So-netとドコモ光「plala（Sコース）」の会員情報約258万件が漏えい、メール用パスワード5万4,401件も — 社用メールをプロバイダのアドレスで使っていないか確認を
ソニーネットワークコミュニケーションズは2026年10月27日、インターネット接続サービス「So-net」の会員データベースが外部から不正アクセスを受け、So-net会員214万1,986件とドコモ光「plala（Sコース）」会員44万3,495件、あわせて約258万件の会員情報が漏えいしたと公表した。追加のメールサービスでは、メールアドレスとメール送受信用のパスワードの組み合わせが4サービス計5万4,401件漏れている。プロバイダから付与されたメールアドレスを、取引先との連絡や業務クラウドの登録に今も使っている中小企業や個人事業主は、自社が対象かどうかを今日確かめたい。
背景
同社の公表によると、経緯は次のとおりである。
- 2026年10月19日：So-netの会員データベースに外部から不正アクセス
- 10月23日：不正アクセスを確認し、該当サーバーを停止して攻撃者からの通信を遮断
- 10月24日：調査により個人情報の漏えいを確認し、項目と件数を特定
- 10月27日：公表。メールパスワードが漏れた利用者のパスワードを同日中に初期化
漏えいした情報は5つに分かれる。
- So-net会員情報 214万1,986件（現会員186万9,771件、2026年3月以降の退会者27万2,215件）：氏名、電話番号、メールアドレス、ユーザーID、生年月日、性別、接続用ID
- メールアドレスとメール送受信用パスワード：メールサービス(G) 2万4,655件、追加メールボックス「A-Box」1万7,672件、So-net VAIOメール 7,005件、PostPetメールアカウントサービス 5,069件
- plala（Sコース）会員情報 44万3,495件（現会員42万2,365件、退会者2万1,130件）：項目はSo-net会員情報と同じ
- 銀行口座情報 16件：金融機関名、支店名、口座番号、口座名義など（暗証番号は保有していない）
- パスワード再設定に使う会員通知情報 7件（パスワードは初期化済み）
会員情報（上の1つ目と3つ目）にログイン用パスワードは含まれておらず、クレジットカード情報も対象外とされる。So-netの基本メールボックスのパスワード、NURO光などほかのサービス、2026年2月末までに退会した人の情報も漏えいは確認されていない。原因は第三者による不正アクセスとされ、詳しい侵入経路は調査中である。10月27日時点で二次被害は確認されていない。
リスクの全体像
個人の契約者だけの問題に見えるが、中小企業にも関係する。創業時に契約したプロバイダのメールアドレスを、会社の代表アドレスや経理担当の連絡先として使い続けている企業は少なくない。そのアドレスで、ネットバンキング、会計ソフト、ECモールの出店者画面、取引先の受発注システムに登録していることも多い。
一番危ないのは、メールアドレスとパスワードが組で漏れた5万4,401件である。同社は10月27日にパスワードを初期化したが、同じパスワードをほかのサービスでも使い回しているなら、そのサービスは今も危険にさらされている。攻撃者は漏れた組み合わせを、ほかのサービスのログイン画面に機械的に試すからである。さらに、メールボックスに入られると、ほかのサービスの「パスワードを忘れた方」から再設定メールを受け取られ、そこから次々と乗っ取られる。
パスワードが漏れていない約258万件も安全とは言えない。氏名、電話番号、メールアドレス、生年月日がそろえば、So-netやドコモ光を名乗る本物らしい連絡を作れる。「漏えいのお詫び」「パスワード再設定のお願い」を装ったメールやSMSで偽のログイン画面へ誘導し、パスワードやカード番号を入力させる手口が想定される。同社も、不審なメール・SMS・電話に応じない、リンクや添付ファイルを開かないよう呼びかけている。
チェックリスト
So-netまたはplala（Sコース）を契約している、あるいは過去に契約していた企業は、次の点を確かめる。
