攻撃者が使ったのは、会員情報を返すために用意された「会員情報取得API」でした。ソースネクストへの不正アクセスは、始まってから確認されるまで約4日。流出した可能性のある対象は、パスワードを含めて22,519,960件にのぼります。正規の窓口が持ち出しの経路になったとき、利用者と事業者はそれぞれ何を見直せばよいのでしょうか。
ソースネクストは2026年10月15日、会員情報を管理するシステムが第三者による不正アクセスを受け、会員の個人情報が外部に流出したことが判明したと発表した。不正アクセスは10月9日10時頃に始まり、会員情報取得APIが不正に利用されて会員の情報が取得された。同社は13日9時頃に不正アクセスを確認し、同日13時36分に封じ込めを完了した。
流出した可能性のある情報の対象件数は22,519,960件で、メールアドレス、パスワード、氏名、住所、電話番号、生年月日、会社名などが含まれる。クレジットカード情報は対象のシステムに保持しておらず、含まれない。同社は15日に個人情報保護委員会へ報告しており、16日に所轄警察署へ被害を申告する予定としている。
From: 
当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ｜ソースネクスト
【編集部解説】
今回の事案の要点は、攻撃者が通った道が「会員情報取得API」という、本来の仕組みの一部だったことです。APIは、アプリやWebサイトなどのソフトウェアが、機能やデータをやりとりするための窓口です。会員がログインして自分の登録内容を見るときにも、こうした窓口が働いています。
不正アクセスの開始（10月9日10時頃）から、同社が確認した13日9時頃までは約4日でした。同社は、流出した可能性のある情報の対象件数を22,519,960件としています。発表文の冒頭は「外部に流出したことが判明」と書き、FAQは「流出した可能性が高い」と書いています。件数そのものは「流出した可能性のある」情報として示されています。
同社は、APIがどのように悪用されたのかを明らかにしていません。FAQでは「原因となったシステムの脆弱性」を修正したとしていますが、その中身は示していません。ただ、APIを狙う攻撃には前例があります。JPCERT/CCは10月8日に公開し、9日に更新した注意喚起で、国内で相次ぐ不正アクセスの手口を4つのケースに整理しました。その1つ「API経由での不正な操作」では、一般公開しているスマートフォンアプリを解析し、APIのエンドポイントやキーを特定する手口が挙げられています。innovaTopiaでも、この注意喚起は個別の記事として伝えています。今回の事案が同じ手口かどうかは、同社の調査結果を待つ必要があります。
利用者にとって最も大きいのは、流出した可能性のある項目に「パスワード」が含まれている点です。パスワードがどの形式で保存され、どのような状態で取得されたのかは、同社の発表とFAQでは、まだ明らかにされていません。日本経済新聞は、暗号化して保存されていたものの、暗号化を解除するプログラムがハッキングされたと報じていますが、同社の公表資料ではこの点を確認できません。
保存形式がどうであれ、利用者ができることは変わりません。同社はログイン時にパスワードの再設定を求める措置を取っています。FAQには、パスワードを順次リセットしているとの説明と、漏えい対象のパスワードをリセットする措置は完了したとの説明が併存しています。注意したいのは、ソースネクストと同じメールアドレスとパスワードの組み合わせを、ほかのサービスでも使っている場合です。流出したIDとパスワードの組を使って別のサービスに次々とログインを試す攻撃は「パスワードリスト型攻撃」と呼ばれ、漏えいした認証情報が悪用される二次被害の一つです。同社も、他サービスのパスワード変更を呼びかけています。
もう1つ気をつけたいのは、流出した可能性のある項目に、氏名・電話番号・生年月日・会社名・役職名などが含まれる点です（対象項目は登録状況によって異なります）。こうした情報が悪用されると、本人の事情を知っているかのようなメールやSMSが届くおそれがあります。同社は、身に覚えのないメールやSMSに記載されたURLや添付ファイルなどを開かないよう呼びかけています。
対応の速さには、評価できる点があります。同社は確認から約4時間半で封じ込めを終え、2日後には件数と項目を示して公表しました。FAQでは、初動対応と影響範囲の特定を優先し、一定の事実確認と所管官庁への報告を済ませてから公表したと説明しています。メールアドレスのない会員には郵送で知らせる、という点まで決めています。
