要点
発表された事実
- NTTソルマーレ株式会社は2026年10月16日、電子書籍ストア「コミックシーモア」に第三者による不正アクセスがあり、一部の会員の会員情報が流出したと公表した（お詫びとお願い）。
- 10月15日、サーバーへの外部からの不正なアクセスが行われた可能性が高いと判断し、午前11時35分にサービスを停止して遮断対応をした。16日、会員情報を管理するシステムへの不正アクセスと、内部に保管する会員情報の第三者への流出を確認した（同）。
- 流出した情報は、メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネーム。対象件数は精査中（同）。
- クレジットカード情報は対象システムで保有しておらず、流出していない。購入履歴の流出、MY本棚の流出・消失・欠損は現時点で確認されていない（同）。
- 新たな不正アクセスや被害の拡大は確認されていない。サービス再開時には全会員にパスワードの再設定を求める予定（同）。
- 【2026-10-19追記】NTTソルマーレは10月18日の第3報で、原因を特定でき、同様の不正アクセスと被害拡大の防止措置を実施していると公表した。侵入経路と攻撃手法を特定して対処したが、その内容は明らかにしていない。影響範囲は特定中で、前回発表した会員情報に加え、一部のシステムログファイルも閲覧・取得されたことが判明したため、ログに会員情報が含まれていないかを精査している。流出した会員情報の項目は第2報と同じ（メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネーム）で、件数は引き続き精査中。流出が確認された会員には確認でき次第連絡する。クレジットカード情報は対象システムで保有しておらず、購入履歴の流出やMY本棚の流出・消失・欠損は現時点でも確認されていない（第3報）。
- 【2026-10-19追記】サービス再開には、さらなる安全性の確保と関係機関との調整が必要なため、正確な再開日時は示せないとした。安全性が確保された段階で、購入済み書籍のWEBでの閲覧から順次再開できるよう準備している。再開時には全会員にパスワードの再設定を求める予定（同）。
- 【2026-10-23追記】NTTソルマーレは10月21日の第4報で、流出が確認された情報を公表した。会員データベース上の登録情報は319件（メールアドレス、ハッシュ化されたパスワード、ニックネーム、生年月日、性別）。システムログファイル上の情報は最大約420万件（同じ客の重複を含む可能性あり。メールアドレス、ニックネーム、生年月日、性別で、パスワードは含まれない）。該当者にはメールで連絡する。クレジットカード情報は対象システムで保有しておらず、購入履歴の流出やMY本棚の流出・消失・欠損は確認されていない（第4報）。
- 【2026-10-23追記】再開時期は関係機関と調整中で未定。購入済み作品のWEB閲覧と読み放題の閲覧機能の再開を最優先にし、購入や決済は安全性が確認できたものから順次再開する。止まっていた期間の自動引き落としは基本的になく、期限切れポイントの再付与やお詫びの対応を検討している。再開時には全員にパスワードの再設定を求める予定（同）。
わかったこと
- 【2026-10-18】侵入経路と攻撃手法は特定され、対処済み。ただし内容は公表されていない（第3報）。
- 【2026-10-18】会員情報に加えて、一部のシステムログファイルも閲覧・取得されていた。ログに会員情報が含まれるかは精査中（同）。
- 【2026-10-18】再開は購入済み書籍のWEB閲覧から順次の予定。日時は未定（同）。
- 【2026-10-21】流出件数が判明した。会員データベースから319件、システムログファイルから最大約420万件（重複を含む可能性あり、パスワードは含まれない）（第4報）。
- 【2026-10-29】10月15日から止めていたサービスを一部の機能に限って再開した。再開したのは、購入済み作品のWEBブラウザでの閲覧、読み放題サービスのWEBブラウザでの利用、会員情報の変更、月額メニューと読み放題サービスの解約申請で、使うにはパスワードの再発行が必要。本棚アプリ（近日再開予定）、作品とポイントの購入（決済手段ごとに順次再開予定）、新刊自動購入、退会、各種履歴の確認、新規会員登録はまだ再開していない。停止期間中の料金の自動引き落としは基本的になく、一部の決済手段で引き落とされた人には個別に対応する。停止中に期限を迎えたポイントは後日対応する（第5報）。
