今度はパスワードが入っている。2,251万件、今日やることは1つ

• 対象は22,519,960件
• 流出項目にパスワードが含まれている
• 同じ組み合わせを他で使っているなら、今日そちらを変える

ソースネクストが10月15日、会員情報への不正アクセスと情報流出を公表した。

この秋は公表が続いているが、今回は性質が違う。これまでの各社が「漏れていない」と書いてきたものが、今回は漏れている側に入っている。

これまでとの違い

同じ時期の公表を、流出項目の一点だけで並べる。

だから、読んだあとにやることが変わる。待っていてはいけない側の発表になる。

ハッシュ化の記載は無い

公式の項目一覧には、こう書かれている。

対象となる情報：メールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、システム固有の識別情報（加入サービス・登録日・ログイン日等）

IDCFクラウドの発表が「復元困難かつランダムなハッシュ値」と書き添えていたのに対し、今回は「パスワード」とだけ書かれている。

ここから平文だったと決めつけることはできない。書かれていないだけかもしれない。ただ、書かれていない以上、安全側に倒して動くのが筋になる。

今日やること

優先順位をつけると、こうなる。

1. 同じメールアドレスとパスワードの組み合わせを使っている他のサービスを変える
2. ソースネクストのパスワードを再設定する（ログイン時に求められる）
3. 不審な連絡に備える

1番目が先だ。理由は、公式自身がこう書いているからになる。

流出した可能性のあるメールアドレスとパスワードの組み合わせを用いて、第三者が他のサービスへのログインを試みるおそれがございます。

自社のパスワードを変えても、他社で同じ組み合わせを使っていれば、そちらは守られない。攻撃側にとっては、むしろそちらが本命になる。

どこを変えればいいか

全部変えるのが理想だが、現実的には順番がある。乗っ取られたときの被害が大きい順に見る。

• メール — 最優先。ここを取られると、他の再設定が全部通る
• お金が動くもの — 決済、通販、銀行、証券
• 本人として発信するもの — SNS、仕事の連絡先
• その他

1番目の理由を補足すると、パスワードを忘れたときの再設定はメールに届くからだ。メールを取られた時点で、他のサービスの鍵も実質的に渡ることになる。

経緯を読む

公式が書いている時系列を並べる。

気づくまでに4日

始まりが9日の10時頃、確認が13日の9時頃。およそ4日ある。

気づいてからは速い。確認から封じ込めまで4時間半だ。つまり対応が遅かったのではなく、気づくのが遅かったという形になる。

ここが守る側にとっての論点になる。止める力より、気づく力のほうが足りないことが多い。

入口はAPIだった

原因について、公式はこう書いている。

第三者から10月9日（金）10時頃から不正アクセスがあり、会員情報取得APIを不正に利用し、当社にご登録いただいているお客様の情報を取得したことが判明いたしました。

壊して入ったのではない。用意されていた仕組みを、用意された形で使われたということになる。

これはNICTが10月13日に注意喚起したA2B攻撃で説明されていた構造そのものだ。画面を通さず、裏の仕組みに直接話しかける。

前日のアエナの件も「機械的な連続アクセス」とされていた。手口の名前は各社バラバラだが、外形はよく似ている。

作る側が見る場所

APIが正規の経路である以上、止めるのは「入れないこと」ではなく「取りすぎを止めること」になる。

• 1つの資格情報で、何件まで取れるか — 上限が無いと、全件取れる
• 短時間に大量の要求が来たとき、止まるか — 1件ずつは正常に見える
• いつもと違う量を、誰かが見ているか — 今回の4日間はここになる
• 返す項目に、画面で使わないものが混ざっていないか — 使わない項目は返さない

最後の1つは効く。返していない項目は、取られない。

クレジットカードについて

公式は、カード情報は本件の対象システムには保存されておらず、流出の対象には含まれていないとしている。

ただしアエナの記事に書いたとおり、カードが無事でも、残りの情報で本物らしい連絡は作れる。氏名・住所・電話番号・生年月日・会社名・役職まで揃っている。

公式も、当社や関係先を装った不審なメール・SMS・電話・郵便物が届く可能性があるとしている。郵便物まで挙げているのは、住所が出ているからだ。

まとめ

• 対象は22,519,960件。流出項目にパスワードが含まれる
• 公式にハッシュ化の記載は無い。安全側に倒して動く
• 最優先は、同じ組み合わせを使っている他のサービスの変更
• 変える順はメール → お金が動くもの → 発信するもの
• 不正アクセスは10月9日10時頃から。確認は13日9時頃で約4日
• 封じ込めは確認から4時間半。遅かったのは気づく側
• 入口は会員情報取得API。正規の仕組みを正規の形で使われた

出典

• ソースネクスト株式会社「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」（2026年10月15日）（経緯と時刻、対象件数、対象となる情報の全項目、会員情報取得APIの悪用、利用者への依頼、関係機関への報告予定、問い合わせ窓口）

本記事は2026年10月15日時点で公表されている内容に基づく。調査は継続中とされている。パスワードの保管形式について公式に記載が無いため、本記事でも断定していない。本記事は法的な助言ではない。