incidentlog.jp最終更新 2026-10-25
IncidentLogインシデントログ

2026-10-15 公表 · sourcenext-20261015

ソースネクスト：当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ

不正アクセス情報漏えい第1報AI関与: 未評価
公開データ JSON（CC BY 4.0）
影響件数
2,251万9,960件
流出した可能性のあるお客様情報の対象件数 · 可能性
対象となった情報
メールアドレス、氏名、住所
他 4 種
侵入経路
API の不正操作
公表に明記
漏えいの確認
一部確認
第1報

要約

公表文の事実のみ

ソースネクストは2026年10月15日、会員情報を管理するシステムが第三者の不正アクセスを受け、会員登録している顧客の個人情報が外部に流出したと公表した。10月13日9時頃に不正アクセスを確認し、同日13時36分までに外部からの不正な通信を遮断して封じ込めを完了した。その後の調査で、10月9日10時頃から会員情報取得APIが不正に利用され、顧客情報が取得されていたことが判明した。流出した可能性のある情報は22,519,960件で、メールアドレス、パスワード、氏名、カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、加入サービスや登録日などシステム固有の識別情報を含む。登録状況により対象項目は異なり、クレジットカード情報は対象システムに保存されておらず対象外とした。同社はログイン時にパスワードの再設定を求め、対象者へメールで順次案内するとともに、10月15日に個人情報保護委員会へ報告し、16日に所轄警察署へ被害申告を行う予定とした。FAQでは原因となったシステムの脆弱性を修正したと説明し、外部の第三者調査を準備中としている。

組織
ソースネクスト株式会社企業
業種
情報通信業 · 情報サービス・SaaS
発生（判明）期間
2026-10-09 〜 2026-10-13
根拠:「10月9日（金）10時頃から不正アクセスがあり」[s1]「10月13日（火）13時36分までに不正アクセスの封じ込めを完了」[s1]
検知日
2026-10-13
根拠:「10月13日（火）9時頃、当社の会員情報を管理するシステムに対する不正アクセス」[s1]
第1報の公表日
2026-10-15
根拠:「2026年10月15日 各位 ソースネクスト株式会社」[s1]
影響件数
流出した可能性のあるお客様情報の対象件数 22,519,960件（可能性）
根拠:「対象件数：22,519,960件」[s1]
対象となった情報
メールアドレス、氏名、住所、電話番号、生年月日、勤務先・職務情報、その他
漏えいの確認状況
一部確認
侵入経路
API の不正操作 公表に明記
根拠:「会員情報取得APIを不正に利用し」[s1]
原因（公表の記述）
第三者が2026年10月9日10時頃から会員情報取得APIを不正に利用し、登録顧客の情報を取得した。FAQでは、発覚後直ちに原因となったシステムの脆弱性を修正したと説明している。脆弱性の種別や認証の扱いは公表されていない。
根拠:「原因となったシステムの脆弱性（セキュリティの弱点）を修正し」[s2]
公表文の記載項目
原因 あり件数 あり時系列 あり最終報告 なし

経過

日数差は全事案の中央値と並べる（統計 §初動の相場）
  1. 発生2026-10-09〜 2026-10-13
  2. 4 日中央値 2 日検知2026-10-13
  3. 2 日中央値 4 日第1報2026-10-15
  4. 1 日続報2026-10-163 件
  5. 最終報告未公表

記録にある日付だけを置いています。「未公表」は当サイトが該当する公表を確認していないことを示し、公表されていないことの断定ではありません。中央値は統計ページの全期間の値です。

影響を受ける可能性のある人へ

公表文の記載からの整理。推測は含まない

対象になりうる人

  • 漏えいが一部確認されている。公表文に記載された対象の範囲は「流出した可能性のあるお客様情報の対象件数」。

すべきこと

  • その組織を名乗るメール・SMS・電話に注意する。リンクは開かず公式サイトから確認する。
  • 従業員・取引先向け: 社内の連絡経路で指示を確認する。組織を名乗る外部からの指示には応じない。
  • なりすましによる契約・申込に注意する。

公表文・続報

公表の時系列

各行に原文と保存版へのリンク
  1. 2026-10-15第1報当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ

    ソースネクストは、会員情報を管理するシステムへの第三者の不正アクセスで、登録顧客の個人情報が外部に流出したと公表した。10月13日に確認し同日封じ込めを完了、不正アクセスは10月9日から会員情報取得APIを通じて行われていた。対象は22,519,960件で、メールアドレス、パスワード、氏名、住所、電話番号、生年月日などを含み、カード情報は対象外とした。

    原文 · 保存版（当サイト）
  2. 2026-10-15続報当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ｜ソースネクスト

    ソースネクストは、2026年10月13日9時頃に会員情報管理システムへの不正アクセスを確認した。第三者が10月9日頃から会員情報取得APIを不正利用し、登録顧客の情報を取得した。流出した可能性のある情報は22,519,960件で、氏名や住所、メールアドレス、パスワードなどが含まれる。同社は同日中に封じ込めを完了し、外部の専門調査機関と調査を進めている。

    原文
  3. 2026-10-15続報当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ｜ソースネクスト

    ソースネクストは、2026年10月13日9時頃に会員情報を管理するシステムへの不正アクセスを確認した。第三者が10月9日頃から会員情報取得APIを不正に利用し、登録顧客の情報22,519,960件が流出した可能性がある。同社は13日に封じ込めを完了し、外部専門機関と調査を進めている。

    原文
  4. 2026-10-16続報当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ｜ソースネクスト

    ソースネクストは2026年10月16日の追記で、パスワード再設定サイトへのアクセスが集中しており、つながりにくい状況にあることを明らかにした。すべての会員のパスワードは既に変更済みで、従来のパスワードは利用できず、しばらく時間をおいてから新しいパスワードを再設定するよう案内している。

    変更点: 2026年10月16日付で追記された、パスワード再設定サイトへのアクセスが集中し、つながりにくい状況であると記載、すべての会員のパスワードは変更済みで、従来のパスワードは利用できないと記載、しばらく時間をおいてから新しいパスワードを再設定するよう依頼

    原文 · 保存版（当サイト）

背景と関連情報

報道・分析・公的機関の出典から · 2026-10-15

公表によれば、ソースネクストは2026年10月13日9時頃に会員情報を管理するシステムへの不正アクセスを確認し、同日13時36分までに外部からの不正な通信を遮断して封じ込めを完了した。その後の調査で、10月9日10時頃から会員情報取得APIが不正に利用されていたことが判明した[s3]。不正アクセスの開始から確認まで約4日間あり、検知時点では封じ込めの完了後に不正アクセスは確認されていないと同社は説明している[s3]。

報道では、共同通信や新潟日報が10月15日、顧客の氏名、電話番号、パスワードなど最大で約2251万件の個人情報が流出した可能性があると伝えた。47NEWSの配信では「約2250万件」とする見出しも並んでおり、公表文の22,519,960件を丸めた表記とみられる[s4]。

公表によれば、流出した可能性のある項目には、メールアドレスとパスワードの組み合わせ、氏名、住所、電話番号、生年月日、会社名、役職名、部署名のほか、加入サービス・登録日・ログイン日などが含まれる。ただし全項目が全員分流出したわけではなく、登録状況によって対象項目は異なる。クレジットカード情報は対象システムに保存されておらず、流出の対象外とされている[s3]。

公表文は、流出した可能性のある情報を悪用した、同社や関係先を装うフィッシングメール、SMS、電話、郵便物の到来を想定している。あわせて、メールアドレスとパスワードの組み合わせを用いた他サービスへのログイン試行の恐れにも言及し、同じ組み合わせを他サービスでも使っている場合はそちらのパスワードも変更するよう求めている[s3]。

同社は対応として、ログイン時にパスワードの再設定を求める措置をとっている。対象者にはメールで順次案内し、外部の専門調査機関と連携して詳細な調査を進めるとともに、全システムの緊急点検を実施している。個人情報保護委員会へは10月15日に報告を完了し、10月16日に所轄警察署へ被害申告を行う予定とした。専用の問い合わせ窓口も設置されている[s3]。

