So-netとplalaで258万件。メールのパスワードも5万件。メールを取られると、ほかのサービスの鍵まで握られる

• ソニーネットワークコミュニケーションズが10月27日、インターネット接続サービス「So-net」の会員データベースが不正アクセスを受け、So-net 214万1,986件、plala（Sコース）44万3,495件、合わせて258万5,481件の会員情報が漏れたと発表した
• 一部のメールサービスで、メールアドレスとそのパスワード5万4,401件も漏れた。同社は10月27日に、これらのパスワードを初期化した。対象の人はマイページからパスワードの再設定が必要
• 会員の情報は、氏名、電話番号、メールアドレス、ユーザーID、生年月日、性別、接続用ID。会員のログインパスワードとクレジットカード情報は含まれていない。原因は調査中

発表されたこと

経緯

• 10月19日：So-netの会員データベースに外部から不正アクセス
• 10月23日：アクセスを確認。サーバーを止め、不正アクセス元からの通信を遮断
• 10月24日：個人情報の漏えいを確認し、項目と件数を把握

漏れた情報

いずれにもクレジットカード情報は含まれていない。2026年2月末までに退会した人の情報は漏れていない。NUROなど、ほかのサービスでの漏えいは確認されていない。10月27日時点で、二次被害は確認されていないという。

パスワードが漏れたメールサービス

自分が契約しているかは、So-netのマイページで確かめられる。

メールのパスワードが漏れると、なぜ怖いのか

多くのWebサービスは、パスワードを忘れたときに登録したメールアドレスへ再設定のリンクを送る。つまり、メールを読める人は、そのメールアドレスで登録したほかのサービスのパスワードも変えられる。メールは、ほかのサービスの合鍵の束のようなものだ。

同社が漏えいに気づいたのは23日で、アクセスは19日。その間や、初期化される27日までに、メールが読まれていなかったかは分からない（ここは筆者の見方）。対象の人は、再設定のあとも次のことを確かめたい。

対象の人がやること

パスワードが漏れたメールサービスを使っている人

1. マイページ（www.so-net.ne.jp/mypage/）から、メールのパスワードを再設定する。初期化されているので、そのままでは使えない
2. メールの転送設定や自動振り分けに、覚えのないものがないか見る。乗っ取りでは、こっそり転送を仕掛けることが多い
3. そのメールアドレスで登録しているほかのサービス（ネット通販、銀行、SNSなど）で、覚えのないパスワード再設定のメールやログインの通知が届いていないか確かめる
4. メールと同じパスワードをほかで使っていたら、そちらも変える

So-netとplala（Sコース）の会員

• 氏名、電話番号、生年月日、メールアドレスがそろっている。So-netやplalaを名乗る連絡、料金の未払い、本人確認などを装ったメール・SMS・電話に注意する
• 同社のお願いは、応答しない、リンクを開かない、添付を開かない
• 問い合わせは、So-netの特設ダイヤル（0120-36-8887、平日・土曜10時〜18時）か、質問と回答のページへ。電話番号は公式の案内で確かめる

サービスを運営する側が考えたいこと

ここは筆者の見方だ。今回、会員のログインパスワードは漏れていないのに、メールのパスワードは漏れた。どう保存していたかは公表されていないが、少なくとも取り出せる形でどこかにあったことになる。

• パスワードは、照合できればよいものはハッシュ化して持つのが基本だ。古いメールの仕組みの都合で取り出せる形が必要な場合でも、会員の情報とは別の場所に置き、取り出せる人を絞る
• 漏えいが分かったら、今回のようにパスワードを先に初期化するのは正しい。二次被害を止める効果が大きい
• 退会した人の情報を、いつまで持つか。今回は2026年3月以降の退会者が含まれた。保存期間を決め、過ぎたら消す

今週はモスカードのPINでも同じことを書いた。取り出せる形で持っている秘密は、いつか取り出される。

まとめ

• So-netの会員データベースに不正アクセス。So-netとplala（Sコース）で258万5,481件。カード情報と会員のログインパスワードは含まれない
• 一部のメールサービスでメールアドレスとパスワード5万4,401件。初期化済みで、マイページから再設定が必要
• メールを取られると、ほかのサービスのパスワード再設定まで握られる。転送設定とほかのサービスの通知を確かめる
• 会員は、So-netやplalaを名乗るメール・SMS・電話に応答しない

出典

• ソニーネットワークコミュニケーションズ「So-net 会員データベースへの不正アクセスに伴う情報漏洩に関するお詫びとお知らせ」（2026年10月27日。経緯、件数、対象のメールサービス、お願い、問い合わせ先）
• So-net「本件に関するご質問と回答」

本記事は2026年10月27日時点の公式発表に基づく。原因は調査中で、続報で変わる可能性がある。「メールのパスワードが漏れると、なぜ怖いのか」の一部と「運営する側が考えたいこと」は筆者の見方である。