ソースネクスト ― 会員情報取得APIの不正利用で情報流出

要点

発表された事実

ソースネクスト株式会社は2026年10月15日、同社が管理する会員情報に第三者による不正アクセスが行われ、会員の個人情報が外部に流出したことが判明したと公表した（ソースネクストの発表）。
2026年10月13日（火）9時頃に不正アクセスを確認し、外部からの不正な通信の遮断などの緊急措置を講じ、同日13時36分までに封じ込めを完了した（同）。
その後の調査で、10月9日（金）10時頃から第三者による不正アクセスがあり、「会員情報取得API」を不正に利用して会員情報を取得したことが判明した（同）。
対象件数は22,519,960件。項目はメールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、システム固有の識別情報（加入サービス・登録日・ログイン日等）。登録状況により対象項目は異なる（同）。
対象は2026年10月13日13時36分までに登録があった会員（FAQ）。
クレジットカード情報は対象システムに保存されておらず、流出の対象に含まれない（発表）。
原因となったシステムの脆弱性を修正し、漏えい対象に含まれるパスワードをリセットする措置を完了した（FAQ）。10月16日の追記で「すべてのお客様のパスワードはすでに変更済み」で従来のパスワードは使えないとしている（発表）。
対象者には10月15日以降順次メールで案内し、メールアドレス未登録者には書面（郵送）で連絡する予定（FAQ）。
10月15日に個人情報保護委員会へ報告済み。10月16日に所轄警察署へ被害申告を行う予定（発表）。
【2026-10-20追記】10月20日に確認したFAQでは、10月16日に所轄警察署へ相談したこと、同日に外部の独立したセキュリティ専門機関へ依頼して第三者調査を始めたことが示されている。原因となった脆弱性の修正とあわせて、ほかに脆弱性がないかの調査も始めたという（FAQ）。

わかったこと

【2026-10-20追記】パスワードの保存形式：同社広報はITmedia NEWSの取材に「パスワードは暗号化して保存していた」と答えた一方、「暗号化されたパスワードを復号するための鍵にアクセス可能なシステム（API）に対して、不正アクセスが行われた」と説明した。「復号鍵そのものは流出していないが、パスワードが復号された状態で外部に流出したことを確認している」とし、攻撃者が平文のパスワードを取得したことを認めた（ITmedia NEWS、10月19日）。
【2026-10-20追記】ハッシュ化していなかった理由について、同社は「当該システムは開発時期が古く、当時採用した暗号化方式を継続して使用していた。結果として、最新のハッシュ化方式への移行ができていなかった」と説明した。開発時期と、再設定後のパスワードの管理方式は回答を控えた（同）。
【2026-10-20追記】Yahoo!ニュースエキスパートの山口健太氏の取材に、同社広報は対象件数を「APIのログのデータから特定した」と答え、APIの戻り値にパスワードを含めていた理由を「他システムとの連携で、パスワードが利用されていたため」と説明した（同記事はソースネクストからの情報提供に基づき表現を修正したと追記している）（Yahoo!ニュースエキスパート）。ITmedia NEWSの取材には、APIの利用目的やシステム間の連携状況は捜査・調査に協力中だとして詳細を控えた（ITmedia NEWS）。
【2026-10-20追記】外部の独立したセキュリティ専門機関による第三者調査は10月16日に始まっており、所轄警察署への相談も同日に済んでいる（FAQ、10月20日確認）。

わかっていないこと

会員情報取得APIの具体的な欠陥（認証・認可の不備か、認証情報の悪用か等）（【2026-10-20追記】同社は「個別の実装の詳細は、新たな攻撃を助長するおそれがある」として回答を控えている）
再設定後のパスワードの管理方式（ハッシュ化に移行したか）
22,519,960件のうち実際に取得された件数・項目の確定
10月9日から13日まで4日間検知できなかった理由
外部の第三者調査の結果（FAQでは調査の準備中）（【2026-10-20追記】FAQは10月16日に調査を開始したと更新された。結果がまとまる時期は示されていない）

関係しそうな既知の手口

（考察）NICTが注意喚起した、公開アプリを解析してAPIを突く「A2B攻撃」や、JPCERT/CCが示した「API経由での不正な操作」と同じ系統の可能性がある。ただし本件の経路は未公表で、同型かどうかはわからない。

