📡 Signal｜ソースネクスト、会員 API 悪用で2,251万件流出の可能性

年賀状ソフトなどを手がけるソースネクストは10月15日、自社サイトへの不正アクセスで、顧客の個人情報2,251万9,960件が漏洩した可能性があると発表した。第三者が「会員情報取得 API」を不正に使い、10月9日の午前10時ごろから13日の13時36分までの4日余り、登録者の情報を引き出していた。

漏れた可能性がある情報には、メールアドレスとパスワードの組み合わせが含まれる。カード情報はこのシステムに保持しておらず、対象外だ。画面のログインを破るのではなく、会員情報を返す API そのものが大量の持ち出しの通り道になった。

3連休をまたいだ4日間

同社によると、不正アクセスは10月9日 (金) の午前10時ごろに始まり、13日 (火) の午前9時ごろに判明した。封じ込めを終えたのは同日13時36分で、それ以降の不正アクセスは確認されていない。間の10月12日はスポーツの日で、攻撃は土日と祝日の3連休をまたいでいた。

続いた時間は約99.6時間になる。2,251万9,960件をこの時間で単純に割ると、毎秒60件あまりの情報が引き出され続けた計算だ。

漏洩した可能性がある項目は次のとおりで、登録内容によって人ごとに異なる。

• メールアドレス、パスワード
• 氏名、フリガナ、住所、性別、電話番号、FAX 番号、生年月日
• 会社名、役職名、部署名
• 加入しているサービス、登録日、最終ログイン日などのシステム上の情報

同社は10月15日に個人情報保護委員会へ報告し、16日に警察へ被害を届け出るとしている。現時点で、漏れた情報が悪用されたという記載はない。

パスワードの扱いは書かれていない

利用者がまず確かめるべきは、パスワードが漏洩の項目に入っている点だ。発表は、パスワードがどのような形 (暗号化やハッシュ化) で保存されていたかを書いていない。同社はソースネクストのアカウントのログイン時にパスワードの再設定を求めている。

同じメールアドレスとパスワードの組み合わせを他のサービスで使っている場合、そちらも変えるよう同社は呼びかけている。漏れた組み合わせを他のサイトで順に試す攻撃 (リスト型攻撃) では、元のサービスで再設定しても、使い回した先の口座は守れないためだ。会社名や部署名まで含むため、取引先を装ったメールや電話にも注意が要る。

ソースネクストは2023年2月にも、直販サイトの改ざんでクレジットカード情報が漏れたと公表している。今回狙われたのは、会員の基本情報とログイン情報の側だ。

API が狙われる流れ

API を通じた大量取得は、10月に入って日本の情報セキュリティの調整機関 JPCERT/CC が注意を促している手口と重なる。JPCERT/CC は10月8日の注意喚起で、9月前後に国内組織で相次いだ不正アクセスの事例として、公開アプリを解析して API の接続先や鍵を見つけ、内部向けの API を狙う手口を挙げた。

推奨策の最初に挙がるのは、API への要求回数を制限すること (レート制限) と、ログインやパスワード再設定、検索などの重要な機能にはより厳しい制限をかけることだ。毎秒60件あまりという今回のペースは、この制限が何のためにあるかを示す数字になる。ソースネクストは、どのように API が不正に使われたかを明らかにしておらず、システム全体の緊急点検を進めているとしている。

同じ15日には、千葉市の酒販店いまでやも、自社で作った Shopify 連携アプリの API トークンが悪用されて顧客情報が抜き取られていたと公表した (Signal)。API は、使い勝手のために作った出入口が、そのまま大量の持ち出しの出口にもなる。

次に見るもの

確認できる次の一点は、ソースネクストの同じお知らせページの続報だ。API がどのように不正に使われたか、パスワードの保存の形、16日に予定する警察への届け出の結果が書き加えられるかを見る。

もう一つは、JPCERT/CC の注意喚起 (JPCERT-AT-2026-0030) の更新だ。API の悪用の事例が追加されるかで、同じ型の被害がどこまで広がっているかが測れる。

ことば

• API — ソフトやサービスどうしがデータをやり取りするための窓口。アプリやサイトの裏側で会員情報などを返す役目を持ち、守りが弱いと外から直接データを引き出される。
• レート制限 — 一定時間に受け付ける要求の回数に上限を設ける仕組み。大量の連続した要求を止め、情報の一括持ち出しや総当たりの攻撃を防ぐ。
• リスト型攻撃 — 他のサービスから漏れたメールアドレスとパスワードの組み合わせを、別のサイトのログインに次々と試す攻撃。パスワードの使い回しがあると被害が広がる。

🔗 一次ソース

• 不正アクセスによるお客様情報漏えいに関するお詫びとお知らせ (ソースネクスト・2026年10月15日／対象22,519,960件、10月9日10時ごろ〜13日13時36分、会員情報取得 API の不正利用、漏洩の可能性がある項目、カード情報は非保持、個人情報保護委員会への報告と警察への届け出予定を確認)ソースネクスト
• NHK ニュース公式 X の速報 (10月15日)
• 直近で相次いでいる国内組織における不正アクセスに関する注意喚起 (JPCERT/CC・2026年10月8日公開・9日更新／API の悪用の手口とレート制限などの推奨策を確認)JPCERT/CC
• ソースネクスト・サイトへ不正アクセス、112,132名のカード情報漏えい (ScanNetSecurity・2023年2月15日／2023年の直販サイトの事案)ScanNetSecurity