ソースネクスト2,251万件の情報漏えいの可能性、メールアドレスとパスワードで何をされるのかまとめました

2026年10月15日、ソースネクスト株式会社は、会員情報を管理するシステムへの不正アクセスにより、会員の個人情報が外部に流出したことが判明したと公表しました[1]。流出した可能性のある情報は22,519,960件で、メールアドレス・パスワード・氏名・住所・電話番号・生年月日・会社名・役職名などが含まれるとしています。クレジットカード情報は対象のシステムに保存されておらず、流出の対象に含まれないとしていますが、それで安心とは言い切れません。

「自分のメールアドレスとパスワードで、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、流出した可能性のある情報が悪用されうる場面と、会員サイトの中で特に狙われやすくなった場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• 今回はメールアドレスとパスワードが同じ一覧に含まれていた可能性があります。同じ組み合わせを他のサービスで使っている人は、そちらが先に狙われやすくなります。
• ソースネクストのパスワードを再設定するだけでなく、同じパスワードを使っている他のサービスも変えておくと安心です。
• 会社側がまず見直したいのは、パスワードの再設定のしかたと、メールアドレスとパスワードだけで完了するログインです。

なお、本記事は公表文や公式のよくあるご質問など、公開情報だけをもとにしています。会員サイトの画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]とよくあるご質問[2]によると、概要は次のとおりです。

同社は利用者に対し、同じメールアドレスとパスワードの組み合わせを他のサービスで使っている場合は変更すること、同社を装うメール・SMS・電話・郵便物に注意することを呼びかけています[1]。

流出した可能性のある情報で、何ができてしまうか

今回の特徴は、ログインに使う「メールアドレス」と「パスワード」が、同じ一覧に含まれていた可能性があることです。公表文では、パスワードがどのような形で保管されていたかは書かれていません[1]。一方でNHKは10月16日、パスワードは暗号化されていない状態で流出していたと報じています[6]。同社の公表文とよくあるご質問には、この点の記載はありません。

大事なのは、ソースネクストのパスワードは無効化されても、同じ組み合わせを使っている他のサービスはそのままだという点です。流出の影響は、事故を起こした会社の外に広がります。

このサービスで認証が使われる場所

公開情報で確認できた会員サイトの機能から、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、全システムの緊急点検と、セキュリティ対策・監視体制・情報管理体制の見直しが挙げられています[1]。一方で、ログインやパスワード再設定の確認方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. パスワード再設定に、メール以外の確認をもう一つ足す。全アカウントのパスワードが無効化され、再設定サイトにアクセスが集中している今は[1]、偽の再設定メールが最も効く時期です。メールのリンクだけで再設定が終わる形だと、偽メールに引っかかった人や、メールを乗っ取られた人を守れません。
2. ログインを「知っているか」だけに頼らない。メールアドレスとパスワードは、流出した可能性がある以上、本人である証拠としては弱くなりました。新しい端末からのログインや、しばらく使っていなかったアカウントへのログインに、追加の確認を入れることが考えられます。
3. 本人確認の質問から、流出した可能性のある項目を外す。問い合わせ窓口やアカウントの復旧で「氏名・住所・電話番号・生年月日が合っていれば本人」という扱いになっていないか。これは仕組みを作り直さなくても、運用の見直しから始められます。

認証の観点から：「番号を知っている」と「その電話を持っている」は違う

今回、パスワードの全件無効化という大きな手が打たれました。ただ、新しいパスワードもまた「知っている情報」です。次にどこかで漏れれば、同じことが起こりえます。

ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。今回は電話番号も流出した可能性がありますが、回線そのものは手元から動いていません。認証の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[4]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら