ソースネクストの顧客情報流出（2026年10月公表）｜何が起きて、自社で何を確かめるか

公開：2026年10月16日／最終更新：同／Moshiru 岡﨑 悠太

何が起きたか（公表された事実）

同社のお知らせ（2026年10月15日）と、よくある質問のページから要約しました。言い回しは、できるだけ公式の書き方に合わせています。

経緯は次のとおりです。不正アクセスが始まった日時は、あとの調査で分かったと説明されています。

封じ込めのあと、不正なアクセスは確認されていないと発表しています。対象のお客様には、メールまたは郵送で順に案内するとしています。

入口と、広がった理由

公表された範囲では、入口は「会員情報取得API」の不正な利用です。APIとは、システム同士がデータをやり取りするための窓口です。どんな弱点があったのかは、公表されていません。

ここからは一般的な話です。会員情報を返すAPIの事故では、一般には次のような弱点が多いとされます。ソースネクストの件がこれに当たるかは、分かっていません。

Webの仕組みへの攻撃の全体像は、教科書のWebサイトへの攻撃②とデータベースのセキュリティにまとめています。

自社で確かめる3つ

会員登録やお問い合わせを受けている会社なら、規模にかかわらず同じ形の窓口を持っています。自社のサイトを作った会社に、次の3つを聞いてください。

1. 会員情報を返す仕組みがあるか：アプリやサイトの裏で、会員情報を返すAPIを使っているか。使っているなら、ログインした本人の情報だけを返す作りか。委託先に聞く質問20が使えます。

2. 大量の取り出しに気づけるか：短い時間に多くの会員情報が取り出されたとき、記録が残り、誰かに知らせが届くか。記録の残し方はログの保管期間にあります。

3. 社員がパスワードを使い回していないか：同社は、同じメールアドレスとパスワードを他のサービスでも使っていれば変えるよう呼びかけています。会社のメールで登録した社員がいれば、社内のサービスのパスワードも変えてもらいます。決め方はパスワードのルールにあります。

同社は、流出した情報を使ったフィッシングメールやSMSにも注意するよう呼びかけています。開いてしまったときの動き方は不審なリンクを開いたときにあります。

取引先のチェックシートでは、ここに効く

今回確かめた3つは、取引先から届くチェックシートの設問にもそのまま使えます。よく出る設問と、答え方の記事は次のとおりです。

「制作会社に確認中」も、正直な答えの1つです。確認の日付と相手を書いておけば、次に聞かれたときに続きから答えられます。

担当者のあなたにとって

大きなニュースのあとは、上司から「うちは？」と聞かれます。何を確かめたかを1枚で返せれば、一人で判断を背負わずに済みます。報告のひな形です。

【ソースネクストの件について（報告）】
2026年10月〇日　〇〇（担当）

1. 公表の要点
　10月15日公表。会員情報取得APIの不正利用で、
　対象件数22,519,960件。原因は同社が調査中。
2. 自社で確かめたこと
　・会員情報を返す仕組み：〇〇（制作会社に確認済み）
　・大量の取り出しの記録：〇〇
　・社員のパスワードの使い回し：〇名に変更を依頼
3. 残っていること
　・〇〇（〇月〇日までに〇〇へ確認）

「分からない」は、期限と確認先をつけて書けば、報告として成り立ちます。

よくある質問

この記事のまとめ

• 2026年10月15日の公表では、会員情報取得APIの不正利用により、対象件数22,519,960件の個人情報が流出した可能性があります。
• 原因は調査中です。自社では、会員情報を返す仕組みと、大量の取り出しに気づけるかを制作会社に確かめます。
• 社員のパスワードの使い回しを確かめ、確かめた結果を1枚で上司に報告します。

参考にした資料

1. ソースネクスト株式会社「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」（2026年10月15日）
2. ソースネクスト株式会社「情報漏洩に関するよくあるご質問」（2026年10月15日）