情報漏えい原因調査レポート　No.006

ソースネクストの会員情報APIへの不正アクセスで、なぜパスワードまで読める状態で流出したのか

「筆まめ」「筆王」「ポケトーク」などを販売するソースネクストで、会員情報を取得するAPIが第三者に4日間使われた。流出した可能性があるのは最大22,519,960件。パスワードは暗号化して保存していたが、復号された状態で外部に出たと同社は説明している。なぜ気づくのに4日かかり、なぜパスワードが読める形で出たのかを、公開情報で追う。

2026年10月26日公開KEYRING編集部2026年10月26日時点の公開情報にもとづく読了の目安約30分

ソースネクスト株式会社sourcenext.com

数字で見る今回の事案

出典は各数字の下に記載

流出した可能性のある件数: 2,252万件
22,519,960件。10月13日13時36分までに登録があった会員が対象（ソースネクストのお知らせ・よくあるご質問）
不正アクセスが続いた時間: 約95時間
10月9日10時頃から10月13日9時頃に確認するまで。時間は編集部が計算
確認から封じ込めまで: 4時間36分
10月13日9時頃に確認し、13時36分までに封じ込め（お知らせ。時間は編集部が計算）
流出した可能性のある項目: 13項目
メールアドレス、パスワード、氏名、住所、生年月日、会社名など。クレジットカード情報は含まない
影響を告知した提供先など: 21組織
スマホのオプションとして同社のアプリを提供していたケーブルテレビ事業者など（piyolog、10月19日時点）
確認から公表まで: 2日
10月13日に確認し、15日に公表。同じ15日に個人情報保護委員会へ報告した（お知らせ・よくあるご質問）

エグゼクティブ
サマリー

入口は、会員情報を取得するAPIだった。第三者は10月9日10時頃から、会員情報取得APIを不正に使って会員の情報を取り出していた。ソースネクストは、このAPIを定期的な処理にも使っていたため、不正なアクセスと見分けにくかったと説明している。第三者がどの経路でAPIを使えたのかは公表されていない。
パスワードは「暗号化」されていたが、元に戻せる方式だった。同社によると、不正アクセスを受けたのは、暗号化されたパスワードを復号する鍵にアクセスできるシステムで、パスワードは復号された状態で流出した。システムが古く、ハッシュ化の方式に移れていなかったという。
4日間、気づかなかった。10月13日9時頃に社員が見つけ、同日13時36分までに封じ込めた。2日後の15日に公表し、同じ日に個人情報保護委員会へ報告した。
影響は、ソースネクストの会員サイトの外にも及んだ。同社のセキュリティアプリをスマホのオプションとして提供していたケーブルテレビ事業者などが、自社の利用者に告知を出した。提供先経由でIDを作った利用者には、自分がソースネクストのIDを持っていることを意識していなかった人もいる可能性がある。
カード情報は含まれず、パスワードは全員分を無効にした。同社は全会員のパスワードを無効化し、ログイン時の再設定を求めている。流出したパスワードで同社のIDには入れないが、同じパスワードをほかのサービスで使っていれば、そちらは危険が残る。

1はじめに

2026年10月15日、ソースネクストは、同社が管理する会員情報に第三者の不正アクセスがあり、会員の個人情報が外部に流出したことが判明したと発表しました。流出した可能性がある件数は22,519,960件で、メールアドレス、パスワード、氏名、住所、生年月日などが含まれます。

ソースネクストは、年賀状ソフトや翻訳機「ポケトーク」、ウイルス対策ソフトなどを個人と法人に販売しています。日本経済新聞によると、会員数はのべ2,000万人を超えます。会員は「ソースネクストID」で、同社サイトでの購入、製品のサポート、マイページを使います。報道では件数を「2252万件」とするものと「2251万件」とするものがありますが、いずれも22,519,960件の丸め方の違いです。

このレポートは、ソースネクストのお知らせとよくあるご質問、同社広報への取材にもとづく報道、提供先の事業者の告知、公的機関の資料をもとに、次の問いに答えます。速報の記事はNo.0257にあります。

何が、いつ、どの順番で起きたのか
会員情報取得APIは、どのように悪用されたのか
暗号化していたパスワードが、なぜ読める状態で外に出たのか
なぜ、4日間気づかなかったのか
影響は、ソースネクストの会員の外にどう広がったのか
利用者と企業は、いま何を確かめればよいのか

調査の方法と範囲

2026年10月26日までに公開された情報を対象にしました。パスワードの保存方式やAPIの使われ方は、同社の公表資料になく、同社広報への取材にもとづく報道（ITmedia NEWS、INTERNET Watch、NHK、日本経済新聞など）によります。その場合は報道によると明記しました。第三者がどの経路でAPIを使えたのかなど、公表されていないことは「公表されていない」と書き、推測では埋めていません。

2不正アクセスから公表までの経緯

不正アクセスは10月9日の金曜日に始まり、連休明けの13日に見つかりました。封じ込めは同じ日のうちに終わり、公表はその2日後です。パスワードがどの状態で出たかは、公表の翌日以降、報道への説明で明らかになっていきました。

図表1不正アクセスの開始から説明の追加までの経緯（2026年10月）

10月9日（金）10時頃
第三者が会員情報取得APIの不正な利用を始める
会員情報を取得するAPIを使い、登録された会員の情報を取り出し始めた。開始時刻は、その後の調査で判明した。
出典：ソースネクストお知らせ
10月13日（火）9時頃
会員情報管理システムへの不正アクセスを確認
共同通信によると、社員が見つけた。直ちに外部からの不正な通信を遮断するなどの緊急措置をとった。
出典：ソースネクストお知らせ、piyolog（共同通信の配信記事）
10月13日13時36分
封じ込めを完了
以後、不正アクセスは確認されていないとしている。原因となったシステムの脆弱性を修正し、流出の対象に含まれるパスワードを無効化した。
出典：ソースネクストお知らせ・よくあるご質問
10月15日（木）
公表し、個人情報保護委員会へ報告
お知らせとよくあるご質問を掲載し、専用の窓口を設けた。対象の会員に順次メールを送り、メールアドレスの登録がない会員には書面で知らせるとした。同じ日、秋田ケーブルテレビが自社の利用者への影響を告知した。
出典：ソースネクスト、piyolog
10月16日（金）
警察に相談し、第三者調査を始める
所轄警察署に相談し、外部の独立したセキュリティ専門機関に第三者調査を依頼した。パスワードの再設定サイトにアクセスが集中した。NHKは、パスワードが暗号化されていない状態で流出したと報じた。
出典：ソースネクストよくあるご質問、piyolog、NHK
10月19日（月）
パスワードの保存方式を説明
ITmedia NEWSの取材に、暗号化したパスワードを復号する鍵にアクセスできるシステム（API）が不正アクセスを受け、パスワードが復号された状態で流出したと説明した。
出典：ITmedia NEWS（10月19日）
10月20日
「元の文字列を判読できる状態」と確認
INTERNET Watchの問い合わせに、パスワードは元の文字列を判読できる状態で流出したことが確認されていると回答した。
出典：INTERNET Watch（10月20日追記）

不正アクセスが続いたのは、10月9日10時頃から13日9時頃までの約95時間（編集部が計算）です。13日は連休明けの火曜日でした。同社は、即日発表しなかった理由について、被害の拡大を止める初動と影響範囲の特定を優先し、一定の事実確認と所管官庁への報告を済ませてから公表したと説明しています。

3会員情報取得APIが狙われた仕組み

APIは、プログラムどうしがデータをやり取りするための窓口です。会員情報取得APIは、その名のとおり会員の情報を返す窓口で、同社の説明では、ふだんから定期的な処理にも使われていました。第三者はこの窓口を通して、会員の情報を取得しました。流出した可能性がある件数は、最大22,519,960件です。

図表2会員情報取得APIを通じて、何が出ていったか

ソースネクストのお知らせ、ITmedia NEWS（10月19日）、piyolog（Yahoo!ニュースエキスパートの取材記事を含む）をもとにKEYRING編集部が作成。第三者がAPIをどのように呼び出したか（認証を破ったのか、認証が不要だったのか、APIの鍵を手に入れたのか、別の経路で社内に入ってからAPIを呼んだのか）は公表されていない

APIの役割について、同社はITmedia NEWSに「個別の実装の詳細は、新たな攻撃を助長するおそれがあるため、回答を控える」と答えています。APIの利用目的やシステム間の連携も、関係機関の捜査と調査に協力しているとして回答を控えました。