概要

会員情報取得APIが4日間にわたり不正利用され、最大約2,252万件の会員情報が流出した可能性がある。
対象にパスワードが含まれており、同じメールアドレスとパスワードの組み合わせを他サービスで使っている場合はリスト型攻撃の材料になる。
保存形式が未公表のため、パスワードがどの程度保護されていたかは判断できない。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-09（金）10時頃	第三者による不正アクセス開始。会員情報取得APIを不正利用（発表）
2026-10-13（火）9時頃	不正アクセスを確認、不正な通信を遮断（同）
2026-10-13（火）13時36分	封じ込め完了（同）
2026-10-15（木）	公表、個人情報保護委員会へ報告。対象者へのメール案内を開始（発表・FAQ）
2026-10-16（金）	パスワード再設定サイトにアクセスが集中しつながりにくいと追記。所轄警察署へ被害申告予定（発表）
2026-10-16（金）	所轄警察署へ相談し、外部の独立したセキュリティ専門機関に依頼して第三者調査を開始（FAQ、10月20日確認）
2026-10-19（月）	ITmedia NEWSの取材に、パスワードは暗号化保存だったが、復号鍵にアクセスできるAPIへの不正アクセスで復号された状態で流出したと説明（ITmedia NEWS）

発表内容の整理

事実（ソースネクストの発表・FAQ）

項目	内容
対象システム	会員情報を管理するシステム（会員情報取得API）
件数	22,519,960件（流出した可能性）
対象情報	メールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、システム固有の識別情報
対象外	クレジットカード情報（対象システムに非保存）
対象者	2026-10-13 13:36までに登録があった会員
対応	通信遮断、脆弱性修正、パスワードリセット、全システム緊急点検、継続監視。10/16に外部機関の第三者調査を開始（FAQ）
報告	個人情報保護委員会（10/15）、警察へ被害申告予定（10/16）。FAQでは10/16に所轄警察署へ相談済み
問い合わせ	0120-035-116（10時〜18時、土日祝含む）

考察

「会員情報取得API」という名称と、4日間で2,000万件超を取得されたという規模からは、正規の取得機能が大量に呼び出された構図が考えられる。認可やレート制限、大量取得の検知が働かなかった可能性はあるが、原因は未公表で推測の域を出ない。

FAQは「パスワード」を流出項目に挙げているが、保存形式を示していない。ハッシュ化されていてもアルゴリズム次第では解析されうるため、使い回しの変更は形式にかかわらず必要と考える。

【2026-10-20追記】保存形式は「復号できる暗号化」で、APIが復号した値を返していたことがわかった。鍵が漏れていなくても、鍵を使える側のシステムに入られれば平文で取られるので、利用者から見れば平文で保存していたのと同じ結果になった（考察）。2,252万件分のパスワードが平文で出回る前提で、同じパスワードを使っている他のサービスは急いで変更する必要がある。

ITmediaは、SNSで「パスワード再設定の通知メールが詐欺に見えて開くのが怖い」との戸惑いが広がっていると報じている（ITmedia）。正規の案内メールに便乗したフィッシングが出てくる余地がある（考察）。

利用者・運用者がいまできること

事実（発表に基づく）

ソースネクストのアカウントはログイン時の案内に従ってパスワードを再設定する。
同じメールアドレスとパスワードの組み合わせを他サービスで使っている場合は、そちらも変更する。
同社や関係先を装った不審なメール・SMS・電話・郵便物に注意し、URLや添付を開かない。

考察（利用者向け）

再設定はメール内のリンクではなく、ブックマークや公式サイトから自分でアクセスすると安全。
会社名・役職名も対象のため、業務用メールアドレスで登録していた場合は職場を狙ったフィッシングにも注意する。

考察（運用者向け）

会員情報を返すAPIに、サーバー側の認可・レート制限・大量取得のアラートがあるか点検する。
パスワードは強いハッシュ関数（bcrypt/Argon2など）とソルトで保存し、API応答に含めない。

参考リンク

原文をGitHubで読む ↗