ソースネクストの会員情報流出はなぜ2251万件もの規模に? パスワード再設定のあとにやるべき3つのこと

2026年10月15日、ソースネクストが会員情報の流出の可能性を発表しました。対象は最大で2251万9960件にのぼります。会員情報を取り出す仕組みが不正に使われた点が論点になっています。

パスワードを変えれば、もう安心なのでしょうか。そもそも、なぜ1社の流出が2000万件をこえる大きさになったのでしょうか。

2251万件って、どれくらいの数?

まずは数の大きさをつかんでおきましょう。2251万件を1クラス30人で割ると、約75万クラス分です。学校の全校集会を何万回開いても届かない数なんだ。

ソースネクストは、年賀状ソフトなどを手がける会社です。NHKもこの発表を報じています。同じ会社は2023年2月にも不正アクセスを発表しています。そのときの対象は12万982件でした。今回はその約186倍にあたります。

ほかの会社と比べても、規模はかなり大きい部類です。2014年のベネッセの事件では、流出は約2895万件と推計されました。今回はそれに近い数字です。

流出した可能性のある項目も多いです。メールアドレス、パスワード、氏名、住所、電話番号、生年月日などが並びます。会社名や役職、加入サービスやログイン日も入っています。ただし全員の全項目が流れたわけではありません。登録のしかたで、対象の項目は人ごとに違います。

では、なぜ一度にこれほど多くの情報が出ていったのでしょうか。カギは「API」という仕組みにあります。

「会員情報取得API」が入り口になった

公式発表によると、原因は「会員情報取得API」の不正利用です。APIとは、プログラム同士が情報をやりとりする窓口のことです。アプリの裏側で毎日使われています。

たとえるなら、学校の図書室の貸し出しカウンターです。「この番号の本をください」と言えば、係の人が本を出してくれます。本来は「その人が借りていい本か」を毎回確かめるはずです。この確認が甘いと、番号を変えるだけで他人の記録まで出てきてしまいます。

国際団体のOWASPは、この弱点をAPIの危険の1位にしています。名前はBOLA（つまり、データごとの「見ていいか」の確認もれのこと）です。OWASPは、番号を順に差し替えるだけで大量のデータが取れる例を示しています。

ただし、今回の詳しい手口はまだ公表されていません。ソースネクストは外部の専門機関と調査を続けています。BOLAは、APIが狙われるときによくある形の一つです。

サイバー攻撃の被害は、データが盗まれることだけではありません。生活に直接ひびく例もあります。フランスのスーパーで冷蔵設備が狙われ、大量廃棄が起きた事件がそうです。読むと、攻撃の広がり方がもっと見えてきます。

窓口のしくみはわかりました。次は、なぜ件数がここまでふくらんだのかを見ていきます。

4日間、気づかれなかった窓口

件数が大きくなった理由は、大きく3つに整理できます。

1つ目は、時間です。不正アクセスは10月9日の金曜10時ごろに始まりました。会社が気づいたのは10月13日の火曜9時ごろです。週末と祝日をはさんで、およそ95時間も続いていたことになります。

2つ目は、APIの速さです。APIは人ではなく、プログラムが相手をする窓口です。人がページを1枚ずつめくるのとは違い、機械は休まず問い合わせを続けられます。4日間あれば、膨大な回数のやりとりができてしまいます。

3つ目は、情報が1か所に集まっていたことです。対象は「会員情報を管理するシステム」でした。会員の情報をまとめて扱う場所なので、そこが開くと全体に影響が及びます。クラスの名簿が職員室の1冊にまとまっていて、その1冊が見られた状態に近いんだよね。

会社は13日の13時36分までに通信を止めました。その後の不正アクセスは確認されていないそうです。それでも、すでに出ていった可能性のある情報は取り戻せません。だからこそ、利用者側の動きが大事になります。

パスワード再設定のあとにやるべき3つのこと

ソースネクストは、ログイン時にパスワードの再設定を求めています。ただ、それだけでは足りません。公式発表が利用者にお願いしていることは、ほかにもあります。

1つ目は、同じパスワードを使っているほかのサービスの変更です。流出したのはメールアドレスとパスワードの組み合わせです。同じ組み合わせを別のサイトで使っていると、そこにも入られるおそれがあります。

この「使い回し」はとても多いです。トレンドマイクロの2026年3月発表の調査では、84.3%が使い回しをしていました。理由のトップは「違うパスワードだと忘れてしまう」で、74.3%です。同じ鍵で家も自転車もロッカーも開けている状態なんだ。

2つ目は、なりすましの連絡への注意です。会社は、フィッシングへの注意を呼びかけています。フィッシングとは、本物そっくりの連絡で情報をだまし取る手口のことです。メールやSMSだけでなく、電話や郵便物も使われます。名前や住所、生年月日を知っている相手からの連絡は、本物に見えやすいからです。身に覚えのないURLや添付ファイルは開かないようにしましょう。

3つ目は、ログインの守りを固めることです。2段階認証やパスキーが使えるなら、設定を見直してみてください。パスキーとは、スマホの指紋や顔でログインするしくみのことです。同じ調査では、パスキーがあるサービスの利用者の87.7%が使っていました。

家族の中でソースネクストの製品を使っている人がいたら、声をかけるのも一つの手です。年賀状ソフトなどは、大人が登録していることもあるからです。

ここからは、まだ残っている疑問にまとめて答えていきます。

よくある質問

Q. 自分が対象かどうかはどうやってわかるの?

ソースネクストは、登録メールアドレスあてに個別の注意のメールを送っています。ログイン時にもパスワードの再設定を求められます。ただし、会社を名乗るにせものの連絡もありえます。メール内のリンクではなく、公式サイトから自分で開いて確かめるのが安全です。

Q. クレジットカードの情報は流出したの?

公式発表では、クレジットカード情報は流出の対象に入っていません。対象のシステムには、もともと保存されていなかったためです。2023年の事件では、カード情報が対象になっていました。

Q. ソースネクストってどんな会社?

ソースネクストは、年賀状ソフトなどのパソコン用ソフトを手がける会社です。NHKの報道でも、そのように紹介されています。自分は使っていなくても、家族が登録していることもあります。

Q. ソースネクストで流出が起きたのは初めて?

初めてではありません。2023年2月には、通販サイトへの不正アクセスが発表されました。決済のプログラムが書きかえられました。対象は12万982件の個人情報と、カード情報11万2132件です。今回は手口も規模も違う事件です。

Q. 困ったときの問い合わせ先は?

不正アクセス専用のフリーダイヤル0120-035-116があります。受付は10時から18時で、土日祝日も対応しています。公式サイトには問い合わせフォームとよくある質問のページもあります。

Q. 会社はこれから何をするの?

10月15日に、国の個人情報保護委員会へ報告を済ませました。10月16日には警察へ被害を申し出る予定です。外部の専門機関と原因を調べ、全システムの緊急点検も進めています。

2251万件の重さは「使い回し」で何倍にもなる

ここまでの話を整理すると、規模が大きくなった理由は3つの重なりです。会員の情報が1か所に集まっていたこと。機械が相手をするAPIが不正に使われたこと。そして約4日間、気づかれなかったことです。

そして、流出の影響は1社の中だけで終わりません。同じパスワードを使い回していれば、被害はほかのサービスにも広がります。2251万件という数字は、使い回しの数だけ重くなるんだね。

パスワード再設定は、スタート地点にすぎません。使い回し先の変更、にせものの連絡への注意、ログインの守りの見直し。ここまでやって、ようやく一区切りです。