わかっていないこと
- 流出した会員情報の件数（【2026-10-19追記】第3報でも「引き続き精査中」）（【2026-10-23追記】第4報で、会員データベース319件、システムログ最大約420万件と公表）
- 侵入経路と原因の中身（【2026-10-19追記】第3報で「特定」して対処済みとしたが、内容は非公表）
- 【2026-10-19追記】閲覧・取得されたシステムログファイルの種類と、そこに含まれていた会員情報の有無・範囲（【2026-10-23追記】第4報で、ログに含まれていたのはメールアドレス、ニックネーム、生年月日、性別で、最大約420万件と公表。ログの種類は未公表）
- 不正アクセスが始まった時期と、15日に気づいたきっかけ
- パスワードハッシュの方式（アルゴリズムやソルトの有無）
- サービス再開の時期（【2026-10-19追記】第3報で、購入済み書籍のWEB閲覧から順次再開する準備中とされたが、日時は未定）（【2026-10-29追記】第5報で一部機能を再開。本棚アプリや購入・決済など残りの機能の再開時期は未定）
関係しそうな既知の手口
- （考察）メールアドレスとパスワードのハッシュがセットで出た場合、ハッシュが解読されると、同じ組み合わせで他のサービスにログインを試す「パスワードリスト型攻撃」に使われる。同社が他社サービスのパスワード変更を求めているのはこのためだ。
概要
- 国内最大級の電子書籍ストア「コミックシーモア」で、会員情報を管理するシステムから、メールアドレスやハッシュ化されたパスワードなどが流出した。
- 15日昼にサービスを止めて遮断し、16日に流出を確認した。件数と侵入経路はまだ公表されていない。
- 再開時に全会員のパスワードを再設定させる予定で、それまでの間は、同じパスワードを使う他のサービス側の変更が利用者の主な対策になる。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-15（木） | サーバーへの外部からの不正なアクセスが行われた可能性が高いと判断。午前11時35分にサービスを停止し、遮断対応（お詫びとお願い）。同日、「緊急メンテナンスについて」を公表（緊急メンテナンス） |
| 2026-10-16（金） | 会員情報を管理するシステムへの不正アクセスと、会員情報の第三者への流出を確認し、公表（お詫びとお願い） |
| 2026-10-18（日） | 第3報。侵入経路と攻撃手法を特定して対処。会員情報に加えて一部のシステムログファイルも閲覧・取得されたことが判明し、精査中。件数は精査中、再開日時は未定（第3報） |
| 2026-10-21（水） | 第4報。会員データベースの登録情報319件と、システムログファイル上の情報最大約420万件の流出を確認。再開は購入済み作品のWEB閲覧と読み放題の閲覧を最優先、時期は未定（第4報） |
| 2026-10-29（木） | 第5報。購入済み作品と読み放題のWEBブラウザでの閲覧、会員情報の変更、解約申請などに限ってサービスを再開（利用にはパスワードの再発行が必要）。本棚アプリや購入・決済は順次再開の予定（第5報） |
発表内容の整理
事実（NTTソルマーレの発表）
| 項目 | 内容 |
|---|---|
| 対象サービス | 電子書籍ストア「コミックシーモア」 |
| 流出したシステム | 会員情報を管理するシステム |
| 流出した情報 | メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネーム |
| 件数 | 精査中（【2026-10-19追記】第3報時点も精査中）（【2026-10-23追記】第4報で、会員データベース319件、システムログファイル最大約420万件） |
| 流出していないもの | クレジットカード情報（対象システムで非保持） |
| 現時点で確認されていないもの | 購入履歴の流出、MY本棚の流出・消失・欠損 |
| サービス | 10月15日11時35分から停止。10月29日に一部機能を再開（残りは順次） |
| 再開時の対応 | 全会員にパスワードの再設定を依頼する予定 |