同じ時期、JPCERT/CCは10月8日の注意喚起で、API経由の不正な操作が相次いでいるとして、具体的な手口を挙げていました。公開しているスマートフォンアプリを解析してAPIの接続先や鍵を特定する、画面の操作からは実行できない内部のAPIを攻撃する、ほかのシステムから盗んだAPIの鍵を使う、といったものです。今回の事案が、このどれにあたるかは公表されていません。

4流出した可能性のある情報

流出した可能性があるのは、次の13項目です。会員ごとに登録している項目が違うため、全員の全項目が流出したわけではありません。

図表3流出した可能性のある項目と、悪用されうる場面

項目	悪用されうる場面
メールアドレスとパスワード	同じ組み合わせをほかのサービスで使っていれば、そちらへの不正ログインに使われるおそれ。同社もこの点を注意している
氏名・氏名カナ・性別・生年月日	本人らしく見せた連絡（フィッシング）の材料
住所・電話番号・FAX番号	郵便物や電話による、同社や関係先を装った連絡
会社名・役職名・部署名	法人で製品を買った会員の場合、勤務先を名指しした連絡の材料
システム固有の識別情報加入サービス・登録日・ログイン日など	どの製品やサービスを使っているかが分かり、それを口実にした連絡の材料
クレジットカード情報	対象外。不正アクセスを受けたシステムには保存されていない

出典：ソースネクストお知らせ・よくあるご質問。「悪用されうる場面」は、同社が注意を呼びかけている内容（フィッシングメール、SMS、電話、郵便物）をもとにKEYRING編集部が整理した

同社は、会員登録で本人確認書類を預かっていないため、今回の情報だけで携帯電話の契約や借り入れをされるのは極めて難しいと説明しています。また、「スーパーセキュリティ」「ウイルスセキュリティ」はそのまま使えること、販売しているパスワード管理ソフト「1Password」に保存されたデータは同社が保有しておらず、流出の対象ではないことも案内しています。

一方で、オンラインの機能の一部は止まりました。「みんなの筆王」のサービス全般、「筆王」「筆ぐるめ」のクラウド保存機能、「筆まめ」「筆王」「宛名職人（Mac）」のネットプリント・コンビニプリント機能は、セキュリティ強化のためのメンテナンス中としています（10月26日閲覧時点）。年賀状の準備が始まる時期にあたります。

5パスワードはなぜ読める状態で出たのか

10月15日のお知らせは、パスワードが流出した可能性のある項目に入っていることを示しましたが、どの状態で保存していたかは書いていませんでした。その後の報道への説明で、保存の仕方が分かってきました。

図表4パスワードの状態について、出典ごとの記載

出典	記載
ソースネクスト10月15日のお知らせ	流出した可能性のある項目に「パスワード」。保存方式の記載はない
日本経済新聞10月15日	「パスワードは暗号化して保存されていたが、暗号化を解除するプログラムをハッキングされたという」
INTERNET Watch10月16日	公表内容から、平文で流出した「可能性が考えられる」と解説（記者の見立て）
NHK10月16日	「パスワード暗号化がない状態で流出」
ITmedia NEWS10月19日	同社広報：暗号化されたパスワードを復号するための鍵にアクセス可能なシステム（API）に不正アクセスがあった。復号鍵そのものは流出していないが、パスワードが復号された状態で流出したことを確認している。システムの開発時期が古く、当時の暗号化方式を使い続け、最新のハッシュ化方式へ移行できていなかった
INTERNET Watch10月20日の追記	同社への問い合わせで、元の文字列を判読できる状態で流出したことが確認されているとの回答

出典：各記事。日本経済新聞の「プログラムをハッキングされた」と、ITmedia NEWSの「鍵にアクセス可能なシステムに不正アクセス」「復号鍵そのものは流出していない」は、表現は違うが、復号できる仕組みが使われたという点で食い違ってはいない

暗号化とハッシュ化の違い

パスワードを守る方法には、暗号化とハッシュ化があります。暗号化は、鍵を使えば元に戻せます。ハッシュ化は一方通行の計算で、保存されたハッシュ値を計算で元のパスワードに戻すことはできません。割り出すには、候補を1つずつ試す総当たりや辞書攻撃の手間がかかり、短いパスワードやよく使われるパスワードほど早く割り出されます。ログインのときは、入力されたパスワードを同じ方法でハッシュ化し、保存された値と比べるだけで本人かを確かめられます。