- 会社の代表アドレス、経理・営業の連絡先、取引先への名刺に、「so-net.ne.jp」や「plala.or.jp」などプロバイダのアドレスが残っていないか
- メールサービス(G)、A-Box、So-net VAIOメール、PostPetメールのいずれかを使っていないか（使っている場合、パスワードを再設定しないとメールが使えない）
- そのメールと同じパスワードを、ネットバンキング、会計ソフト、ECモール、業務クラウドで使っていないか
- プロバイダのアドレスで登録している業務サービスはどれか。一覧にできるか
- 銀行口座で料金を払っている場合、口座情報が漏れた16件に含まれる旨の連絡が届いていないか
- 社員や家族に、So-netやドコモ光を名乗る連絡のリンクを開かず、公式サイトから確かめるよう伝えたか
打ち手
最初にやるのは、パスワードの使い回しを断つことである。上の4つのメールサービスを使っている場合は、同社のFAQ（https://www.so-net.ne.jp/support/faq/qa202610_01/）の手順でメールパスワードを再設定する。同時に、同じパスワードを使っていたほかのサービスもすべて変更する。重要な順は、ネットバンキング、会計・給与ソフト、ECモールの管理画面、業務クラウドである。可能なサービスでは二要素認証（パスワードに加えてスマートフォンでの確認を求める仕組み）を有効にする。
次に、不審な連絡への備えを徹底する。漏えいのお詫びやパスワード再設定を求めるメールが届いても、メール内のリンクは開かず、ブックマークした公式サイトか、同社の専用窓口（0120-36-8887、平日・土曜10時〜18時、11月1日と3日も受付）で確かめる。経理担当には、振込先の変更依頼が届いたら電話で取引先に確認するという社内ルールを改めて伝えておく。
中長期では、業務で使うメールアドレスをプロバイダから切り離す。自社ドメインのメール（Google WorkspaceやMicrosoft 365など）に移せば、プロバイダを替えても連絡先が変わらず、管理者が社員のアカウントを止めたり二要素認証を強制したりできる。移行が済むまでは、プロバイダのアドレスで登録しているサービスの一覧を作り、パスワードを個別に分けておく。
あわせて読みたい
- 店舗向けPOS「FreePOS」や勤怠・経費精算「MOT」のバルテックに不正アクセス、利用企業875社分の売上データなどが流出 — 全サービスでパスワードを強制リセット、使い回しを今日断つ
- ソースネクストの会員情報2,251万件が流出、パスワードも対象 — 会員情報を返すAPIが4日間悪用、社員のパスワード使い回しから社内システムを守る3つの確認
- メールボックスが盗まれるとき ― JSTの1万6000件漏えいが示す取引先への波及
- フィッシング詐欺とは？ 手口・見分け方・対策・被害時の対応まで完全ガイド
Omamori AI の結論
- 事実: So-netの会員データベースへの不正アクセスで、So-netとplala（Sコース）の会員情報約258万件が漏えいした。うち4つのメールサービスでは、メールアドレスとパスワードの組が計5万4,401件漏れている。
- 判断軸: 漏れたパスワードは初期化済みでも、同じパスワードを使い回したサービスは危険が残る。業務の連絡先がプロバイダのアドレスかどうかを問う。
- 打ち手: 対象メールのパスワードを再設定し、使い回し先もすべて変える。お詫びや再設定を装う連絡は公式サイトで確かめ、業務メールは自社ドメインへ移す。
経営者視点で考えるべきこと
プロバイダのメールアドレスは、契約した日から何年も使われ続け、誰がどのサービスに登録したかが分からなくなりやすい。今回のように事業者側で漏えいが起きると、自社に落ち度がなくても、そのアドレスにつながる口座や業務システムが攻撃の入口になる。経営者が確かめるべきことは3つある。会社の連絡先にプロバイダのアドレスが残っていないか、そのアドレスでどの業務サービスに登録しているか、パスワードを使い回していないかである。答えがすぐに出ないなら、今回を機に業務メールを自社ドメインへ移す計画を立てる時期である。
