【10/16】ソースネクスト情報流出2252万件｜パスワード再設定と今日やること
ソフトウェア販売のソースネクストは2026年10月15日、会員情報を管理するシステムが不正アクセスを受け、会員の個人情報が最大2251万9960件流出した可能性があると発表しました。流出した可能性のある項目には、メールアドレスやパスワード、氏名、住所、電話番号、生年月日が含まれます。クレジットカード情報は対象のシステムに保存されておらず、流出の対象には入っていません。
パスワードが含まれるため、ソースネクストのアカウントだけでなく、同じパスワードを使い回しているほかのサービスにも影響が及ぶおそれがあります。この記事では、同社の発表文とよくある質問のページ、各社の報道をもとに、何が起きたのか、自分が対象かどうか、今日やることを順に整理します（2026年10月16日午前時点）。
この記事でわかること
- 流出の中身：10月9日から13日まで会員情報取得APIが不正に使われ、最大2251万9960件のメールアドレス・パスワード・住所などが流出した可能性があります。カード情報は対象外です。
- 対象かどうか：10月13日13時36分までにソースネクストの会員になっていた人が対象で、順次メールか郵送で連絡が届きます。
- 今日やること：ソースネクストのパスワードを再設定し、同じパスワードを使っているほかのサービスも変えます。不審なメールやSMSのリンクは開きません。
目次
ソースネクストの情報流出で何が起きたか
ソースネクストの会員情報システムが不正アクセスを受け、最大2251万9960件の個人情報が外部に流出した可能性があります。
同社が10月15日に出した「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」によると、第三者が会員情報を取り出すための仕組み（会員情報取得API）を不正に使い、会員の情報を取得していました。同社は外部の専門調査機関と連携して詳しく調べており、原因は発表の時点で「究明中」としています。日本経済新聞、NHK、朝日新聞、TBSなどが同日夜に一斉に報じました。
件数が2250万件・2251万件・2252万件と分かれる理由
発表された件数は22,519,960件で、報道ごとの違いは端数の丸め方の違いです。
2251万9960件を「約2250万件」とする報道（TBSなど）、「2251万件」とする報道（共同通信・NHKなど）、四捨五入して「2252万件」とする報道（日本経済新聞・ITmediaなど）があります。いずれも同じ発表の同じ数字を指しています。なお、これは「流出した可能性がある」件数の上限で、同社は全員の全項目が流出したわけではないと説明しています。
セキュリティソフトやパスワード管理ソフトを売る会社
ソースネクストはウイルス対策ソフト「ZERO」シリーズや、パスワード管理ソフト「1Password」を販売している会社です。
同社はPCやスマートフォン向けのソフトウェアとハードウェアを手がけ、タイピング練習ソフト「特打」や年賀状ソフトでも知られています（Game Spark、TBS NEWS DIGの報道による）。ITmedia NEWSは、SNS上に「セキュリティソフトを売っている会社なのに」という投稿が見られたと報じています。ただし、今回不正アクセスを受けたのは製品そのものではなく、会員情報を管理するシステムです。
不正アクセスの経緯（10月9日〜15日の時系列）
不正アクセスは10月9日10時頃に始まり、同社が気づいたのは4日後の13日9時頃でした。
発表文とよくある質問のページから、経緯を日付順に並べると次のとおりです。
| 日時 | 起きたこと |
|---|---|
| 10月9日（金）10時頃 | 第三者による不正アクセスが始まる。会員情報取得APIが不正に使われる（後の調査で判明） |
| 10月13日（火）9時頃 | 会員情報を管理するシステムへの不正アクセスを確認 |
| 10月13日（火）13時36分 | 外部からの不正な通信を遮断し、封じ込めを完了 |
| 10月15日（木） | 個人情報保護委員会へ報告し、流出の可能性を公表。対象者へメールで順次連絡を始める |
| 10月16日（金） | 所轄の警察署へ被害を申告する予定 |
表のとおり、攻撃が始まってから止まるまでにおよそ4日かかっています。封じ込めのあとは不正アクセスは確認されていないと同社は説明しており、外部の専門機関と連携した調査と全システムの緊急点検を続けています。
会員情報取得APIとは何か
会員情報取得APIは、サイトやアプリが会員の登録情報を呼び出すための窓口のような仕組みです。
API（アプリケーション・プログラミング・インターフェース）は、プログラム同士がデータをやり取りするための決まった入り口です。ソースネクストの発表によると、攻撃者はこの入り口を不正に使って会員情報を取り出していました。どのような弱点を突かれたのかは公表されていませんが、よくある質問のページでは、原因となった脆弱性（セキュリティ上の欠陥）は修正済みとしています。
すぐに公表しなかった理由
同社は、初動対応と影響範囲の特定を優先し、所管官庁への報告を経て15日に公表したと説明しています。
