ソースネクストの情報漏えいを「カード番号は漏れていないなら、ひと安心」で閉じると、次の危険を見落とします。今回、流出した可能性のある項目には、メールアドレスとパスワードが入っています。同じ組み合わせを別の通販、メール、SNSでも使っていれば、一社から出た鍵が、別の玄関でも回ってしまうかもしれません。
しかも公表された2251万9960「件」は、同じ人数を示す数字でも、全員の全項目が確定流出したという数字でもありません。大きな数字に驚く前に、数え方と、いま変えるべき鍵を分けましょう。こういうときは、慌てて走るより、鍵束を机に広げたほうが早いんです。
「1Password」（3年版）やウイルス対策ソフト「ZERO」などを扱っているソースネクストから、会員パスワードを含む大規模漏えい。
今回の登場人物
- ソースネクスト：パソコン・スマートフォン向けソフトや機器を販売する日本企業です。今回、同社の会員情報を管理するシステムが不正アクセスを受けました。
- API：Application Programming Interfaceの略です。アプリや別のシステムが、会員情報などを決められた形式で要求し、受け取るための窓口です。人向けの画面ではなく、プログラム同士の受付口と考えると分かりやすいでしょう。
- 認証と認可：認証は「あなたは誰か」を確かめること、認可は「あなたがどの情報まで見てよいか」を決めることです。合鍵を持っているかと、入ってよい部屋はどこか。似ていますが別の確認です。
- パスワードリスト攻撃：どこかで得たメールアドレスやIDとパスワードの組み合わせを、別のサービスでも試す攻撃です。同じ鍵が複数のサービスに設定されていると成功しやすくなります。
- 多要素認証：パスワードだけでなく、認証アプリ、端末、生体情報など別の要素も使って本人を確かめる仕組みです。鍵が一つ漏れても、それだけでは入りにくくします。
何が起きたか
ITmedia NEWSは2026年10月16日、ソースネクストで最大2251万9960件の顧客情報が流出した可能性があると報じました。
同社の発表によると、10月13日午前9時ごろ、会員情報を管理するシステムへの不正アクセスを確認しました。不正な通信を遮断し、午後1時36分までに封じ込めたとしています。その後の調査で、第三者によるアクセスは10月9日午前10時ごろから始まり、会員情報取得APIを不正利用して情報を取得していたことが分かりました。
流出した可能性のある項目は、メールアドレス、パスワード、氏名、住所、電話番号、生年月日、会社名、役職名、加入サービスや登録日などです。ただし、登録状況によって対象項目は異なり、全利用者について全項目が流出したという発表ではありません。
クレジットカード情報は今回の対象システムに保存されておらず、流出対象に含まれないと同社は説明しています。ここは曖昧にしないでおきましょう。今回の発表を根拠に「カード番号も漏れた」と読むのは誤りです。
ここが本題
中心の問いはこれです。APIが本人確認や閲覧範囲を十分に守れない入口になったとき、なぜ一社の漏えいが別サービスへの不正ログインにつながり得るのでしょうか。
答えは、危険が二段階で移るからです。第一段階では、プログラム向けのAPIから会員情報が外へ出ます。第二段階では、その中のメールアドレスとパスワードの組み合わせが別サービスにも登録されている場合、そちらの鍵として通る可能性が生まれます。鍵は歩きませんが、データは別の玄関へ運ばれます。
ただし、この二段階は自動的に起きるわけではありません。今回どの認証・認可の弱点が使われたのか、パスワードがどんな形式で保存されていたのかは、公表資料では確認できません。別サービスで不正ログインが起きたとの発表でもありません。分かっている事実と、備えるべき危険を混ぜないこと。セキュリティの話は、怖がるにも仕分けが要るんです。
APIは裏口ではなく、もう一つの正面玄関
APIと聞くと、技術者だけが触る配管のように思えるかもしれません。でも、話は配管室だけでは終わりません。スマートフォンアプリで会員情報を表示したり、購入履歴を読み込んだりするとき、その裏側でAPIが動いていることがあります。
APIはプログラムが決められた形式で直接やり取りするため、正しく作れば速くて便利です。一方、不正利用されると、同じ要求を機械的に繰り返せる入口にもなります。
ここで必要なのが、認証、認可、返す情報の最小化、呼び出し回数の制限、異常なアクセスの監視です。たとえば本人の住所を返すAPIなら、「ログイン済みか」だけでなく、「要求した会員番号がその人のものか」まで確かめます。マンションの住民だと分かっても、全室の合鍵は渡せません。
ただし、これは一般的なAPI防御の説明です。ソースネクストのAPIで、どの確認や制限が足りなかったのかはまだ分かっていません。盗まれた認証情報が使われたのか、ソフトウェアの脆弱性が悪用されたのか、権限確認に問題があったのか。公式発表は「会員情報取得APIを不正に利用」としており、具体的な侵入方法は外部専門機関と調査中です。
APIだから危険なのでも、APIなら大量取得されたと決まっているのでもありません。大事なのは、人向け画面と同じように、APIも外部から触れられる正面玄関として守ることです。
2251万9960件を人数へ変換しない
さて、ニュースで最も目を引くのは、22,519,960という数字でしょう。ゼロを数えているうちに一度お茶を飲みたくなる桁ですが、単位は落ち着いて見ます。ソースネクストが公表した表現は「流出した可能性のあるお客様情報」の対象件数です。実人数として「2251万9960人」と発表したわけではありません。
一人にメールアドレス、氏名、住所、電話番号など複数の情報項目があるのか。複数アカウントや過去の登録がどう数えられているのか。今回の件数の詳しい集計単位は、公表資料だけでは分かりません。ですから、件数をそのまま人数に置き換えることはできません。