| 追加で判明した流出（第3報） | 【2026-10-19追記】一部のシステムログファイルの閲覧・取得（会員情報を含むか精査中） |
| 調査 | 外部の専門機関と連携して原因究明と影響範囲を調査 |
事実（報道）
- 朝日新聞は、NTTソルマーレがNTT西日本の子会社であること、コミックシーモアが月間利用者数4千万人超の国内最大級の電子書籍販売サイトであること、停止中はログインや書籍の購入・閲覧ができない状態が続いていることを伝えた（朝日新聞）。
考察
流出した項目は、ログインに使うメールアドレスとパスワードのハッシュに、生年月日・性別が加わった組み合わせだ。ハッシュは「そのままでは読み取れない」が、方式が弱かったり、よくあるパスワードだったりすれば元に戻される。同社が再開時に全会員のパスワード再設定を予定しているのは、そのリスクを見込んだ対応と読める（考察）。
利用者への影響は、情報の流出だけではない。電子書籍は買った本をサービス上の本棚で読む形なので、サービスが止まると、購入済みの本も読めなくなる。同社がMY本棚の「流出・消失・欠損」まで確認状況を書いているのは、利用者にとって買った本が残っているかが大きな関心事だからだろう（考察）。
関係しそうな既知の手口
事実（既知の知見・同種事例）
- JPCERT/CCは10月15日、相次ぐ国内の不正アクセスに関連する攻撃元サーバーの調査で、攻撃者がAndroidアプリの配布ファイルを解析してAPIを特定し、悪用しようとしていた痕跡を確認したと公表した（JPCERT/CC Eyes）。
- 10月の国内では、ソースネクスト（会員情報取得APIの不正利用、パスワードも対象、記事）やビューティガレージ（パスワードハッシュを含む、記事）など、会員の認証情報まで含む流出が続いている。
考察
- 本件の経路は不明で、上の事例と同じとは言えない：NTTソルマーレは「サーバーへの不正なアクセス」とだけ書いており、APIの悪用か、別の脆弱性か、認証情報の窃取かはわからない。アプリを持つ大規模な会員サービスという点で、10月の一連の事案と条件は似ているが、関係は続報を待つ必要がある。
- 停止の判断は早かった：「可能性が高い」と判断した当日の昼にサービスを止め、翌日に流出の事実と項目を公表している。件数や経路より先に、利用者が取るべき行動（他社のパスワード変更）を示した順番は妥当だと思う。
利用者・運用者がいまできること
事実（発表に基づく）
- コミックシーモアと同じメールアドレスとパスワードの組み合わせを他のサービスで使っている場合は、そのサービスのパスワードを変える（お詫びとお願い）。
- 同社などを装ったメールに注意する。身に覚えのないメールのURLや添付ファイルは開かず、不審なサイトに個人情報やパスワードを入力しない（同）。
- サービス再開時に、全会員のパスワード再設定が案内される予定（同）。
考察（利用者向け）
- 再開の案内メールを装ったフィッシングが出やすい。パスワードの再設定は、メールのリンクからではなく、公式アプリやブックマークしたサイトから行う。
- 他のサービスでパスワードを変えるときは、使い回しをやめ、可能なら多要素認証を有効にする。
考察（運用者向け）
- 会員のパスワードは、総当たりに強いハッシュ方式（十分なコストを設定したもの）と、利用者ごとに違うソルトで保存する。
- 会員DBの大量の読み出しや、通常と違う管理系の操作を検知できるようにしておく。
参考リンク
- 『コミックシーモア』会員情報の流出に関するお詫びとお願い（NTTソルマーレ、2026-10-16）
- 『コミックシーモア』の緊急メンテナンスについて（NTTソルマーレ、2026-10-15）
- 「コミックシーモア」不正アクセスで会員情報が流出 サービスは停止（朝日新聞、2026-10-16）
- 連続不正アクセス事案の攻撃手法に関する調査（JPCERT/CC Eyes、2026-10-15）
- 『コミックシーモア』会員情報の流出に関するご報告（第3報）（NTTソルマーレ、2026-10-18）
- 『コミックシーモア』お客様の情報流出に関するご報告（第4報）（NTTソルマーレ、2026-10-21）
- 『コミックシーモア』サービスの一部再開のお知らせ（第5報）（NTTソルマーレ、2026-10-29）