図表5鍵で元に戻せる暗号化と、計算では戻せないハッシュ化

OWASP「Password Storage Cheat Sheet」、ITmedia NEWS（10月19日）をもとにKEYRING編集部が作成。ソースネクストの暗号化の方式名は公表されていない

Webアプリケーションのセキュリティの手引きを公開しているOWASPは、パスワードは暗号化や平文ではなく、Argon2id、bcrypt、PBKDF2といった、計算に時間のかかる最新のハッシュ化の方式で保存すべきだとしています。計算に時間のかかる方式でハッシュ化していれば、データベースを抜き出されても、パスワードを割り出すには多くの時間がかかります。

今回の流出では、暗号化そのものが破られたわけではありません。復号の鍵には、第三者が使えた窓口から届く状態でした。暗号化の鍵とデータが同じ仕組みの中で使える状態なら、その仕組みに入られた時点で守りは働きません。同社は、再設定後のパスワードをどう管理しているかについて、ITmedia NEWSに回答を控えています。

64日間、なぜ気づけなかったのか

ITmedia NEWSは10月16日の記事の小見出しで、この事案を「不正アクセスに4日間気づかず」と伝えました。同社はYahoo!ニュースエキスパートの取材に、会員情報取得APIを「定期的な処理においても使用していたため、不正アクセスとの判別がしにくい状況だった」と説明しています。不正アクセスの開始（10月9日10時頃）から確認（13日9時頃）までは、約95時間でした。

ふだんから使われているAPIは、呼び出しがあること自体は異常ではありません。見分ける手がかりになるのは、呼び出す相手、時間帯、1回あたりや時間あたりに返す件数です。同社は、流出の件数をAPIのログから特定したと説明しており（piyologが整理した報道による）、呼び出しの記録は残っていました。記録を、異常の検知に使えていたかは公表されていません。

海外でも、APIからの取り出しは長く気づかれなかった

米国の通信大手T-Mobileは2023年1月、米証券取引委員会への報告で、第三者が1つのAPIを使って、許可なくデータを取り出していたと公表しました。取り出しは2022年11月25日ごろに始まり、気づいたのは2023年1月5日。約3,700万の契約者アカウントについて、氏名、請求先住所、メールアドレス、電話番号、生年月日などが取られました。気づいてから1日以内に止めたとしています。APIを通じた取り出しは、正規の利用と同じ形で行われるため、件数や相手の変化を見ていないと長く続きます。

7分かっていること、分かっていないこと

図表6公表と報道で確認できる範囲（10月26日時点）

項目	確認できること
侵入の経路	会員情報取得APIの不正な利用。同社は「原因となったシステムの脆弱性」を修正したとしている。脆弱性の内容、第三者がどの経路でAPIを使えたのかは公表されていない
APIの役割	定期的な処理にも使われていた（広報の説明）。役割と実装の詳細は回答を控えている
パスワード	暗号化して保存。復号鍵にアクセスできるシステムに入られ、復号された状態で流出（広報の説明）。全会員のパスワードを無効化済み
件数の根拠	APIのログから特定（広報の説明）
気づいた経緯	社員が見つけた（共同通信）。何を見て気づいたかは公表されていない
二次被害	公表資料に記載はない
調査	10月16日に、外部の独立したセキュリティ専門機関による第三者調査を開始
当局への届け出	10月15日に個人情報保護委員会へ報告、16日に所轄警察署へ相談

出典：ソースネクストお知らせ・よくあるご質問、ITmedia NEWS（10月19日）、piyolog（共同通信、Yahoo!ニュースエキスパートの記事を整理）

お知らせは「当社サイトへの不正アクセス」と題していますが、よくあるご質問は「当社が管理するサーバーに対し」と書いています。どのシステムがインターネットから見えていたかは、続報を待つ必要があります。

8ケーブルテレビなど提供先への広がり

ソースネクストの「スマートフォンセキュリティ」などのアプリは、地域のケーブルテレビ事業者などが、自社の格安スマホのオプションとして提供してきました。同社は2015年、日本ケーブルテレビ連盟の加盟各社の格安スマホ向けにこのアプリを提供すると発表しています（piyologによる）。公表を受けて、提供先の事業者が自社の利用者に告知を出しました。piyologは10月19日時点で21組織を数えています。

