ソースネクストの会員情報を管理するシステムへの不正アクセス

経緯

ソースネクストの告知では、不正アクセスを確認した後の調査で、第三者が会員情報取得APIを不正に利用し、会員登録している顧客の情報を取得したことが判明した⁠［1］。同社のよくある質問のページでは、原因となったシステムの脆弱性（セキュリティの弱点）を発覚後直ちに修正した⁠［2］。

ソースネクストの広報担当者はITmedia NEWSの取材に、暗号化されたパスワードを復号するための鍵にアクセスできるシステム（API）が不正アクセスを受けたと説明した⁠［19］。復号鍵そのものは流出していない⁠［19］。パスワードをハッシュ化していなかったのは、システムの開発時期が古く、当時採用した暗号化方式を使い続けた結果、最新のハッシュ化方式に移行できていなかったためだと述べた⁠［19］。

ITmedia NEWSが会員情報取得APIの役割を尋ねると、ソースネクストは新たな攻撃を助長するおそれがあるとして回答を控えた⁠［19］。APIの戻り値にパスワードを含めていた理由を同社が一部メディアに回答したとされる点を問われると、「当社が確認を経てお伝えした正式な回答とは異なるもの」と述べた⁠［19］。APIの具体的な利用目的とシステム間の連携状況は、関係機関による捜査・調査に現在協力していることから、詳細な回答を差し控えた⁠［19］。

ソースネクストのよくある質問のページによると、即日に発表しなかったのは、発覚直後は被害の拡大を食い止める初動対応や影響範囲の特定を最優先で行っていたためである⁠［2］。不確実な情報による混乱を避けるため、一定の事実確認と所管官庁への報告を済ませてから公表した⁠［2］。

ソースネクストは2023年2月14日にも、同社のサイトへの別の不正アクセスを公表していた⁠［20］。このときは、ペイメントアプリケーションの改ざんにより、クレジットカード情報112,132件と個人情報120,982件が漏えいした可能性があるとした⁠［20］。

目次へ

時系列

目次へ

影響範囲

ソースネクストの告知によると、流出した可能性のある顧客情報の項目は、メールアドレス・パスワード・氏名・氏名カナ・住所・性別・電話番号・FAX番号・生年月日・会社名・役職名・部署名と、システム固有の識別情報（加入サービス・登録日・ログイン日等）である⁠［1］。これは全項目を並べたもので、すべての顧客で全項目が流出したわけではなく、登録状況により対象の項目は異なる⁠［1］。クレジットカード情報は対象のシステムに保存されておらず、流出の対象に含まれない⁠［1］。

よくある質問のページでは、対象の範囲は10月13日13時36分までに登録があった顧客である⁠［2］。今回の件に起因するカードの利用停止や再発行の手続きは不要である⁠［2］。「スーパーセキュリティ」「ウイルスセキュリティ」はこれまで通り使え、「筆まめ」「筆王」「筆ぐるめ」「宛名職人」の製品も使える⁠［2］。「1Password」に保存されたパスワードなどのデータは同社が保有しておらず、今回の流出の対象外で、1Passwordの利用にも影響はない⁠［2］。

ソースネクストは総合サポートのページで、「スーパーセキュリティ for Business」に関連する個人情報（契約・購入アカウントや製品アカウントなど）の漏洩はないと回答した⁠［3］。

ソースネクストの2016年1月25日の発表では、「スマートフォンセキュリティ」などを、日本ケーブルテレビ連盟に加盟するケーブルテレビ各局が販売するスマートフォンの基本オプションとして、株式会社アイテムを通じて提供するとしていた⁠［21］。INTERNET Watchによると、ソースネクストの会員サービス（ソースネクストID）では、同社サイトでの商品の購入やサポートの利用、マイページの利用などができる⁠［16］。

日本ネットワークサービスは、今回の不正アクセスはソースネクスト社のシステムで発生したもので、自社のシステムが受けたものではないとした⁠［6］。鹿沼ケーブルテレビは、自社が管理する顧客の情報の漏えいも、自社システムへの不正アクセスも確認されていないと説明した⁠［13］。

