SONICWIREとD2Rに不正アクセス、会員36万2,137件の氏名・メールアドレス・ハッシュ化パスワードが流出 — 5年前の請求書情報も対象、自社の会員サービスで見直す3点
音楽制作ソフトや音素材を扱うクリプトン・フューチャー・メディアは2026年10月19日、音素材の販売サイト「SONICWIRE（ソニックワイヤ）」と販売店向けのシステム「D2R」に第三者が不正アクセスしたと公表した。10月22日の更新で、SONICWIRE会員36万2,137件の氏名・メールアドレス・ハッシュ化されたパスワードが参照・取得されたことを確認したと発表している。2021年11月19日までに領収書や見積書を発行した際に入力された会社名・住所・電話番号671件も含まれた。この記事では公表内容を整理し、会員本人と、会員サービスを運営する中小企業がそれぞれ確認する点をまとめる。
背景
同社の発表によると、10月17日20時頃に両サービスへの不正アクセスの可能性を確認した。直後に、侵害されたアカウントの無効化と、社内ドメインへの接続元IPアドレスの制限を行い、同日23時39分頃に被害の拡大を防ぐため両サービスのサーバーを止めた。検知からサーバー停止までは約3時間40分である。翌18日に警察へ連絡し、19日に個人情報保護委員会へ報告した。
10月19日の第一報では、漏えいの可能性がある件数を最大約42万件としていた。10月22日の更新で確定した内容は次のとおりである。
- SONICWIRE会員の登録情報 36万2,137件：氏名、メールアドレス、ソルト付きでハッシュ化されたパスワード、登録日や最終ログイン日などのシステム上の情報
- 2021年11月19日までに領収書・請求書・見積書の発行時に入力された情報 671件：会社名・所属名、氏名、住所、電話番号
- SONICWIREニュースレターのみの購読者 11件：メールアドレス、購読日時など
D2Rに登録している販売店については、第一報の時点で氏名・店舗名・ログインID・ハッシュ化されたパスワードが対象になりうるとして、個別に連絡している。クレジットカード情報は同社のシステムに保存しておらず、決済プログラムの改ざんもなかった。購入済みライセンスのシリアル番号も取得されていない。侵害されたアカウントがどのように乗っ取られたかは、公表されていない。
同社は全会員のパスワードを無効化し、サービス再開後の初回ログイン時に再設定を求める。両サービスは新しいサーバーで環境を作り直しており、11月1日までの再開を目指している。関連するECストアも調査のため停止しており、こちらの復旧の目途は立っていない。
リスクの全体像
会員本人にとって最も大きな危険は、メールアドレスとパスワードの組み合わせを使ったなりすましである。パスワードはソルト付きでハッシュ化されており、そのままでは元に戻せない。それでも、短いパスワードや辞書にある単語は、時間をかければ解読される。解読された組み合わせは、他のサービスのログイン画面に順番に入力される。同じパスワードを使い回している会員は、別のサービスのアカウントまで乗っ取られるおそれがある。
業務で音素材を購入する企業では、担当者が会社のメールアドレスで登録していることがある。その担当者が同じパスワードをMicrosoft 365やGoogle Workspaceで使っていれば、社外の流出がそのまま自社への侵入口になる。会社名と氏名がそろった671件は、取引先を装ったフィッシングメールの宛先リストとしても使える。
会員サービスを運営する側から見ると、この事案には2つの論点がある。1つは、侵害されたアカウントを起点に会員データベースへ届いた点である。管理用のアカウントが1つ乗っ取られただけで、会員全体の情報に手が届く構成になっていなかったかを見直す必要がある。もう1つは、2021年以前に入力された請求書・見積書の情報が5年近く残っていた点である。持ち続ける必要のないデータは、漏えいしたときの被害だけを大きくする。
販売店向けのD2Rが止まっている間、SONICWIREの商品を扱う販売店はダウンロード商品の扱いに支障が出る。自社が直接攻撃されなくても、仕入れ先や販売委託先のシステムが止まれば売上が止まる。
チェックリスト
会員本人と、法人として登録している企業の担当者は、次の点を確かめる。