図表7提供先の告知の例

事業者	告知日	対象と情報
秋田ケーブルテレビ	10月15日〜	「スマートフォンセキュリティ」の利用者のうち、自ら、または機種変更のときに「ソースネクスト ID」を作った人。メールアドレス、名前、パスワードなど。16日の第五報で、一部の利用者の個人情報の流出を確認したとした
峡西シーエーテーブイ	10月17日	紛失時の位置情報取得機能「盗難対策」を使った人。利用の際にメールアドレスとパスワードがソースネクストに送られていた
日本ネットワークサービス	10月16日	位置情報取得機能のためにソースネクストIDを取った人。自社システムへの不正アクセスではないと明記
アドバンスコープ	10月16日	ケーブルスマホのオプションの利用者。地元紙は約800件と報じた
愛媛CATV	10月17日	サービスを終えた「アプリ超ホーダイ」なども含め、ソースネクストにユーザー登録をした現在と過去の利用者

出典：秋田ケーブルテレビ（10月16日、第五報）、piyolog「ソースネクストへの不正アクセスについてまとめてみた」（各社の告知を整理）

スマホを契約するときにオプションを付け、端末の設定の流れでIDを作った人は、自分がソースネクストの会員であることを覚えていない可能性があります。峡西シーエーテーブイの告知が示すように、端末をなくしたときの機能を使っただけでも、メールアドレスとパスワードが同社に送られていました。提供先の事業者は、ソースネクストからの案内メールの内容を確認するよう利用者に呼びかけています。

告知の書き方は事業者ごとに違いました。piyologの整理によると、イッツ・コミュニケーションズや伊豆急ケーブルネットワークは、自らソースネクストのマイページに会員登録した契約者に対象を絞り、鹿沼ケーブルテレビはシリアル番号の登録だけの利用者を対象外としました。秋田ケーブルテレビ、松阪ケーブルテレビ・ステーション、鹿沼ケーブルテレビの3社は、自社の顧客の一部で個人情報の流出を確認したと告知しています。ソースネクスト製品の販売店であるベイシア電器も、同社の発表を転記して窓口を案内しました。ソースネクストの発表では、不正アクセスを受けたのは同社の会員情報を管理するシステムで、提供先の事業者のシステムではありません。それでも利用者からの問い合わせは、契約している自社に届きます。

関連する原因別の記事：不正アクセス・認証情報の漏れ・委託先での事故

92023年のカード情報流出との違い

ソースネクストは2023年2月にも、自社のオンラインショップへの不正アクセスで、クレジットカード情報が漏えいしたと公表しています。2つの事案は、入口も、漏れた情報も、気づき方も違います。

図表82023年と2026年の事案の比較

項目	2023年2月の公表	2026年10月の公表
対象	2023年ソースネクストオンラインショップ	2026年会員情報を管理するシステム
入口	2023年サイトのシステムの一部の脆弱性を使われ、決済のアプリケーションを改ざんされた	2026年会員情報取得APIの不正な利用
期間	2023年2022年11月15日〜2023年1月17日	2026年2026年10月9日10時頃〜13日
漏れた情報	2023年カード情報112,132件（名義、番号、有効期限、セキュリティコード）、個人情報120,982件。パスワードの漏えいはない	2026年最大22,519,960件の会員情報（パスワードを含む）。カード情報は対象外
気づいたきっかけ	2023年2023年1月4日、カード会社からの連絡	2026年社員が見つけた（共同通信）

出典：ソースネクスト（2023年2月14日、2026年10月15日）、piyolog

今回の対象システムにはカード情報は保存されていないと、同社は説明しています。一方、パスワードは元に戻せる方式で保存されていました。

気づき方にも違いがあります。2023年は、改ざんが2022年11月15日から続き、カード会社から漏えいの懸念を知らされたのは2023年1月4日でした。今回は社員が見つけ、確認から4時間36分で封じ込めています。不正アクセスの開始から確認までは、約95時間でした。