さらに同社は、列挙した項目は可能性のある全項目であり、すべての利用者について全部が流出したわけではないと説明しています。ここには三つの違う話があります。
一つ目は、第三者が情報を取得して外部流出が起きたこと。二つ目は、影響範囲として示された2251万9960件。三つ目は、個々の利用者について何が取得されたかです。詳しい内訳は調査が続いています。
数字を小さく見せる必要はありません。約2252万件は重大です。ただ、大きな数字を正確に怖がるには、単位を勝手に着替えさせないことです。「件」を「人」へ変えると、事実確認の靴が左右逆になります。
漏れた鍵は、別の玄関で試される
では、カード情報が対象外なのに、なぜ急いでパスワードを変える必要があるのでしょう。いや、話はカードだけでは終わらないんです。メールアドレスがログインIDとして使われ、同じパスワードも使い回されていると、その組み合わせが別サービスで通る可能性があるからです。
攻撃者は、入手した組み合わせをプログラムで別の通販、SNS、クラウド、メールなどへ試せます。これがパスワードリスト攻撃です。一つの暗証番号が家、会社、金庫の鍵まで兼ねていたら、一つ漏れた被害が横へ広がります。
個人情報保護委員会は、同じパスワードを複数サービスで使うと、一社の漏えい情報から他社サービスへ不正アクセスされ、個人情報の窃取や金銭被害を受ける危険があると注意喚起しています。そして、一度漏えいしたパスワードは将来にわたって使わないよう求めています。
ソースネクスト自身も、同社と同じメールアドレス・パスワードの組み合わせを他サービスで使っている場合、そちらも変更するよう案内しています。つまり優先順位は「ソースネクストだけ新しくする」で終わりません。同じ鍵が刺さる玄関を探し、全部別の鍵へ替えることです。
何を、どの順番で変えるか
では、鍵交換の順番です。まず、ソースネクストの案内に従い、公式サイトを直接開いてパスワードを再設定します。同社は対象パスワードのリセットを進めており、ログイン時に再設定を求めています。届いたメールのリンクが本物か不安なら、検索広告やメール内リンクをたどらず、普段使っているブックマークや公式サイトから入るのが安全です。
次に、同じ組み合わせを使ったサービスを洗い出します。とくにメールは優先度が高い。奪われると、ほかのサービスのパスワード再設定メールまで読まれる可能性があるからです。通販、SNS、クラウドなども、それぞれ違うパスワードへ替えます。
「末尾の数字だけ変える」で家族を増やす方式は、使い回しから十分に離れられません。長く、推測されにくく、サービスごとに異なるものを使います。覚えきれないなら、OSやブラウザのパスワード管理機能、信頼できるパスワード管理ソフトを使う方法があります。
利用できるサービスでは、多要素認証やパスキーも有効にします。情報処理推進機構（IPA）は、パスワードを長く複雑にして使い回さず、多要素認証を設定するよう勧めています。パスワードが一つ漏れても、それだけでログインできない形にするわけです。鍵を増やすというより、「鍵と本人のスマホ」のように種類を分けるのがポイントです。
あわせて、身に覚えのないログイン通知、購入履歴、登録メールアドレスや転送設定の変更がないかを確認します。不審な動きがあれば、そのサービスの公式窓口へ連絡します。カード情報は今回の流出対象外なので、この発表だけを理由に全員がカード停止や再発行をするよう、ソースネクストは案内していません。
個人情報は詐欺の台本にもなる
二次被害は不正ログインだけではありません。氏名、住所、電話番号、加入サービスなどが組み合わさると、もっともらしいフィッシングメールや電話の材料になります。
「あなたが買った製品の再認証です」「漏えい補償の手続きです」と、心当たりのある名前を出されると、雑な迷惑メールより信じやすくなります。ソースネクストも、同社や関係先を装ったメール、SMS、電話、郵便物に注意し、リンクや添付を開かず、不審なサイトへ個人情報やパスワードを入力しないよう呼びかけています。
ここで覚えておきたいのは、企業から届いたように見える連絡と、企業の公式ページは別物だということです。連絡文の中から入口を選ばず、自分で公式サイトを開いて同じ案内があるか確認する。少し遠回りですが、泥棒が用意した近道よりは断然早いんです。
今後の確認点
ソースネクストは10月13日午後1時36分までに封じ込め、その後の不正アクセスは確認していないと説明しています。10月15日に個人情報保護委員会へ報告し、外部の専門機関と原因や影響範囲を調べています。
今後、公表を待つ点は少なくありません。APIがどう不正利用されたのか。認証、認可、脆弱性、盗まれた資格情報のどれが関係したのか。パスワードの保存形式は何か。2251万9960件の集計単位は何か。分かれば、再発防止策が原因に合っているかも判断しやすくなります。
一方、利用者のパスワード変更は調査結果を待つ必要がありません。流出可能性にパスワードが含まれ、会社も再設定と使い回し先の変更を求めています。分からないことを断定しないのと、分かっている危険へ動かないのは別です。ここは、静かにさっさと鍵を替える場面です。
まとめ
今回確認されたのは、会員情報取得APIが不正利用され、会員情報が外部へ流出したことです。公表された2251万9960は「件」であり、同じ人数でも、全員の全項目が確定流出したという意味でもありません。クレジットカード情報は対象システムに保存されておらず、流出対象外です。APIがどんな手段で破られたかも、まだ調査中です。
それでも、メールアドレスとパスワードが流出可能性のある項目に含まれる以上、同じ組み合わせが登録された別サービスにも危険が移ります。ソースネクストのパスワードを再設定し、同じ組み合わせを使った全サービスを別々の鍵へ替える。多要素認証やパスキーも使う。不審な連絡からではなく公式サイトを直接開く。一社の事故を別サービスへ広げないために、いま必要なのはこの切り分けです。