同社は、システムのセキュリティ対策、監視体制、情報管理体制を抜本的に見直すとしている[s3]。

なお、デジタルデータフォレンジックの解説記事は、2022年11月15日から2023年1月17日の間に同社公式サイトで購入・カード登録をした顧客を対象とする、過去のクレジットカード情報の漏えい事案を扱っている。同記事によれば、この過去事案ではECサイトの脆弱性を突かれ、決済アプリケーションが改ざんされて入力情報が抜き取られた可能性があり、カード情報は最大112,132件、個人情報は最大120,982件とされた[s5]。今回の事案はカード情報を含まない会員情報取得APIの不正利用であり、攻撃の経路や対象システムは異なる[s3][s5]。

攻撃グループ

帰属の根拠と確度

この事案に結びついた攻撃グループの記録はありません。

手口と痕跡

API の不正操作: アプリ解析で得た API キー、権限昇格、NoSQL インジェクション · ATT&CK T1190, T1078

API の不正操作は、公開アプリの解析で得た API キーや内部 API の欠陥を突き、権限変更や情報窃取を行う手口で、画面操作を想定した認可の甘さが弱点になる。

兆候と見分け方

  • JPCERT/CC は不審な送信元 IP として 3.112.252[.]14、54.95.112[.]6 など複数を公表した。調査時点では正規利用の可能性もあるとしている s1
  • User-Agent に curl/7.88.1 や python-requests/2.34.2 が見られた。Metabase 悪用では Metabase-GHSA-vwf4/2.0 も確認されている s1
  • IPA は、作ったはずのないアカウントや、無効化したはずのアカウントの再有効化を確認するよう求めている s1s4
  • IPA は、エラー出力量や平時との差異をログで確認し、直近 1 ヵ月から 3 ヵ月へ範囲を広げて調べるよう示している s4

備えの要点

  • JPCERT/CC は、API へのリクエスト件数制限と、ログインや検索など悪用リスクの高い機能への個別の利用回数制限を勧めている s1
  • 非公開 API を含む全エンドポイントでアクセス制御を行い、許可された利用者と HTTP メソッドだけを受け付けるよう JPCERT/CC は勧めている s1
  • API トークンは最小権限と有効期限を設定し、漏えいが疑われるものを速やかに無効化できるようにする、と JPCERT/CC は述べている s1
  • IPA は、外部公開範囲の見直し、多要素認証の強化、API 連携の管理状況と権限付与の見直し、ログ保持期間の見直しを挙げている s4

この手口に共通する一般的な解説で、この事案の公表内容ではありません。出典番号（sN）は手口ページの出典一覧を指し、全文も同ページに。

AI関与の評価

昇格には出典が要る

AI関与: 未評価

公表文に AI への言及はなく、評価はまだ行っていません。

関連

同じ組織・委託先・製品・業種・手口の記録

一覧で探す: 2026年の統計 · 情報通信業の事案 · API の不正操作の事案

出典

項目別の根拠引用（7）
  • disclosedAt: 「2026年10月15日 各位 ソースネクスト株式会社」[s1]
  • detectedAt: 「10月13日（火）9時頃、当社の会員情報を管理するシステムに対する不正アクセス」[s1]
  • occurredFrom: 「10月9日（金）10時頃から不正アクセスがあり」[s1]
  • occurredTo: 「10月13日（火）13時36分までに不正アクセスの封じ込めを完了」[s1]
  • affected.counts: 「対象件数：22,519,960件」[s1]
  • cause.initialAccess: 「会員情報取得APIを不正に利用し」[s1]
  • cause.description: 「原因となったシステムの脆弱性（セキュリティの弱点）を修正し」[s2]

この記録について

記録の作成
2026-10-15
更新
2026-10-23
出典の最終取得
2026-10-15
識別子
sourcenext-20261015
  • 2026-10-15更新: 一次公表（お知らせ・FAQ）から人が下書きを作成。パスワードの保存形式は未公表のため dataTypes は other に置いている
  • 2026-10-15更新: 背景と関連情報を出典 5 件で追加（自動）
  • 2026-10-15更新: 背景から事案と無関係な自社ページ（製品発売のお知らせ・コラム）の段落と出典 2 件を外した
  • 2026-10-21訂正: 同じ公表文から作られた bot の続報イベント 2 件（10/15・10/18）を削除。内容は第 1 報・10/16 の追記と同じ

当サイトが書いた要約・分類・突合の結果は CC BY 4.0 で利用できます（出典と利用条件）。 この記録の訂正・削除を依頼する