検知から3時間39分で止めた。パスワードは頼む前に無効化した

• 検知から3時間39分でサーバーを停止。今月読んだ中で最も速い
• 「変えてください」ではなく、先に全員のパスワードを無効化した
• カード情報はそもそも保存していないと明記

札幌のクリプトン・フューチャー・メディアが、音源販売「SONICWIRE」と「D2R」への不正アクセスを公表した。最大約42万件の会員情報が見られた可能性がある。

内容は深刻だ。ただ対応の速さと順番が、今月読んできた事例の中でも際立っていた。そこを書く。

時間を測ってみた

公式の経緯は、時刻まで書かれている。

2026年10月17日（土）20時頃、「SONICWIRE」および「D2R」への不正アクセスの可能性を確認。直ちに状況の確認を行うとともに、侵害アカウントの無効化や社内ドメインのIP制限などの緊急措置を講じ、同日23時39分頃に被害拡大防止のため、該当サービスのサーバーを停止する措置を完了いたしました。

3時間39分。土曜日の夜だ。

今月、一次情報で時刻が確認できた事例と並べてみる。

タイムズカーは9月25日9時07分に検知し、26日7時25分までに経路を遮断した。メドレーは10月11日に外部の専門機関から情報提供を受けて調査を始め、14日の深夜に止めている。

メドレーは自社で気づいたわけではないので、同じ尺度では比べられない。そこも含めて見ると、自分で気づけるかどうかがいちばん大きいと分かる。

報告先と日付も書いてある

これも珍しかった。

• 10月18日（日） — 警察への第一報を完了
• 10月19日（月） — 個人情報保護委員会への報告を完了、同日に公表

検知から2日で公表している。「調査中なので言えない」で止めなかった。

いちばん評価したい点：先に無効化した

漏えいの告知は、ふつう「パスワードの変更をお願いします」で終わる。

今回は違った。

お客様のアカウントを保護するため、全ての皆さまのパスワードを無効化させていただきました。お手数をおかけいたしますが、サービス復旧後の初回ログイン時にパスワードの再設定をお願いいたします。

頼むのではなく、先に止めた。

これが効くのは、お願いは実行されないからだ。全員が読んで、全員が変えることはない。無効化すれば、変えていない人も守られる。

利用者には手間がかかる。だが手間を利用者に寄せる判断は、この場面では正しいと思う。

ハッシュの限界も正直に書いている

漏れたパスワードはハッシュ値のみとされている。ここで「だから安全です」と書く告知は多い。

今回はこうだった。

元パスワードへの復元が困難な「ハッシュ処理」がされております。しかし、万が一パスワードが復元された場合、第三者が同じメールアドレスとパスワードの組み合わせを用いて他のサービスへのログインを試みる恐れがございます。

そのうえで他のサービスの変更を頼んでいる。他社で漏れた組み合わせを順番に試す攻撃は、前日に実際に始まった話を書いた。この依頼は的を射ている。

漏れた可能性があるもの

公式が項目を並べているので、そのまま置く。

カード情報については、こう書かれている。

「SONICWIRE」および「D2R」のシステム自体にはお客様のクレジットカード情報を保存しておらず、現時点で漏えいの事実は確認されておりません。

「漏れなかった」ではなく「持っていない」という説明だ。これはいちばん強い答えになる。免許証の画像を持たないことにした件と同じで、持たなければ漏れない。

ただし過去の決済情報からの影響は引き続き調査とある。ここは続報を待つ。

「Mythosで状況把握」について

報道の見出しになっていたので触れておく。公式の記述はこれだけだ。

当社では、不正アクセス検知後、Mythosを活用し状況を把握、「SONICWIRE」および「D2R」のサービス停止を含めた緊急措置を速やかに講じております。

1文しかない。何にどう使ったかは書かれていない。

だから「AIで解決した」という話として読むのは早いと思う。土曜の夜に3時間39分で判断できた理由が、道具なのか体制なのかは、この文からは分からない。

ただ対応に使ったと公表したこと自体は記録しておきたい。ふだんは書かれない部分だ。

会員がやること

1. 他のサービスで同じパスワードを使っているなら、そこを変える。SONICWIRE側は無効化済み
2. 「復旧しました」の連絡をリンクから開かない。再開時期は未定とされている
3. 請求の明細を見ておく。カードは保存されていないが、過去分は調査中

2番目は今の時期ほんとうに多い。見分け方は漏えいの後に届く「お詫びとお知らせ」に書いた。

なお関連のECストアも停止している（ec.crypton.co.jp）。調査の一環とされている。

作る側の持ち帰り

今回から学べることは、はっきりしている。

1. 夜間と休日に止められる体制があるか。土曜20時に気づいて同日に止めている
2. 全員のパスワードを無効化する手段があるか。これは事前に用意がないと押せない
3. 持たない判断をしているか。カード情報を保存していなければ、調査も短くなる

2番目は見落としやすい。「全員ログアウト」「全員パスワード無効化」のボタンが無いサービスは多い。作っておくのは平時の仕事だ。

止め方そのものについては、同じ日に書いたふるさとチョイスの止め方がいちばん丁寧だった。速さと、止めた後の見せ方は別の話になる。

まとめ

• 対象はSONICWIRE と D2R。会員情報は最大約42万件
• 10月17日20時頃に検知、同日23時39分頃に停止完了。約3時間40分
• 10月18日に警察、19日に個人情報保護委員会へ報告し、同日公表
• パスワードは依頼ではなく、全員ぶんを無効化した
• ハッシュでも使い回しは変えるよう依頼している。正しい書き方
• カード情報はそもそも保存していない。ただし過去の決済は調査中
• 「Mythosで状況把握」は公式には1文だけ。詳細は不明
• 再開時期は未定

出典

• クリプトン・フューチャー・メディア「不正アクセスによるお客様情報漏えいの可能性に関するお知らせ」（2026年10月19日。経緯の時刻、漏えい項目、パスワードの無効化、報告先と日付、Mythosの記述）
• パーク24「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）」（2026年9月28日。9月25日9時07分の検知と26日7時25分の遮断完了）
• アットリンク「不正アクセスおよびサービスの一時停止に関する最新情報」（10月11日の情報提供と14日深夜の停止）

本記事は2026年10月20日時点の公表内容に基づく。調査は継続中であり、続報で内容が変わる可能性がある。最新の情報は公式の告知で確認すること。本記事は法的な助言ではない。