10報告のルールと、APIとパスワードの基準

漏えい等報告

個人情報保護法は、不正の目的による漏えいのおそれがある場合や、本人の数が1,000人を超える場合などに、個人情報保護委員会への報告と本人への通知を求めています。速報は速やかに（おおむね発覚から3〜5日以内）、確報は30日以内、不正の目的のおそれがある場合は60日以内です。ソースネクストは発覚の2日後に報告しました。確報の期限は知った日を1日目として数えます（ガイドライン通則編3-5-3-4）。10月13日を1日目とすると、60日目は12月11日です（編集部が計算）。委員会の資料は、財産的被害のおそれがある例として「送金や決済機能のあるウェブサービスのログインIDとパスワードの組み合わせ」を挙げています。

APIの守り

OWASPのAPIセキュリティのリスク一覧（2023年版）は、1位に「オブジェクトレベルの認可の不備」を挙げ、利用者から渡されたIDでデータを取り出すすべての機能で、権限を確かめるべきだとしています。4位は「リソース消費の制限の欠如」です。JPCERT/CCは10月8日の注意喚起で、APIに単位時間あたりの件数の上限を設ける、公開していないAPIを含むすべての接続先で利用者を確かめる、APIの鍵に最小限の権限と有効期限を与える、漏えいが疑われる鍵をすぐ無効にできるようにする、などの対策を挙げました。

図表9公的機関・業界団体が示す対策と、今回の事案との関係

出典	対策	今回の事案との関係
JPCERT/CC	APIに単位時間あたりのリクエスト件数の上限を設ける	返す件数の上限がどう設定されていたかは公表されていない
JPCERT/CC	非公開のAPIを含め、各接続先でアクセスを制御する	第三者がどの経路でAPIを使えたのかは公表されていない
IPA	API連携など、アプリケーションの構成要素ごとに管理状況と権限を見直す。ログの内容と保持期間を見直す	APIが復号の鍵に届く権限を持っていた
OWASP	パスワードは暗号化ではなく、最新のハッシュ化の方式で保存する	古い暗号化の方式のまま、移行できていなかった
NICT	Androidアプリを公開する事業者は、公開しているAPIと接続先を洗い出し、ログを確かめる	同社はスマホアプリも提供している。今回の経路との関係は公表されていない

出典：JPCERT/CC（2026年10月8日）、IPA（2026年10月9日）、OWASP、piyolog（NICTの10月13日の注意喚起の内容）

11影響が広がった5つの理由

11つのAPIから、全会員の情報に届いた

流出した可能性がある対象は、10月13日13時36分までに登録した会員で、最大22,519,960件です。1回あたり、時間あたりに返す件数を抑える仕組みがどう設定されていたかは公表されていません。

2APIが、パスワードを元に戻す鍵に届いた

パスワードは暗号化されていましたが、データを返す窓口が復号の鍵にもアクセスできました。窓口に入られると、パスワードは読める状態で出ていきます。

3古い方式のまま、ハッシュ化に移れていなかった

同社は、システムの開発時期が古く、当時の暗号化の方式を使い続けていたと説明しています。

4正規の処理と、不正な呼び出しが見分けにくかった

定期的な処理にも使うAPIだったため、呼び出しがあること自体は異常に見えませんでした。気づくまでに約95時間かかりました。

5会員だと意識していない人がいた可能性がある

ケーブルテレビのスマホのオプションや、端末の紛失対策の機能を通じて、IDを作った人がいました。自分が対象だと気づきにくく、パスワードの使い回しを見直す動きにつながりにくかった可能性があります。

理由の整理は、公開された情報をもとにKEYRING編集部が行ったものです。第三者調査の結果が公表されれば、見直します。

12利用者と企業が取るべき対応

図表10ソースネクストの会員だった人が確かめる順番

いますぐ同じパスワードを使っているサービスを変える
ソースネクストIDと同じメールアドレスとパスワードの組み合わせを、ほかのサービスで使っていれば変える。流出したパスワードは読める状態で出ている。
いますぐ大事なサービスに多要素認証を設定する
メール、ネット銀行、通販など、使い回していたサービスから順に設定する。
次にログインするときソースネクストIDのパスワードを、公式サイトから再設定する
全会員のパスワードは無効化されている。届いたメールのリンクではなく、公式サイトからログインして再設定すると、偽のメールとの取り違えを防げる。
心当たりがなくてもスマホのオプションでIDを作っていないか確かめる
ケーブルテレビなどのスマホに付いていたセキュリティのオプションや、紛失対策の機能を使ったことがあれば、契約先の告知を確かめる。
しばらくの間同社や関係先を名乗る連絡に注意する
メール、SMS、電話、郵便物で個人情報やパスワードを求められても応じない。問い合わせは専用窓口（0120-035-116、10時〜18時、土日祝日も受付）へ。