9月以降、国内では会員基盤への不正アクセスの公表が続いています。innovaTopiaで伝えた事案でも、skyticketは約1,464万件、ブックオフは10月13日の第2報で6,427,735件でした。今回の約2,252万件は、件数として、それらを上回る規模です。
JPCERT/CCは対策として、APIへの単位時間あたりのリクエスト件数の制限や、エンドポイントごとのアクセス制御などを挙げています。大量の照会を止める仕組みと、利用者が権限のある情報だけにアクセスできるようにする制御は、ソースネクストに限らず、会員を抱えるあらゆる事業者がこれから備えていく作法です。同社が準備を進めている独立した第三者調査の結果は、その作法を具体的にするための材料にもなるはずです。
【関連記事】
JPCERT/CC、国内で相次ぐ不正アクセスに注意喚起 4ケースのうち製品名はMetabaseのみ
【解説】IPA・NCOなどが不正アクセスで一斉に注意喚起、事業者に3つの点検を要請
skyticketに不正アクセス、約1,464万件の顧客情報が流出 経路の異なる3件を公表
ブックオフに不正アクセス、最大約643万件の会員情報が流出 人数は精査中
【編集部後記】
ソースネクストのお知らせには、不審な連絡の例として、メールやSMS、電話に並んで「郵便物」が挙げられています。流出した可能性のある項目に住所や会社名、役職名が含まれていることを考えると、この一語は小さくありません。
画面のリンクには身構えられても、会社名と役職まで正しく書かれた封書には、つい手が伸びるものです。デジタルの漏えいが紙のなりすましにつながりうることを、届いた郵便を開く前に、少しだけ思い出してみてください。
【用語解説】
API（エーピーアイ）
ソフトウェア同士が機能やデータをやりとりするための窓口や取り決め。アプリやWebサイトは、APIを通じて裏側のシステムから必要な情報を受け取る。
エンドポイント
APIで、個々の機能を呼び出すために用意された接続先。どのエンドポイントに、誰が、どれだけ要求できるかを制御することが、APIの守りの基本になる。
パスワードリスト型攻撃
どこかで流出したIDとパスワードの組み合わせを使い、別のサービスへのログインを次々と試す攻撃。同じ組み合わせを複数のサービスで使い回していると、被害が広がる。
アクセス制御
システムの利用者ごとに、どの情報や機能を使えるかを決め、権限のない操作を拒む仕組み。
封じ込め
不正アクセスが起きたとき、攻撃者の通信を遮断するなどして、被害がそれ以上広がらない状態にする初動対応。
【参考リンク】
ソースネクスト「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」（外部）
10月15日付の公式発表。不正アクセスの経緯、流出した可能性のある項目と22,519,960件、利用者へのお願いをまとめている。
ソースネクスト「情報漏洩に関するよくあるご質問」（外部）
対象となる会員の範囲、メールアドレスのない会員への郵送、パスワードのリセット、公表日を15日とした理由などを質疑の形で説明している。
JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（外部）
2026年9月前後から国内で続く不正アクセスの手口を4つのケースに整理し、APIのリクエスト制限などの対策を示した注意喚起。
【参考記事】
ソースネクスト、顧客情報2252万件流出か 不正アクセス受け（日本経済新聞）（外部）
約2,252万件の顧客情報の流出の可能性を報じた記事。パスワードは暗号化して保存されていたが、解除するプログラムをハッキングされたと報じた。
ソースネクスト、不正アクセスでパスワード含む会員の個人情報最大約2252万件が流出 他サービスで同じパスワードを使っている人はただちに変更を（INTERNET Watch）（外部）
流出項目にパスワードが含まれる点を強調し、他サービスでの使い回しの変更を呼びかける記事。侵入から確認までの日数にも触れている。
ソースネクストに不正アクセス、会員情報2251万件流出のおそれ パスワードや住所、生年月日など（ITmedia PC USER）（外部）
同社の発表をもとに、不正アクセスの時系列と流出のおそれがある項目、ログイン時のパスワード再設定などの対応を順に伝える記事。
