セキュリティ担当者が確認したい点

今回の事案で確認されたのは会員情報取得APIを通じた情報取得です。一般に会員情報を扱うAPIでは、認証・認可、照会できるデータ範囲、大量取得の検知、アクセスログの保全、レート制限などを組み合わせて管理する必要があります。ただし、これらの対策が今回欠けていたと断定するものではありません。

企業側では、従業員が個人サービスと同一のパスワードを業務用アカウントへ使い回していないかを注意喚起し、不審な認証やサインイン試行を確認します。また、社名・役職などを利用するフィッシングが懸念される場合は、従業員が怪しい連絡を迷わず報告できる運用を確認します。セキュリティ教育と監視・検知・初動対応を連動させる方法も参考になります。

対象者への案内と問い合わせ窓口

ソースネクストは対象の顧客に対し、登録メールアドレス宛てに順次案内するとしています。10月15日には個人情報保護委員会への報告を完了し、16日に所轄警察署へ被害申告する予定です。

専用問い合わせ窓口は電話 0120-035-116、受付時間は 10時～18時（土日祝日を含む） です。問い合わせフォームとよくある質問も開設されています。今後、対象範囲や原因に関する追加情報が公表される可能性があるため、同社の公式発表で最新状況を確認してください。

出典

• 当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ（2026年10月15日）―ソースネクスト
• ソースネクスト 不正アクセスに関するよくあるご質問
• ソースネクスト 不正アクセス専用お問い合わせフォーム