ソースネクスト不正アクセス2251万9960件という数字と確認範囲を分ける

資料で確認できること

10月9日ごろからの不正アクセスを、13日に確認して封じ込め

ソースネクストは2026年10月15日、会員情報を管理するシステムへの第三者の不正アクセスと、会員情報の外部流出を公表しました。会社は10月13日9時ごろに不正アクセスを確認し、同日13時36分までに外部からの不正な通信を遮断して封じ込めを完了したと説明しています。

その後の調査では、第三者が10月9日10時ごろから会員情報取得APIを不正利用して情報を取得したと判明したとしています。確認日、攻撃の開始とされる日時、公表日は異なります。

• 資料 01ソースネクスト株式会社：当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ

当事者の説明

流出した可能性のある全項目と、対象外の情報

会社が示した対象件数は22,519,960件です。対象となり得る項目は、メールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、加入サービス・登録日・ログイン日などのシステム固有情報です。

一方で、これは可能性のある情報の全項目であり、すべての会員について全項目が流出したわけではないと会社は明記しています。クレジットカード情報は対象システムに保存されておらず、流出対象に含まれないと説明されています。

• 資料 01ソースネクスト株式会社：当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ

当事者の説明

パスワード再設定と、同じ組み合わせを使う他サービスの確認を案内

ソースネクストは、ログイン時にパスワードを再設定する措置を講じています。同じメールアドレスとパスワードの組み合わせを他サービスでも使っている場合は、そのサービスのパスワードも変更するよう求めています。

また、同社や関係先を装うメール、SMS、電話、郵便物に注意し、身に覚えのないリンクや添付ファイルを開かず、不審なサイトへ情報を入力しないよう案内しています。対象となる会員には登録メールアドレス宛てに順次案内するとしています。

• 資料 01ソースネクスト株式会社：当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ

当事者の説明

封じ込め後の不正アクセスは確認されていないと説明

10月15日の発表時点で、会社は封じ込め完了後の不正アクセスを確認していないとしています。外部の専門調査機関と詳細調査を進め、全システムの緊急点検も実施していると説明しました。

個人情報保護委員会への報告は10月15日に完了したとしています。所轄警察署への被害申告は10月16日に行う予定と記載されていますが、本稿確認時点では、予定どおり申告が完了したことまで確認できる資料はありません。

• 資料 01ソースネクスト株式会社：当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ

未確認の点

件数の単位、会員ごとの対象項目、二次被害は確定していない

10月16日の確認時点で、22,519,960件が重複を除いた人数と同じか、各会員のどの項目が実際に取得されたか、パスワードの保存形式、侵入経路やAPIの具体的な弱点、対象者への通知完了時期は、確認した公表資料だけでは確定できません。

不正アクセスに起因する不正ログイン、フィッシング、金銭被害の件数も資料には示されていません。『確認されていない』ことと『今後も起きない』ことは同じではなく、逆に個別の被害を資料なしに作ることもできません。

• 資料 01ソースネクスト株式会社：当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ

確認の範囲

このコラムの確認範囲

本稿は2026年10月16日に取得したソースネクストの10月15日付発表と、個人情報保護委員会の10月7日付注意喚起を照合したものです。JBJはソースネクスト、会員、調査機関、関係当局、攻撃者への直接取材や、システム・ログ・流出情報の独立調査を行っていません。掲載画像は調査資料を照合する姿勢を表した説明用イメージで、実際の会社・職員・会員・設備・画面・情報・被害記録ではありません。

• 資料 01ソースネクスト株式会社：当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ
• 資料 02個人情報保護委員会：大規模な漏えい等事案を踏まえた対応について（注意喚起）

JBJの見解

大きな件数だけでは、自分の情報と必要な対応を判断できない

メールアドレスやパスワードだけでなく、氏名、住所、電話番号、生年月日などが列挙された発表を見れば、会員はなりすましやフィッシングへの不安を抱きます。対象件数が大きいほど、SNSでは『全項目が全員分流出した』という受け止めが広がりやすくなります。

しかし会社は、22,519,960件を『流出した可能性のあるお客様情報』の対象件数として示し、登録状況によって対象項目が異なると説明しています。本稿は、件数、情報項目、確認済みの対応、未確認の個別影響を分けて読みます。

JBJの見解

公式案内、登録情報、変更履歴、不審な接触を分けて残す

会員は、公式発表のURLと確認日時、公式メールの受信日時、登録していた情報、パスワードを変更した日時、同じ組み合わせを使っていたサービス、不審な連絡の送信元と要求内容を分けて記録してください。通知メールのリンクではなく、公式サイトを自分で開いて確認する方法が安全です。

個人情報保護委員会も大規模な漏えい事案を踏まえた注意喚起を公表しています。組織側には調査・報告・本人通知を進める責任があり、利用者側には認証情報と不審な連絡を具体的に確認できる案内が必要です。

• 資料 01ソースネクスト株式会社：当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ
• 資料 02個人情報保護委員会：大規模な漏えい等事案を踏まえた対応について（注意喚起）

JBJの見解

説明責任を求めながら、人数と個別被害を混同しない

ソースネクストには、件数の定義、対象者と項目の精査、侵入経路、パスワードの保護状況、個別通知、再発防止を継続して説明する責任があります。利用者が自分のリスクを判断できる更新を求めることは正当な批判です。

同時に、対象件数だけから全員の全項目流出や具体的な金銭被害を断定し、未確認の会員情報を探したり拡散したりすることは避けるべきです。JBJは、会社が認めた事実を小さくせず、未確認の範囲も大きくしません。