📡 Signal｜So-net、不正アクセスで会員約 258 万件が漏えい

インターネット接続サービス So-net を運営するソニーネットワークコミュニケーションズは10月27日、会員データベースへの不正アクセスで個人情報の漏えいを確認したと公表した。So-net の会員と元会員が約 214 万件、plala (Sコース) の会員と元会員が約 44 万件で、合わせて約 258 万件にのぼる。約 5.4 万のメールアドレスでは、メールのパスワードも漏れた。

ソニーネットワークコミュニケーションズ「So-net 会員データベースへの不正アクセスによる情報漏洩について」(10月27日) — 5 区分の件数と項目、10月19日の侵入・23日の検知・24日の確認、クレジットカード情報は対象外を確認So-net(ソネット)

漏れたのは、インターネットの接続そのものを支える会員の台帳だ。氏名や生年月日に加え、接続用の ID とメールのパスワードが外に出た。10 月に続く国内の漏えいのなかでも、利用者が日々の連絡の起点にしている場所が狙われた。

何が、何件漏れたのか

発表によると、漏えいを確認した情報は 5 つの区分に分かれる。

• So-net の会員情報: 2,141,986 件 (現会員 1,869,771 件・2026年3月以降に退会した元会員 272,215 件)。氏名、電話番号、メールアドレス、ユーザー ID、生年月日、性別、接続用 ID
• メールアドレスとそのパスワード: メールサービス (G) 24,655 件、A-Box 17,672 件、ソネット VAIO メール 7,005 件、PostPet メールアカウント 5,069 件
• plala (Sコース) の会員情報: 443,495 件 (現会員 422,365 件・元会員 21,130 件)。項目は So-net の会員情報と同じ
• 銀行口座の情報: 16 件 (金融機関名・口座番号・口座名義人など。暗証番号は保有していない)
• パスワード再設定用の通知書の情報: 7 件

会員情報の 2 区分では、パスワードの漏えいはないとしている。クレジットカードの情報は、同社が保持していないため漏えいはない。2026年2月末までに退会した人の情報も漏れていない。NURO などほかのサービスで漏えいは確認されていない。

侵入から公表まで 8 日

経過は次のとおりだ。10月19日に外部から不正アクセスを受け、23日にそのアクセスを確認して対象のサーバーを止め、通信元からの接続を遮断した。24日に調査で漏えいを確認し、項目と件数をつかんだ。27日に公表し、同日 10 時ごろからメールのパスワードの強制変更を順次始めた。

原因は「第三者からの不正アクセス」で、手口は調査中だ。個人情報保護委員会には報告済みで、27日時点で把握している範囲では二次被害は確認されていない。

侵入から検知まで 4 日かかった。その間、元会員まで含む台帳がサーバーの上で開いていたことになる。同社は退会者の情報を、最終月の請求や問い合わせ対応のために一定期間保持していたと説明している。

メールのパスワードが持つ重さ

会員情報の大半はパスワードを含まないが、約 5.4 万件のメールのパスワードは別の重さを持つ。同社の FAQ は、漏れたアドレスとパスワードで第三者がメールを読み書きできる状態だったと、強制変更の理由を説明している。メールの受信箱は、ほかのサービスのパスワード再設定の連絡が届く場所でもある。受信箱が開けば、そこにつながるほかの口座にも手が届きうる。

10 月の国内の漏えいは、守りの外側にある共通の基盤が破られる型が続いた。宿の予約を束ねる TEMAIRAZU、メールの配信を受け持つ ユミルリンク、そして価値そのものを抜かれた ギフティ。今回はさらに手前の、ネットにつながるための契約の台帳だった。利用者が名前を意識しない基盤ほど、破られたときの影響は本人の見えないところから広がる。

次に見るもの

確認先は So-net のお知らせのページ (so-net.ne.jp/info) だ。同社は原因と影響範囲を調査中で、侵入の経路と、サーバーの上で元会員の情報をどれだけの期間持っていたかが次の報告で示されるかを見る。対象のメールサービスを使っている人は、マイページからメールのパスワードを設定し直す必要がある。問い合わせは特設ダイヤル (0120-36-8887) が平日と土曜に受け付け、11月1日と3日も開く。

ことば

• ISP (インターネットサービスプロバイダー) — 家庭や会社の回線をインターネットにつなぐ事業者。接続用の ID のほか、メールアドレスなどの付帯サービスも提供することが多い。
• 接続用 ID — 回線をインターネットにつなぐときに使う、契約ごとの認証用の ID。メールやマイページのログイン ID とは別に発行される。
• 二次被害 — 漏れた情報を使った別の被害。偽のメールや電話でさらに情報を聞き出すフィッシング、パスワードの使い回しを突いた不正ログインなどがある。

🔗 一次ソース

• ソニーネットワークコミュニケーションズ「So-net 会員データベースへの不正アクセスによる情報漏洩について」(10月27日) — 5 区分の件数と項目、10月19日の侵入・23日の検知・24日の確認、クレジットカード情報は対象外を確認So-net(ソネット)
• So-net「ご質問と回答」 — 最大 258.6 万件、メールのパスワード約 5.4 万アドレス、強制変更の開始時刻、退会者の情報の保持理由を確認So-net(ソネット)