よくある質問のページでは、不正アクセスを確認した13日に即日公表しなかった理由について、事実確認と個人情報保護委員会への報告を先に済ませたためとしています。確認から公表までは2日でした。
流出した可能性のある情報（カード情報は対象外）
流出の可能性があるのはメールアドレス、パスワード、氏名、住所など13の項目で、クレジットカード情報は入っていません。
発表文が挙げた項目を、悪用のされ方の違いで分けると次のようになります。どの項目が登録されているかは会員ごとに違い、全員の全項目が流出したわけではありません。
| 区分 | 流出の可能性がある項目 | 気をつけること |
|---|---|---|
| ログイン情報 | メールアドレス、パスワード | 同じ組み合わせでほかのサービスにログインされるおそれ |
| 連絡先・本人情報 | 氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日 | 本物らしく見える詐欺のメール・電話・郵便物に使われるおそれ |
| 勤務先の情報 | 会社名、役職名、部署名 | 会社あての不審な連絡に注意 |
| 利用の記録 | 加入サービス、登録日、ログイン日などの識別情報 | 買った製品名を挙げた「サポート」名目の連絡に注意 |
| 対象外 | クレジットカード情報 | 対象のシステムに保存されていなかった |
このうちいちばん急ぐのはログイン情報です。メールアドレスとパスワードの組み合わせは、そのまま別のサービスへの不正ログインに使えるため、次の章で触れる「使い回し」の確認が欠かせません。
パスワードがどんな形で保存されていたかは未公表
パスワードが暗号化されていたかどうか、同社は発表の中で明らかにしていません。
INTERNET Watchは、同社がパスワードを強制的にリセットしている対応から、暗号化されていない状態で流出した可能性も考えられると分析しています。ただし、これは記者の見立てで、同社の説明ではありません。保存の形が分からない以上、利用者としては「パスワードが読まれた」前提で動くのが安全です。（編集部分析）
自分が対象かどうかの確かめ方
10月13日13時36分までにソースネクストの会員登録をしていた人は、対象に入っていると考えてください。
よくある質問のページによると、対象範囲は2026年10月13日13時36分までの登録者です。INTERNET Watchによると、ここでいう会員のアカウントは「ソースネクストID」で、同社サイトでの製品の購入、サポートの利用、マイページの利用などに使われるものです。家電量販店で買ったソフトでも、ユーザー登録のためにソースネクストIDを作った覚えがあれば当てはまる可能性があります。なお、2251万9960件に退会済みの会員や長く使っていないアカウントが含まれるかどうかは、発表の時点では示されていません。登録した覚えがあれば、対象として動いておくのが安全です。
お詫びのメールと郵送の連絡
対象の会員には10月15日から登録メールアドレスあてに順次連絡が届き、メールの無い人には郵送されます。
メールアドレスを登録していない会員には書面で連絡するとしています。順次の送付なので、まだ届いていないからといって対象外とは限りません。昔使っていたメールアドレスで登録した場合は、そのアドレスに届いている可能性もあります。
今日やること（パスワード再設定と使い回しの変更）
ソースネクストのパスワードを再設定し、同じパスワードを使っているほかのサービスも今日のうちに変えます。
同社が発表文で求めている「お願い」は3つです。順番に並べると次のとおりです。
対象の会員がやること（同社のお願いの順）
1．ソースネクストのサイトにログインし、表示される案内に従ってパスワードを再設定する
2．同じパスワードをほかのサービスでも使っていれば、そのサービスのパスワードも変える
3．同社や関係先を名乗る不審なメール・SMS・電話・郵便物のURLや添付ファイルは開かず、個人情報やパスワードを入力しない
この3つのうち、2はソースネクストの側では対応できません。どのサービスで同じパスワードを使っているかは利用者本人にしか分からないため、自分で洗い出す必要があります。
使い回しの変更を急ぐ理由
流出したメールアドレスとパスワードの組み合わせで、ほかのサービスに不正ログインされるおそれがあるからです。
ITmedia ビジネスオンラインは、流出した組み合わせを使ってほかのサービスに次々とログインを試す「リスト型アカウントハッキング」の危険を挙げています。ネット通販、ネット銀行、SNS、メールなど、お金や連絡に直結するサービスから順に変えるのが現実的です。（編集部分析）変えるときは、サービスごとに別のパスワードにします。
急にログインできなくなったときは
同社が不正利用を防ぐためにパスワードを初期化しているためで、再設定すればログインできます。
よくある質問のページによると、流出の対象に含まれるパスワードのリセットは完了しています。そのため、以前のパスワードではログインできなくなっています。画面の案内に沿って新しいパスワードを設定してください。
偽のメール・SMS・電話への注意