- SONICWIREと同じメールアドレスとパスワードの組み合わせを、他のサービスで使っていないか
- 業務用のメールアドレスで登録した社員が、同じパスワードを社内のシステムでも使っていないか
- Microsoft 365・Google Workspace・VPNなど、社外から入れるシステムで多要素認証が必須になっているか
- クリプトンやSONICWIREを名乗る、パスワードの再設定やカード情報の入力を求めるメールが届いていないか
会員サービスを運営する企業は、次の点を確かめる。
- 会員データベースに届く管理用アカウントが何個あり、それぞれに多要素認証と接続元の制限がかかっているか
- 管理用アカウントの不審なログインに、夜間や休日でも気づける仕組みがあるか
- 何年も前の請求書・見積書・問い合わせの情報など、使っていない個人情報を保管し続けていないか
- サービスを止めたときに、取引先や販売店へ誰がどの順番で連絡するかが決まっているか
打ち手
会員本人は、SONICWIREと同じパスワードを使っているサービスを洗い出し、別々のパスワードに変える。サービスが再開したら、SONICWIREでも新しいパスワードを設定する。同社は該当者へ11月6日までにメールで連絡するとしているが、メール内のリンクからパスワードを入力するのは避け、公式サイトを自分で開いて手続きする。
法人の担当者は、社員に向けて「外部サービスと社内システムで同じパスワードを使わない」ことを改めて周知する。周知だけでは使い回しは減らないので、社外から入れるシステムでは多要素認証を必須にする。パスワードを入力しない認証方式であるパスキーに切り替えれば、パスワードが流出しても社内システムへのログインには使えなくなる。
会員サービスを運営する企業は、今回の事案を自社の構成に当てはめて点検したい。管理用のアカウントには多要素認証をかけ、管理画面やサーバーには社内や決まった接続元からしか入れないようにする。同社が事後に行った社内ドメインへのIP制限は、事前に入れておけば侵入を防げた可能性がある対策の1つである。あわせて、保管している個人情報に保存期間を決め、期間を過ぎたものは消す。請求書の控えが法律上必要な場合でも、会員システムの中に置き続ける必要があるかは別に考える。
パスワードの保存方式も確かめておく。今回、同社はソルト付きでハッシュ化していたため、流出したパスワードをすぐに使われる事態は避けられた。自社のシステムがパスワードを平文や単純なハッシュで保存していないか、開発会社に確認する。
あわせて読みたい
- ソースネクストの会員情報2,251万件が流出、パスワードも対象 — 会員情報を返すAPIが4日間悪用、社員のパスワード使い回しから社内システムを守る3つの確認
- 23万件が漏えいしたECサイト不正アクセス ― パスワードのハッシュ化では守れないもの
- パスキーとFIDO2 完全ガイド ― パスワードを卒業する認証が、AI時代のフィッシングをどう無力化するか
- ブックオフの会員管理システムに不正アクセス、最大約643万件の氏名・住所・パスワードのハッシュ値が流出 — ポイントカード会員を持つ店舗の確認点
Omamori AI の結論
SONICWIREとD2Rの事案では、侵害されたアカウントを起点に会員36万2,137件の氏名・メールアドレス・ハッシュ化パスワードと、5年近く前の請求書情報671件が取得された。会員本人と法人の担当者は、同じパスワードを使い回している他のサービス、特に社内システムのパスワードを変え、多要素認証を必須にしたい。会員サービスを運営する企業は、管理用アカウントの守りと、使っていない個人情報の削除を今回の事案を機に見直したい。
経営者視点で考えるべきこと
同社は検知から約3時間40分でサーバーを止め、2日後に個人情報保護委員会へ報告し、5日後には確定した件数を公表した。初動の速さは被害の拡大を抑えたが、サービスは再開目標の11月1日まで2週間以上止まり、販売店にも影響が及ぶ。自社の会員サービスが同じ状況になったとき、何時間で止める判断ができるか、止めている間の売上と取引先への説明を誰が担うかを、事前に決めておきたい。あわせて、古い個人情報を消すことは、費用をかけずに漏えい時の被害を小さくできる数少ない打ち手である。
