ソースネクストの会員情報流出(2026年10月公表)

概要

公表日

2026年10月15日

発生

2026年10月9日

検知・発覚

2026年10月13日

最新の公表

2026年10月16日

組織・業種

ソースネクスト(ソフトウェア販売 / IT・SaaS・SI・BPO)

漏えいした情報・件数

流出した可能性がある件数 22,519,960件(2026年10月13日13時36分までに登録した会員が対象の範囲)。メールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、システム固有の識別情報(加入サービス、登録日、ログイン日など)。登録状況により項目は異なる。クレジットカード情報は対象のシステムに保存しておらず含まれない。パスワードの保存形式は公式発表に記載がない

業務への影響

すべての会員のパスワードを変更し、従来のパスワードではログインできない。10月21日時点でパスワード再設定サイトにアクセスが集中し、つながりにくい状態と案内している

業績への影響

未公表(2026年10月30日時点)

犯行グループ(企業・当局の認定)

なし(攻撃者は公表されていない)

行政の対応

2026年10月15日に個人情報保護委員会へ報告。10月16日に所轄警察署へ相談(よくある質問。10月15日のお知らせでは「被害申告を行う予定」としていた)

手口

Webサービス・アプリ経由

何から手を付けるか迷ったら、無料で初動相談ができます →

経緯

1. 2026年10月9日

   10時ごろから第三者による不正アクセスが始まり、会員情報取得APIが不正に利用された(10月13日の確認後の調査で判明し、10月15日に公表) [1]

2. 2026年10月13日

   9時ごろ、会員情報を管理するシステムへの不正アクセスを確認。同日13時36分までに封じ込めを完了し、以後も監視を続けている [1]

3. 2026年10月15日

   個人情報保護委員会へ報告し、最大22,519,960件の会員情報が流出した可能性を公表。ログイン時にパスワードの再設定を求める措置を案内 [1]

4. 2026年10月15日

   よくある質問を公開。対象者へのメールでの個別案内を始め、メールアドレスの登録がない会員には書面(郵送)で連絡する予定とした [2]

5. 2026年10月15日

   日本経済新聞が、パスワードは暗号化して保存していたが、暗号化を解除するプログラムを不正に使われたと報道(公式発表には記載なし) [6]

6. 2026年10月16日

   お知らせに追記。すべての会員のパスワードを変更済みで、従来のパスワードは使えないとし、時間をおいて再設定するよう案内。同日に所轄警察署へ被害を申告する予定と公表していた [1]

7. 2026年10月16日

   所轄警察署へ相談し、外部の独立したセキュリティ専門機関に依頼して第三者調査を始めた(よくある質問の回答。2026-10-21に確認) [2]

侵入経路と原因

ソースネクストによると、第三者が2026年10月9日10時ごろから、会員情報を管理するシステムに不正にアクセスしました。会員情報取得API(システムから会員情報を取り出すための窓口となるプログラム)を不正に利用し、登録している会員の情報を取得したとしています。

会社は10月13日9時ごろに不正アクセスを確認し、同日13時36分までに封じ込めを完了しました。よくある質問では、発覚後ただちに原因となったシステムの脆弱性(セキュリティ上の弱点)を修正したと説明しています。

APIを不正に利用できた原因と、脆弱性の内容は公表されていません。会社は外部の専門調査機関と原因を調べています。よくある質問によると、10月16日に外部の独立したセキュリティ専門機関に依頼し、第三者調査を始めました。調査結果は2026年10月30日時点で公表されていません。

パスワードの保存形式(ハッシュ化や暗号化をしていたか)は、公式発表とよくある質問に記載がありません。日本経済新聞は、パスワードは暗号化して保存していたが、暗号化を解除するプログラムを不正に使われたと報じていますが、会社の公式発表では確認できていません。

影響

流出した可能性がある件数は22,519,960件です。2026年10月13日13時36分までに登録していた会員が対象の範囲です。件数が会員の人数と同じかどうかは公表されていません。

流出した可能性がある情報は、メールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名と、システム固有の識別情報(加入サービス、登録日、ログイン日など)です。すべての会員について、これらすべての情報が流出したわけではなく、登録状況によって異なるとしています。

クレジットカード情報は、対象のシステムに保存していないため含まれません。会社は、カードの利用停止や再発行は不要としています。会員登録で本人確認書類を求めていないため、流出した可能性のある情報だけで契約や借入をするのは極めて困難と認識しているとしています。

会社は、流出した可能性のあるメールアドレスとパスワードの組み合わせで、第三者が他のサービスへのログインを試みるおそれがあるとしています。会社や関係先を装ったメール、SMS、電話、郵便物が届く可能性も挙げています。流出した情報が悪用されたという発表は、2026年10月30日時点でありません。

すべての会員のパスワードが変更されたため、会員は新しいパスワードを再設定するまでログインできません。10月21日時点で、再設定サイトにアクセスが集中してつながりにくい状態です。業績への影響は公表されていません。

会社の対応と再発防止策

会社は封じ込めのあとも監視を続け、それ以降の不正アクセスは確認されていないとしています。外部の専門調査機関と連携して詳しく調べ、全システムの緊急点検を行っています。よくある質問では、ほかに脆弱性がないかの調査も始めたとしています。

10月15日に個人情報保護委員会へ報告しました。よくある質問によると、10月16日に所轄警察署へ相談しました(10月15日のお知らせでは被害申告を行う予定としていました)。同じ日に、外部の独立したセキュリティ専門機関による第三者調査を始めています。10月15日の公表になった理由は、不確かな情報による混乱を避けるため、事実確認と所管官庁への報告を済ませてから公表したと説明しています。