住所や電話番号、買った製品の記録まで流出した可能性があるため、本物らしく見える詐欺の連絡に注意が必要です。
同社は、ソースネクストや関係先を名乗るフィッシングメール、SMS、電話、郵便物への警戒を呼びかけています。ITmedia NEWSは、同社から届いたパスワード再設定の案内メールが詐欺に見えてリンクを開くのが怖い、という趣旨の投稿がSNS上に見られたと報じています。
本物の案内か迷ったときの確かめ方
メールの中のリンクは使わず、ブックマークや検索から公式サイトを自分で開いて確かめてください。
（編集部分析）お詫びのメールが本物か偽物かを見分けようとするより、メールの中のリンクを使わないほうが、偽サイトに誘導される危険を減らせます。公式サイトから自分でログインすれば、再設定が必要な場合は画面に案内が出ます。電話で問い合わせたいときは、メールや電話で伝えられた番号ではなく、同社の発表文に載っている専用窓口（0120-035-116、10時〜18時、土日祝日も受付）にかけてください。
ソースネクストの流出は2023年に続き2回目
ソースネクストは2023年2月にも、直販サイトへの不正アクセスでクレジットカード情報の漏えいを公表しています。
ケータイ Watchによると、このときは決済の仕組みが改ざんされ、2022年11月15日から2023年1月17日に直販サイトで買い物をした人のカード情報11万2132件と個人情報12万982件が漏えいした可能性がありました。今回と前回を並べると、狙われた場所と流出した中身がまったく違います。
| 項目 | 2023年2月の公表 | 2026年10月の公表 |
|---|---|---|
| 狙われた場所 | 直販サイトの決済の仕組み（改ざん） | 会員情報を管理するシステム（API の不正利用） |
| 件数 | 個人情報12万982件（うちカード情報11万2132件） | 最大2251万9960件 |
| カード情報 | 含まれる（セキュリティコードまで） | 含まれない |
| パスワード | 含まれない | 含まれる |
| 利用者がやること | カードの明細確認・再発行 | パスワードの再設定と使い回しの変更 |
前回はカードを止めれば被害を抑えられましたが、今回はパスワードが対象なので、守る範囲がソースネクストの外のサービスにまで広がります。件数も前回の約186倍です。
国内で過去2番目の規模とされる件数
ITmedia ビジネスオンラインは、2014年のベネッセの約3504万件に次ぐ規模だと伝えています。
同記事は東京商工リサーチの集計をもとに、今回の件数を2014年7月に発覚したベネッセホールディングスの約3504万件に次ぐ規模とし、2026年に公表された情報漏えいの中では最多としています。（編集部分析）購入・サポート・マイページを1つのソースネクストIDにまとめる仕組みのため、一つの窓口が破られると影響が数千万件単位になります。製品のセキュリティを売る会社ほど、会員の登録情報そのものの守りが問われることになります。
ソースネクストの情報流出のよくある質問
流出した情報だけで契約や借入をされるおそれは低いと同社は説明しており、退会も専用窓口で受け付けています。
同社のよくある質問のページで答えが示されている点を、Q&Aの形でまとめます。
Q. 原因や実際に取られた件数は、今後公表されますか？
A. 同社は外部の独立したセキュリティ専門機関による第三者調査を準備中としており、新たに公表すべき事実が分かった場合はWebサイトなどで知らせるとしています。
Q. 流出した情報で、勝手に契約や借金をされることはありますか？
A. 同社は極めて困難との認識を示しています。会員登録で本人確認書類を出していないことと、契約や借入には厳しい本人確認が求められることを理由に挙げています。
Q. ソースネクストを退会したい場合はどうすればよいですか？
A. 不正アクセス専用の窓口で、メールのお問い合わせフォームか電話（0120-035-116）で受け付けています。退会する場合も、同じパスワードを使っているほかのサービスの変更は別に必要です。
まずはパスワードの再設定と使い回しの変更を今日のうちに済ませ、原因の続報は同社の発表ページで確かめてください。
参考情報
- ソースネクスト「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」（2026年10月15日）
- ソースネクスト「不正アクセスに関するよくあるご質問」
- INTERNET Watch「ソースネクスト、不正アクセスでパスワード含む会員の個人情報最大約2252万件が流出」（2026年10月16日）
- ITmedia ビジネスオンライン「ソースネクストで最大2252万件流出、ベネッセに次ぐ『歴代2位』」（2026年10月15日）
- ITmedia NEWS「ソースネクスト会員情報漏えい、パスワード含む最大2252万件 API不正利用される」（2026年10月16日）
- Game Spark「ソースネクストが約2,250万件の会員情報流出―クレジットカード情報は含まれず」（2026年10月15日）
- ケータイ Watch（2023年2月14日）ソースネクスト直販サイトのカード情報漏えい