ソースネクストで最大約2252万件の会員情報流出、パスワード使い回しも確認を

約2252万件、しかもパスワードを含む可能性

ソースネクストは2026年10月15日、会員情報を管理するシステムへの不正アクセスにより、顧客情報が外部へ流出したことを公表しました。流出した可能性がある対象件数は22,519,960件です。

対象となる可能性がある情報として、メールアドレス、パスワード、氏名、住所、電話番号、生年月日、会社名、役職・部署、加入サービスなどが挙げられています。ただし、全員についてすべての項目が流出したという意味ではなく、登録状況によって対象項目は異なると会社は説明しています。

件数の大きさも重要ですが、利用者目線では「自分のメールアドレスとパスワードが対象になっている可能性がある」という点を優先して確認した方がよい事案です。

何が起きたのかを、難しい言葉を抜いて見る

会社の説明によると、第三者は10月9日ごろから不正アクセスを行い、「会員情報取得API」を不正に利用して情報を取得しました。ソースネクストは10月13日朝に不正アクセスを確認し、同日13時36分までに封じ込めを完了したとしています。

APIという言葉は聞き慣れないかもしれません。ここでは、Webサイトやアプリが会員情報を取り出すときに使う、システム内部の窓口のようなものだと考えてください。本来は正しい権限を持つ処理だけが使う窓口ですが、そこを不正に利用され、会員情報を取得されたという説明です。

なお、同社は原因となったシステムの脆弱性を修正し、流出対象に含まれるパスワードをリセットする措置を完了したとしています。

一番気をつけたいのは「別のサービス」への波及

パスワードが漏えいした可能性があるとき、ソースネクストのアカウントだけを見ればよいとは限りません。

たとえば、ソースネクストで使っていたメールアドレスとパスワードを、通販サイト、動画サービス、会社のサービスなどでも同じ組み合わせで使っていた場合、攻撃者はその組み合わせを別のサイトでも試すことがあります。これを「パスワードリスト攻撃」などと呼びますが、名前を覚える必要はありません。要するに、「一つの鍵が漏れたので、同じ鍵でほかのドアも開かないか試される」ということです。

まったく同じパスワードだけでなく、末尾の数字だけ変えるような似たパスワードも推測されやすくなります。心当たりがある場合は、重要なサービスから順に異なるパスワードへ変更してください。

メールが届いても、慌ててそのリンクから操作しない

大規模な漏えいが公表された後は、「セキュリティ確認が必要です」「補償手続きをしてください」など、被害企業を装ったフィッシングが便乗することがあります。

ソースネクストから案内が届いた場合も、メール本文のリンクだけを頼りにせず、普段のブックマークや検索結果から公式サイトを開き、公式のお知らせと内容を照合すると安心です。

そのうえで、同じパスワードを使っていた他サービスがあれば変更します。特にメール、銀行・決済、通販、クラウドストレージなど、乗っ取られたときの影響が大きいものを先にしてください。可能なら多要素認証やパスキーも有効にします。

「漏れたかもしれない情報」を具体的な行動に置き換える

情報漏えいのニュースを見ると、件数の大きさに目が行きがちです。しかし利用者が今できることは比較的はっきりしています。

自分が対象か公式案内を確認する。同じパスワードをほかで使っていないか思い出す。重要なサービスから変更する。そして、この件を装ったメールやSMSを警戒する。すべてを一度に完璧にしようとせず、危険度の高いところから片付けていけば大丈夫です。