ソースネクスト情報漏洩の発表が、2026年10月15日に出ました。会員情報を管理するシステムが不正アクセスを受け、最大22,519,960件の会員情報が流出した可能性があるとしています。原因は「会員情報取得 API」の不正利用で、流出の可能性がある項目にはパスワードも含まれます。
本記事は発表の内容を時系列で整理し、会員がやることと、会員情報を返す API を持つ側が点検することをまとめます。
THE SCALE数字で見る
会員情報取得APIの悪用で最大2,252万件。気づくまで約4日
2,252万件
流出の可能性がある件数
公式の件数は 22,519,960 件
4日
攻撃開始から確認まで
10/9 10時頃 → 10/13 9時頃
13:36
10/13 の封じ込め完了
この時刻までの登録者が対象
30秒でわかる（2026年10月16日時点）
- ・規模：最大22,519,960件。対象は10月13日13時36分までに会員登録していた人
- ・原因：会員情報取得 API が悪用された。脆弱性の中身は公表されていない
- ・項目：メールアドレス・パスワード・氏名・住所・電話番号・生年月日・会社名など。クレジットカード情報は対象外
- ・会員がやること：ソースネクストのパスワードは会社側でリセット済み。急ぐのは、同じパスワードを使っている他のサービスの変更
インシデントの読み方やほかの事案は サプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説 にまとめています。
ソースネクスト情報漏洩のタイムライン
| 日時（日本時間） | 出来事 |
|---|---|
| 2026-10-09 10時頃 | 会員情報取得 API を使った不正な情報取得が始まる |
| 10-13 9時頃 | 会員情報を管理するシステムへの不正アクセスを確認し、外部からの不正な通信を遮断 |
| 10-13 13:36 | 封じ込めを完了。この時刻までに登録していた会員が対象 |
| 10-15 | 「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」を公表 |
攻撃が始まってから確認されるまで、約4日ありました。同社は原因となったシステムの脆弱性を修正し、流出の対象に含まれるパスワードをリセットしたとしています。個人情報保護委員会への報告と、警察への被害の申告も進めていると報じられています。
当サイトの環境からは、ソースネクストの公式ページを開けませんでした。発表の文言は、検索結果に載った本文を複数の検索で突き合わせて確かめています。件数の表記は報道によって「2250万件」「2251万件」「2252万件」と分かれますが、公式の件数は22,519,960件です。
流出の可能性がある情報
| 区分 | 項目 |
|---|---|
| ログイン情報 | メールアドレス、パスワード |
| 本人の情報 | 氏名、住所、性別、電話番号、生年月日 |
| 勤務先の情報 | 会社名、部署名、役職名 |
| システム固有の情報 | 加入サービス、登録日、ログイン日など |
| 対象外 | クレジットカード情報（対象のシステムに保持していない） |
パスワードは「知られた」前提で
- ・報道によると、発表はパスワードの保存形式（平文かハッシュ化か）を説明していない。当サイトも確認できていない
- ・ソースネクスト側は対象のパスワードをリセットしたので、ソースネクストへのログインは止まっている
- ・ただし、同じメールアドレスとパスワードを使い回している他のサービスは、このリセットでは守られない
ソースネクスト情報漏洩の対策——会員がやること
FOR MEMBERS会員がやること
パスワードは会社側でリセット済み。残るのは使い回し先
-
1.同じパスワードの他サービスを変える
メールアドレスとの組みで、別のサービスに入られうる
-
2.次のログインで再設定する
ソースネクスト側は対象のパスワードをリセット済み
-
3.名指しの連絡を疑う
氏名・住所・電話番号・生年月日がそろうと、偽の連絡が本物らしくなる
・同じパスワードの他サービスを先に変える：流出の可能性があるのはメールアドレスとパスワードの組みです。同じ組みで登録している通販・メール・SNS などは、そのまま入られるおそれがあります。ソースネクストより、こちらが急ぎです
・ソースネクストは次のログインで再設定する：会社側でリセット済みのため、ログインするときに新しいパスワードを設定します。他のサービスと同じものにしないでください
・名指しの連絡を疑う：氏名・住所・電話番号・生年月日・勤務先がそろうと、本人の情報を正しく書いた偽のメールや SMS、電話が作れます。「流出のお詫び」「補償の手続き」をうたう連絡が来ても、リンクや電話番号には応じず、ソースネクストの公式サイトを自分で開いて確かめてください
勤務先の情報（会社名・部署名・役職名）も含まれるため、会社のメールアドレスで登録していた人は、職場あての標的型のメールにも注意が要ります。社内のセキュリティ担当に伝えておくと、同じ手口のメールに気づきやすくなります。
会員情報を返す API を持つ側が点検すること
今回、悪用されたのは「会員情報取得 API」でした。脆弱性の中身は公表されていないため、ソースネクストで何が起きたかはここでは推測しません。そのうえで、会員情報を返す API を運用している側が、自分のシステムで確かめておきたい点を挙げます。
FOR API OWNERSAPIを持つ側の点検
会員情報を返すAPIは、1件ずつ正しくても大量に抜かれる
-
1.誰の情報を返してよいかを毎回確かめる
IDを変えるだけで他人の情報が返らないか
-
2.返す項目を絞る
パスワードや内部IDなど、画面に要らない項目を返していないか
-
3.件数と速さを見張る
1つの鍵や送信元からの大量取得を止め、通知できるか
| 点検すること | 見るところ |
|---|---|
| 誰の情報を返してよいか | 会員 ID を書き換えるだけで、他人の情報が返ってこないか。認証済みかだけでなく、その会員本人かを毎回確かめているか |
| 返す項目 | 画面に要らない項目（パスワードやそのハッシュ、内部の ID）を、まとめて返していないか |
| 件数と速さ | 1つのトークンや送信元から、短時間に大量の会員情報が取られたときに、止める・知らせる仕組みがあるか |
| 気づくまでの時間 | 普段と違う取得量を、何日で気づけるか。ログが残っていて、後から範囲を絞り込めるか |
1件ずつのリクエストがどれも「正しい形」でも、数が積み上がれば数千万件になります。今回、攻撃の開始から確認まで約4日かかったことは、量の異常に気づく仕組みが要ることを示しています。
影響範囲と、続報で見るべき点
対象は、2026年10月13日13時36分までにソースネクストへ会員登録していた人で、最大22,519,960件です。退会した人がどこまで含まれるか、実際に取得された件数がいくつかは、発表の範囲では分かっていません。
続報では次の点を見ると、自分の対応を見直しやすくなります。
・実際に取得された件数と、パスワードの保存形式
・悪用された API の脆弱性の中身と、再発防止策
・不正ログインやなりすましの連絡など、二次被害の報告
似た事案として、さくらインターネット不正アクセスとは｜第三報の951と136万・2023年4月からの期間・自分の確認手順 や Studio不正アクセスで利用者がやること｜APIキー・フォーム・保護ページの鍵を取り替える手順 も扱っています。続報が出たら、本記事も更新します。
参照ソース
- ソースネクスト「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」2026-10-15（当サイトの環境からは開けず、検索結果に載った本文で確認）
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」（漏えい時の報告と本人通知の枠組み。この環境からは開けていない）
