ソースネクスト：会員情報API不正利用により最大2,252万件の個人情報流出

sourcenext-breach-2026 · 公表 2026-10-15

ソースネクストの会員情報取得APIが第三者に不正利用され、最大2,251万9,960件の会員情報が流出した可能性があります。パスワードは暗号化されていましたが、復号鍵にアクセス可能なシステムへの侵入により平文で流出しました。攻撃は10月9日に開始され、13日に検知・封じ込められました。

実装の脆弱性

確認範囲: 侵害を確認

侵入経路と確認できたこと

公表で確認
10月9日10時頃から不正アクセスがあり、会員情報取得APIを不正に利用して情報を取得しました。13日9時頃に確認し、13時36分までに封じ込めを完了しました。
[s1]10月9日（金）10時頃から不正アクセス
公表で確認
流出可能性のある対象件数は22,519,960件です。対象情報はメールアドレス、パスワード、氏名、住所、電話番号、生年月日などです。クレジットカード情報は対象システムに保存されておらず、流出対象に含まれません。
[s1]対象件数：22,519,960件
公表で確認
パスワードは暗号化して保存していましたが、復号鍵にアクセス可能なシステム（API）への不正アクセスにより、パスワードが復号された状態で流出しました。システムは開発時期が古く、最新のハッシュ化方式へ移行できていませんでした。
[s3]暗号化されたパスワードを復号するための鍵にアクセス可能なシステム

公表で確認
不正アクセス検知後、速やかに緊急措置を講じ、13時36分までに封じ込めを完了しました。漏えい対象に含まれるパスワードをリセットし、ログイン時にパスワードの再設定を求めています。
[s1]10月13日（火）13時36分までに封じ込め対応を完了
公表で確認
外部の専門調査機関と連携して詳細な調査を進めるとともに、全システムの緊急点検を実施しています。
[s1]外部の専門調査機関と連携して詳細な調査

未評価。この事例には編集者の仮説をまだ追加していません。安全性や原因の確定を示すものではありません。

運用・設定を点検

旧式の暗号化方式を継続使用し、復号鍵にアクセス可能なAPIの保護が不十分でした。関連ルールでパスワードのハッシュ化、API認証、アクセス制御を点検します。

編集上の評価。責任や過失の認定ではありません。 [s3]

AIの関与不明

確認した一次資料からは、攻撃者によるAI利用を判断できません。

具体的なAPI侵入経路、使用されたCVE、実際に流出したメールアドレスの正確な件数は未確定です。システムの開発時期も明らかにされていません。