トップ ＞ テクノロジー

ソースネクスト会員情報流出、暗号化パスワードが読める状態で漏れた理由

内容

何が起きたのか

ソースネクストは、会員情報を取り出すためのAPIが不正アクセスを受け、会員の個人情報が流出した可能性があると10月15日に公表しました。対象は最大約2252万件で、氏名、住所、メールアドレス、パスワードなどが含まれます。件数は報道によって約2251万件、約2250万件とも伝えられています。不正アクセスがいつ始まったのか、具体的な時期は現時点で明らかになっていません。

なぜパスワードが読める状態で流出したのか

同社はパスワードを暗号化して保存していたと説明しています。ただ、不正アクセスを受けたAPIは、暗号化されたパスワードを元に戻す（復号する）ための鍵にアクセスできるシステムでした。同社によると、鍵そのものは流出していません。それでも、パスワードは復号された状態で外部に出たことを確認しており、攻撃者が元の文字列を入手していたことを認めています。

元に戻せない「ハッシュ化」という方式を使っていなかった理由については、当該システムの開発時期が古く、当時採用した暗号化方式を使い続けていたためと説明しています。その結果、新しい方式への移行ができていなかったとしています。システムの具体的な開発時期は明らかにしていません。

APIの返す情報にパスワードが含まれていた理由について、一部の記事は、ライセンス管理システムとの連携など、パスワードが必要な作業で使うためと同社が答えたと伝えました。これに対して同社は「正式な回答とは異なるもの」としています。ただ、どの部分が異なるのかは説明していません。APIの利用目的やシステム間の連携状況については、関係機関の捜査・調査に協力中であることを理由に、詳しい回答を控えています。

影響と現在の対応

同社は全顧客のパスワードを強制的にリセットし、利用者に再設定を求めています。あわせて、同じパスワードを他社のサービスでも使っている場合は、そちらも変更するよう呼びかけています。必要なセキュリティ対策はすでに実施したとしています。一方で、対策の内容や再設定後のパスワードの管理方式は、新たな攻撃を招くおそれがあるとして公表していません。流出した情報が悪用されたかどうかなど、実際の被害の有無は現時点で明らかになっていません。

注目ポイント

対象が最大で2000万件を超え、多くの人が自分も含まれているかもしれないと感じる規模であることが関心を集めています。パスワードを暗号化していたにもかかわらず、復号された状態で流出したという意外さも注目点です。今後は、同社が公表を控えているシステムの仕組みや再設定後の管理方式がどこまで説明されるのかが焦点になりそうです。

参考記事

• ソースネクスト、パスワードなぜ平文で流出 「暗号化していたが、鍵にアクセスできるシステムに侵入された」　2026年10月19日 12:38
• ソースネクスト、パスワードなぜ平文で流出 「暗号化していたが、鍵にアクセスできるシステムに侵入された」(ITmedia NEWS)Yahoo!ニュース　2026年10月19日 13:09

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。