ソースネクストの会員情報2,251万件が流出、パスワードも対象 — 会員情報を返すAPIが4日間悪用、社員のパスワード使い回しから社内システムを守る3つの確認
ソフトウェア販売のソースネクストは2026年10月15日、会員情報を管理するシステムに第三者が不正アクセスし、会員情報22,519,960件が外部に流出したと公表した。流出した項目にはメールアドレスとパスワードが含まれ、会社名・役職名・部署名まで登録している会員も多い。業務用のメールアドレスで登録した社員が同じパスワードを社内のシステムで使っていれば、自社への不正ログインにつながる。この記事では公表内容を整理し、会員本人と、社員を抱える企業がそれぞれ確認する点をまとめる。
背景
同社の発表によると、10月13日9時頃に不正アクセスを確認し、同日13時36分に封じ込めを終えた。その後の調査で、10月9日10時頃から、会員情報を取得するための仕組み（API）が第三者に不正に使われていたことが分かった。気づくまでのおよそ4日間、会員情報が取り出され続けていたことになる。
流出した項目は、メールアドレス、パスワード、氏名、氏名のフリガナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名と、利用サービスや登録日・ログイン日などのシステム上の情報である。登録状況によって含まれる項目は会員ごとに異なる。クレジットカード情報は対象のシステムに保存していなかったため、流出していない。
同社はログイン時にパスワードの再設定を求める措置を取り、専用の問い合わせ窓口を設けた。個人情報保護委員会には10月15日に報告し、警察には10月16日に届け出る予定としている。パスワードをどのような形式で保存していたかは、発表では明らかにされていない。
リスクの全体像
最も大きな危険は、メールアドレスとパスワードの組み合わせが2,252万件規模で外に出たことである。攻撃者はこの組み合わせを他のサービスのログイン画面に順番に入力し、同じパスワードを使い回している利用者のアカウントを乗っ取る。この手口はパスワードリスト攻撃と呼ばれ、大規模な流出の直後に増える。同社も、同じメールアドレスとパスワードを他のサービスで使っている場合は変更するよう呼びかけている。
企業にとって問題になるのは、ソースネクストの会員に法人利用者が多い点である。業務用のメールアドレスで登録し、同じパスワードをMicrosoft 365やGoogle Workspace、VPNなどに使っている社員がいれば、社外の流出がそのまま自社の侵入口になる。会社名・役職名・部署名がそろっているため、攻撃者は役職の高い社員を選んで狙える。
もう1つは、ソースネクストを名乗る偽の連絡である。氏名、住所、電話番号、購入したサービスの情報が手元にあれば、本物らしい「パスワード再設定のお願い」や「返金のご案内」を作れる。同社は、同社や関係者を装ったメール、SMS、電話、郵便物に注意するよう求めている。
入口が会員情報を返すAPIだった点は、自社でWebサービスやアプリを提供している企業にも関係する。API が本人以外の会員情報を返さないか、短時間に大量の取得があれば気づけるかを、自社のシステムでも確かめておきたい。
チェックリスト
- ソースネクストに業務用のメールアドレスで登録している社員がいるか、把握しているか
- 社内システムのパスワードを、社外のサービスと使い回していないか社員に確認したか
- Microsoft 365・Google Workspace・VPNで多要素認証を全員に必須にしているか
- 海外や深夜など、普段と違う場所や時間帯からのログイン失敗を検知できるか
- ソースネクストを名乗るメールやSMSに注意するよう、社員に周知したか
- 自社が提供するAPIが、ログインしている本人以外の情報を返さない作りになっているか
打ち手
まず社員に向けて、ソースネクストに登録している人はパスワードを再設定し、同じパスワードを使っている他のサービスも変更するよう周知する。業務用アドレスでの登録が多い会社では、情報システム担当が自社ドメインのアドレスが含まれる可能性を前提に動いた方がよい。登録していたかどうかを社員に1人ずつ聞くより、全社員に変更を求める方が早い。
次に、社内の主要なシステムで多要素認証が必須になっているかを確かめる。パスワードが漏れていても、スマートフォンでの確認やパスキーによる認証を求めていれば、パスワードだけでは入れない。例外として多要素認証を外しているアカウント（共有アカウントや古い管理者アカウントなど）があれば、今回を機に見直す。
あわせて、ここ数日のログイン記録を確認する。同じアカウントへの短時間の連続失敗や、普段使わない国からのログインがあれば、パスワードリスト攻撃の可能性がある。Microsoft 365やGoogle Workspaceは、管理画面からサインインの記録を絞り込んで確認できる。
自社で会員向けのWebサービスやアプリを運用している企業は、会員情報を返すAPIの権限の確認を開発会社に依頼する。ログイン中の会員の番号を書き換えると他人の情報が返ってこないか、1人の利用者が短時間に大量の情報を取得したら止まるかの2点を聞けばよい。
あわせて読みたい
- ブックオフの会員管理システムに不正アクセス、最大約643万件の氏名・住所・パスワードのハッシュ値が流出 — ポイントカード会員を持つ店舗の確認点
- アエナのECアプリで会員マイページが機械的に連続閲覧、最大81万7,215人の住所・電話番号・カード下4桁が対象 — パスワードが漏れなくても起きる会員アプリの点検点
- ローソンIDに不正アクセス、215万件の氏名・メールアドレス・住所が漏えい — アプリの本人向け表示の仕組みが悪用、会員アプリを持つ企業の点検点
- 23万件が漏えいしたECサイト不正アクセス ― パスワードのハッシュ化では守れないもの
Omamori AI の結論
ソースネクストの件では、会員情報を返すAPIが4日間悪用され、メールアドレスとパスワードを含む22,519,960件が流出した。法人利用者が多いサービスのため、社員のパスワード使い回しを通じて企業の社内システムが狙われるおそれがある。企業は、社員へのパスワード変更の周知、社内システムの多要素認証の必須化、直近のログイン記録の確認の3点を今週中に済ませておくべきである。
経営者視点で考えるべきこと
社員が業務用のメールアドレスで外部サービスに登録すること自体は止めにくい。だからこそ、外部で漏れたパスワードが社内では通用しない状態を先に作っておく必要がある。多要素認証の必須化は、多くのクラウドサービスで追加費用なしに設定できる。流出事故はいつ、どのサービスで起きるか選べないので、事故が起きるたびに対応するより、使い回されても入れない仕組みに投資する方が費用は小さい。