目次へ

対応と現状

パスワードの無効化と再設定

10月15日の告知では、アカウントを保護するため、ログイン時にパスワードの再設定を求める措置を講じている⁠［1］。流出した可能性のあるメールアドレスとパスワードの組み合わせで、第三者が他のサービスへのログインを試みるおそれがある⁠［1］。同じ組み合わせを使う他のサービスについても、パスワードを変えるよう求めた⁠［1］。

よくある質問のページでソースネクストは、漏洩対象に含まれるパスワードを無効化する措置を、発覚後直ちに完了したと説明した⁠［2］。急にログインできなくなったのは今回の不正アクセスと関係があり、第三者による不正利用を防ぐため、順次パスワードの無効化を実施している⁠［2］。メールか書面で知らせが届いた顧客には、案内文に書いた手順でパスワードを変更するよう求めた⁠［2］。

INTERNET Watchは10月20日の追記で、ソースネクストがパスワードをリセットしており、流出したパスワードではソースネクストIDにログインできないようになっていると報じた⁠［16］。

日本ネットワークサービスは利用者向けの告知で、パスワード再設定のページに「アクセスが集中し、ページがつながりにくい場合があります」と注記した⁠［6］。＠ITは、記事を書いていた10月16日17時ごろ、ログインサイトへのアクセス集中によってパスワードの変更が困難になっていたと報じた⁠［18］。コールセンターの窓口にもアクセスが集中し、電話がつながらない状態だった⁠［18］。

監視・調査とセキュリティの強化

告知を出した10月15日には、対応完了後の不正アクセスは確認されておらず、ソースネクストは継続して監視を行っていた⁠［1］。外部の専門調査機関と連携して詳細な調査を進め、全システムの緊急点検も実施していた⁠［1］。

よくある質問のページでは、他に脆弱性がないかの調査も開始しており、現在のところサービス自体は安全に利用できる状態を確認している⁠［2］。さらなるセキュリティ強化のため、オンライン製品・機能のメンテナンスを行っている⁠［2］。対象は「みんなの筆王」のサービス全般、「筆王」「筆ぐるめ」のクラウド保存機能、「筆まめ」「筆王」「宛名職人（Mac）」のネットプリント・コンビニプリント機能である⁠［2］。

ソースネクストはITmedia NEWSの取材に、必要なセキュリティ対策はすでに実施していると述べた⁠［19］。具体的な対策の内容は、開示が新たな不正アクセスを助長するおそれがあるとして明かさなかった⁠［19］。再設定後のパスワードの管理方式も、システムのセキュリティ確保の観点から回答を差し控えた⁠［19］。

顧客への連絡

ソースネクストは告知で、流出した可能性のある情報が悪用され、同社や関係先などを装った不審なメール（フィッシングメール）、SMS、電話、郵便物などが届く可能性があるとした⁠［1］。不正アクセス専用の問い合わせ窓口として、電話とお問い合わせフォームを設けた⁠［1］。よくある質問のページでは、メールアドレスの登録がない顧客には、書面（郵送）で連絡する予定である⁠［2］。

目次へ

未公表の事項

• 情報の取得が可能になった具体的な原因と攻撃手法の詳細（＠ITは、ソースネクストが引き続き調査中としていると報じた⁠［18］）
• 対象件数に当たる人数と、実際に取得された件数
• 攻撃者とその目的
• 流出した情報の悪用の有無
• メンテナンス中の製品・機能を再開する時期（ソースネクストは、再開したらよくある質問のページで知らせるとした⁠［2］）

注

• 〔注1〕ソースネクストは10月15日の告知で、10月16日に所轄警察署へ被害申告を行う予定だとしていた⁠［1］。
• 〔注2〕伊賀タウン情報YOUは、アドバンスコープによると漏洩した可能性があるのは約800件で、内容は氏名、氏名カナ、メールアドレス、パスワード、4桁の暗証番号だと報じた⁠［17］。

出典

更新記録

• 2026年10月26日：公開した。

目次へ