パスワードについては、まずログイン時に再設定を求める措置をとり、10月16日の追記で、すべての会員のパスワードを変更済みと案内しました。従来のパスワードは使えません。対象の会員には登録メールアドレス宛てに順次お詫びと案内を送り、メールアドレスを登録していない会員には書面で連絡する予定です。

会員への依頼は3つです。ログイン画面の案内に従ってパスワードを再設定すること。同じメールアドレスとパスワードの組み合わせを他のサービスで使っている場合は、そちらのパスワードも変えること。身に覚えのないメールやSMSのURL・添付ファイルを開かず、不審なサイトに個人情報を入力しないことです。

問い合わせは、専用窓口の電話 0120-035-116(フリーダイヤル、10時〜18時、土日祝日も受付)と、お問い合わせフォームで受け付けています。退会の相談も同じ窓口です。原因と再発防止策は2026年10月30日時点で公表されていません。続報が出たら、このページを更新します。

この事案から学べること

• 会社によると、情報は会員情報取得APIを通じて取得されました。会員情報を返すAPIは、画面とは別の入口です。画面の操作と同じように、誰が・何件まで取り出せるかを管理する必要があります。
• 不正アクセスが始まってから会社が確認するまで、約4日ありました(10月9日10時ごろ〜10月13日9時ごろ)。流出した可能性がある件数は最大22,519,960件です。APIから取り出される件数の急な増加に、どれだけ早く気づけるかで被害の大きさが変わります。
• 流出した可能性がある情報にパスワードが含まれたため、会社は全会員のパスワードを変更しました。会員側でも、同じパスワードを使っている他のサービスの変更が必要になります。パスワードを保存する方式と、取り出されたときに何をするかを、事前に決めておく必要があります。

自社で確認すること

1. 1 会員情報を返すAPIについて、呼び出せる相手と、1回・一定時間あたりに取り出せる件数の上限を決めていますか?
2. 2 APIから取り出された件数やアクセス元の急な変化を検知し、その日のうちに担当者が気づける仕組みがありますか?
3. 3 会員のパスワードを、元に戻せない方式(ハッシュ化)で保存しているか、方式とその根拠を説明できますか?

経営者・情シスが今週確認する10項目を見る →

同じ手口の事案

関連する事案

• 2026年10月9日 ・ ブックオフ 子会社の会員管理システムに不正アクセス。会員データ642万7,735件(638万3,279人)が漏えい
• 2026年10月5日 ・ 焼肉きんぐ 会員管理システムから、登録者のほぼ全員の約1,079万件
• 2026年9月25日 ・ タイムズカー Webシステムの脆弱性を悪用され、会員情報662万8,007件と運転免許証などの画像146万4,800件に外部送信の痕跡
• 2026年10月15日 ・ バーガーキング 公式アプリの会員情報を管理するシステムに不正アクセス。会員情報約1,118万件が漏えい

よくあるご質問

ソースネクストの情報流出で、何が流出した可能性がありますか?

会社は、メールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名と、加入サービス・登録日・ログイン日などの識別情報が流出した可能性があるとしています。件数は最大22,519,960件で、登録状況によって項目は異なります(2026年10月15日公表)。

自分が対象かどうか、どうすれば分かりますか?

会社のよくある質問によると、2026年10月13日13時36分までに登録していた会員が対象の範囲です。対象の会員には、登録メールアドレス宛てに順次お詫びと案内が送られます。メールアドレスを登録していない会員には、書面(郵送)で連絡する予定です。

ログインできません。どうすればよいですか?

会社は、すべての会員のパスワードを変更済みで、従来のパスワードは使えないとしています(2026年10月16日の追記)。ログイン画面の案内に従って新しいパスワードを再設定してください。10月21日時点で再設定サイトがつながりにくいため、時間をおいて試すよう案内しています。

会員は何をすればよいですか?

ソースネクストのパスワードを再設定してください。同じメールアドレスとパスワードの組み合わせを他のサービスで使っている場合は、そちらのパスワードも変えてください。会社や関係先を装ったメール、SMS、電話、郵便物に注意し、身に覚えのないURLや添付ファイルを開かないでください。

クレジットカード情報は漏れましたか?

会社によると、クレジットカード情報は対象のシステムに保存していないため、流出の対象に含まれません。カードの利用停止や再発行は不要としています。

パスワードはどのように保存されていましたか?

公式発表とよくある質問には、パスワードの保存形式の記載がありません。日本経済新聞は、暗号化して保存していたが、暗号化を解除するプログラムを不正に使われたと報じていますが、会社の公式発表では確認できていません(2026年10月30日時点)。

問い合わせ窓口はどこですか?

専用窓口の電話 0120-035-116(フリーダイヤル、10時〜18時、土日祝日も受付)と、お問い合わせフォーム(https://support.sourcenext.com/fa/support/web/form167.html)です(2026年10月30日時点)。

出典

1. 当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ(2026年10月16日追記を含む) ↗ (ソースネクスト株式会社、2026-10-15)
2. 情報漏洩に関するよくあるご質問(2026年10月21日に確認した内容) ↗ (ソースネクスト株式会社、2026-10-15)
3. ソースネクスト、最大2251万件の情報流出 パスワード再設定を ↗ (Impress Watch、2026-10-15)
4. ソースネクスト、不正アクセスでパスワード含む会員の個人情報最大約2252万件が流出 他サービスで同じパスワードを使っている人はただちに変更を ↗ (INTERNET Watch、2026-10-16)
5. 「セキュリティソフトも売ってるのに」ソースネクスト会員情報漏えい、パスワード含む最大2252万件 API不正利用される ↗ (ITmedia NEWS、2026-10-16)
6. ソースネクスト、顧客情報2252万件流出か 不正アクセス受け ↗ (日本経済新聞、2026-10-15)