出典：ソースネクストお知らせ・よくあるご質問、提供先の事業者の告知（piyolog）をもとにKEYRING編集部が作成

会員情報を持つ企業が確かめること

図表11自社で確かめる項目

確かめること	具体的には
会員情報を返すAPIの一覧	社内の定期処理用のものも含め、どのAPIが会員情報を返すか、外部から呼べるかを洗い出す
件数と相手の上限	1回あたり、時間あたりに返す件数の上限、呼び出せる相手と時間帯を決める
異常の検知	APIのログを、件数や相手の変化を知らせる監視につなげる
パスワードの保存方式	暗号化や古いハッシュ方式のまま残っていないか。ログインの機会に新しい方式へ移す計画があるか
鍵とデータの分離	データを返す仕組みが、復号の鍵に届く権限を持っていないか
提供先・販売店との連絡	自社のIDを使うサービスを他社経由で提供している場合、漏えい時にどう知らせるかを決めているか

出典：JPCERT/CC（2026年10月8日）、IPA（2026年10月9日）、OWASPをもとにKEYRING編集部が作成

13提言

今回の事案では、暗号化という守りがあっても、その鍵に届く窓口が開いていれば、パスワードは読める形で出ていくことが示されました。この調査から、KEYRINGは次の4つを提言します。

1パスワードは、元に戻せない形で持つ

暗号化ではなく、最新のハッシュ化の方式で保存する。古い方式が残っていれば、ログインの機会に順に移す。

2社内用のAPIも、不正に呼ばれる前提で守る

定期処理のためのAPIにも、呼び出す相手の確認、件数の上限、権限の絞り込みを設ける。

3件数の変化を見張る

ログを残すだけでなく、返した件数や呼び出した相手の変化で知らせが来るようにする。今回は約95時間、不正アクセスが続いた。

4自社のIDがどこで作られているかを把握する

他社のサービスの中で自社のIDが作られている場合、利用者は会員だと意識していない。漏えい時に、提供先と一緒に届く知らせ方を決めておく。

提言は、公開された情報をもとにKEYRING編集部が考えたものです。

セキュリティに関するご相談自社の状況を相談する

情報漏えいや脆弱性について、自社の状況の確認やご相談をお受けします。

ご相談はこちら→

ほかの調査レポート

No.012　2026年10月26日アンビションDXのランサムウェア被害は、なぜ58万件の情報漏えいのおそれに広がったのか→

No.011　2026年10月26日不正アクセスによる「ふるさとチョイス」会員情報445万件の流出で、何が分かり、何が分かっていないのか→

No.010　2026年10月26日リクルート「カーセンサー」の不正アクセスで、何がどこまで漏えいしたのか→ すべての調査レポート（12本）を見る

用語集

API: プログラムどうしがデータや機能をやり取りするための窓口
暗号化: 鍵を使ってデータを読めない形に変えること。鍵があれば元に戻せる
復号: 暗号化したデータを、鍵を使って元に戻すこと
ハッシュ化: データから決まった長さの値を計算すること。一方通行の計算で、値から元のデータを計算で戻すことはできない。ただし短いパスワードなどは総当たりで割り出されうる
ソルト: ハッシュ化のときにパスワードごとに加えるランダムな文字列。同じパスワードでも違う値になる
平文: 暗号化もハッシュ化もしていない、そのまま読める状態
パスワードの使い回し: 同じパスワードを複数のサービスで使うこと。1か所で漏れると、ほかのサービスにも入られるおそれがある
多要素認証: パスワードに加えて、スマートフォンへの確認など別の要素も使ってログインする方式
レート制限: APIなどに、時間あたりの呼び出し回数や返す件数の上限を設けること
漏えい等報告: 個人データの漏えいなどが起きたとき、個人情報保護委員会へ報告し、本人へ通知する義務

参考文献

このレポートは2026年10月26日時点の公開情報にもとづきます。ソースネクストは外部の専門機関による調査を続けており、原因や影響の範囲は今後の発表で変わる可能性があります。新しい情報があれば更新します。英語の資料の引用は編集部の翻訳です。最終閲覧日はいずれも2026年10月26日です。