ソースネクストに不正アクセス、会員情報約2,252万件が流出の可能性
| 項目 | 内容 |
|---|---|
| 発生・公表日 | 不正アクセスの開始: 2026年10月9日10時頃 / 確認: 10月13日9時頃 / 封じ込め: 同日13時36分 / 公表: 10月15日 |
| 対象組織・業界 | ソースネクスト株式会社（東京都千代田区、東証プライム・4344）／パソコン・スマートフォン向けソフトウェア・ハードウェアの企画・開発・販売 |
| 攻撃手法 | 第三者が会員情報取得APIを不正に利用（APIを利用できた経緯は非公表） |
| 対象システム | 会員情報を管理するシステム |
| 流出のおそれ件数 | 22,519,960件（約2,252万件） |
| 対象情報 | メールアドレス・パスワード・氏名・氏名カナ・住所・性別・電話番号・FAX番号・生年月日・会社名・役職名・部署名・システム固有の識別情報（加入サービス・登録日・ログイン日など）。項目は登録状況により異なる |
| 対象外 | クレジットカード情報（対象システムに保存されていない） |
| 情報源 | ソースネクスト「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」（10月15日）、Impress Watch（10月15日）、ITmedia ビジネスオンライン（10月15日） |
ソースネクストは2026年10月15日、会員情報を管理するシステムが不正アクセスを受けたと公表しました。調査の結果、第三者が会員情報取得APIを不正に利用し、会員の情報を取得していました。流出した可能性がある件数は22,519,960件です。
対象の項目には、メールアドレス・パスワード・氏名・住所・電話番号・生年月日などが含まれます。会社名・役職名・部署名や、加入サービス・ログイン日などの登録情報も対象です。項目は登録状況によって異なります。クレジットカード情報は対象システムに保存されておらず、流出の対象外です。
同社は、ログイン時にパスワードの再設定を求める措置を取っています。同じログイン情報を他のサービスで使っている人には、そちらのパスワードの変更も求めています。
APIを不正に利用できた経緯と、不正アクセスに気づいたきっかけは公表されていません。パスワードの保存方式も明らかにされていません。
- 2026年10月9日（金）10時頃: 第三者による不正アクセスが始まる
- 10月13日（火）9時頃: 不正アクセスを確認し、外部からの不正な通信を遮断
- 同日13時36分: 封じ込めを完了
- 10月15日: 個人情報保護委員会に報告し、公表。対象者に順次メールで案内
- 10月16日: 所轄警察署に被害を申告する予定
不正アクセスの開始時期とAPIの不正利用は、封じ込めの後の調査で分かりました。同社は外部の専門調査機関と詳しい調査を進めています。全システムの緊急点検も実施中です。封じ込めの後、不正アクセスは確認されていません。
同社は、流出した情報を使ったなりすましにも注意を呼びかけています。同社や関係先を装うメール・SMS・電話・郵便物が届く可能性があるとしています。
本件のように会員情報を返すAPIが不正に利用される場合に備え、呼び出し元ごとに返す件数の上限を設けます。一定時間に返す会員の件数を区切り、超えた呼び出しは止めて担当者に知らせます。大量の取得に時間がかかるようになり、気づくまでに取られる件数を抑えられます。
あわせて、APIのログに「どの呼び出し元に何件の会員情報を返したか」を記録します。一般的なアクセスログには、返した件数までは残らないことが多いためです。この記録は、流出した範囲を絞り込む手がかりになります。ただし、呼び出し元を多数に分けられると上限だけでは止まらないため、API全体で返した件数も見ておきます。
ヤグラの視点 — 休日も夜中も、見張りはAIと分担する
Section titled “ヤグラの視点 — 休日も夜中も、見張りはAIと分担する”本件では、確認から封じ込めまでは約4時間半でした。一方で、不正アクセスの開始から確認までには約4日かかり、その間に土日と祝日の3連休をはさんでいます。攻撃は土日も夜中も、こちらの勤務時間に関係なく来ます。
APIを通じた取り出しは、アプリやデータベースの記録に残ります。ただ、その記録を休日や夜中も人の目だけで見続けるのは難しく、異常は次の出勤日まで見過ごされやすくなります。人だけで見ていても、時間を選ばない攻撃には追いつけません。
そこで、記録の見張りと一次調査はAIに任せ、人は止める判断に集中します。データベースの読み出しが平常時の水準を大きく超えたら、AIが関連する記録を突き合わせて担当者に知らせます。APIの停止や呼び出し元の無効化を誰が判断するかは、休日の連絡先も含めて決めておきます。監査ログや認証ログを24時間365日見張り、検知から初動までを数分の単位に縮める部分を担うのが、AIによるログ監視です（→ ヤグラ AI SOC）。
- APIを不正に利用できた経緯と原因
- 実際に取得された件数と範囲の確定
- パスワードの保存方式
- 同社を装うメール・SMS・電話・郵便物の発生の有無
- 10月16日に予定する警察への被害申告
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-10-15 | 第一報を公開 |
