ソースネクスト個人情報流出事件（2026年）
2026年10月、ソフトウェア販売などを手がけるソースネクスト株式会社は、会員情報を管理するシステムへの不正アクセスにより、最大約2,252万件の個人情報が流出した可能性があることを公表しました。
対象となる情報には、氏名やメールアドレス、住所だけでなく、パスワードも含まれています。
今回の事件は、会員情報を取得するためのシステム機能が不正に利用された点が特徴です。
事件の概要や企業の対応を整理するとともに、企業が個人情報を安全に管理するための教訓を考えます。
事件の概要
2026年10月15日、ソースネクストは、第三者による不正アクセスによって会員情報が外部に流出したことを公表しました。
同社によると、10月13日午前9時頃に不正アクセスを確認し、同日午後1時36分までに封じ込めを完了しました。
その後の調査により、不正アクセスは10月9日午前10時頃から行われていたことが判明しています。
流出した可能性がある個人情報は、最大2,251万9,960件です。
対象となる情報には、次の項目が含まれています。
- メールアドレス、パスワード
- 氏名、氏名カナ
- 住所、電話番号、FAX番号
- 性別、生年月日
- 会社名、役職名、部署名
- 加入サービス、登録日、ログイン日などの識別情報
ただし、すべての会員について、これらすべての情報が流出したということではありません。対象となる項目は、会員ごとの登録状況によって異なります。
また、クレジットカード情報は対象システムに保存されておらず、今回の流出対象には含まれていないと説明されています。
個人情報流出の原因
今回の事件では、会員情報を取得するための「API」と呼ばれる仕組みが不正に利用されました。
APIとは、異なるシステムやアプリケーションが情報をやり取りするための仕組みです。
例えば、会員がログインした際に登録情報を表示するなど、さまざまなサービスで利用されています。
ソースネクストの発表によると、第三者が会員情報取得APIを不正に利用し、登録されている情報を取得していました。
公式FAQでは、発覚後に原因となったシステムの脆弱性を修正したことが説明されています。
一方、不正アクセスに用いられた具体的な技術的手法や、脆弱性の詳細については明らかにされていません。
この事件から考えられるのは、個人情報を保管するデータベースだけでなく、情報を取得するためのシステム機能についても適切な管理が必要だということです。
企業対応
ソースネクストは不正アクセスを確認した後、外部からの不正な通信を遮断し、被害拡大を防ぐための対応を実施しました。
公表されている主な対応は次のとおりです。
- 不正アクセスの遮断と封じ込め
- 原因となったシステムの脆弱性の修正
- 対象となるパスワードのリセット
- 会員への個別通知
- 外部専門機関と連携した調査
- 全システムの緊急点検
- 個人情報保護委員会への報告
- セキュリティ対策や監視体制の見直し
また、会員に対しては、パスワードの再設定を求めるとともに、他のサービスでも同じパスワードを使用している場合には、そちらも変更するよう呼びかけています。
事件による影響
今回の事件で特に注意が必要なのは、流出した可能性のある情報にパスワードが含まれている点です。
メールアドレスとパスワードの組み合わせが第三者に取得された場合、同じ情報を利用して他のサービスへの不正ログインが試みられるおそれがあります。
また、氏名や住所、電話番号などが悪用されれば、企業や関係者を装った不審なメール、SMS、電話などにつながる可能性もあります。
ソースネクストも、こうした二次被害への注意を呼びかけています。
さらに、企業側にはシステム調査や復旧、利用者への通知、問い合わせ対応、再発防止策の実施など、多くの対応が求められます。
個人情報の漏えいは、情報そのものの問題にとどまらず、企業の信頼や事業運営にも関わる課題です。
この事件から学ぶべきこと
今回の事例から学びたいのは、個人情報を安全に保管するだけでは十分ではないということです。
企業では、会員管理システムや予約システム、顧客管理ツールなど、さまざまな仕組みを通じて個人情報を利用しています。
そのため、情報を取得・表示・連携する機能についても、適切な管理が必要になります。
企業が確認しておきたい主な項目は次のとおりです。
- 個人情報を取得できるシステムや利用者を適切に制限しているか
- システムの脆弱性を定期的に確認し、必要な修正を行っているか
- 不審なアクセスを検知できる監視体制が整っているか
- パスワードなどの認証情報を適切に管理しているか
- 必要以上の個人情報を保存・利用していないか
- 不正アクセス発生時の対応手順を定めているか
- 漏えい時の報告・通知体制を整備しているか
こうした確認は、大規模なシステムを運営する企業だけに必要なものではありません。
外部の予約サービスや顧客管理システムを利用している中小企業にとっても、共通する課題です。
個人情報管理を組織として継続するために
ソースネクストの事例が示しているように、個人情報の管理では、システムの安全性を維持するとともに、不正アクセスを想定した継続的な点検が重要です。
また、万が一の事故に備えて、責任者や対応手順、関係機関への報告方法などをあらかじめ整理しておく必要があります。
こうした取り組みを担当者個人の判断だけに任せるのではなく、組織として継続できる仕組みにすることが大切です。
個人情報の取扱いルールや管理体制を整え、第三者の視点から確認する方法の一つが、JAPHICマークです。
JAPHICマークの取得によってサイバー攻撃を完全に防げるわけではありませんが、個人情報を適切に取り扱うための組織的な管理体制づくりに役立ちます。
JAPHICマークで備える安心
JAPHICマークを取得した事業者には、情報漏えい保険（サイバーリスク保険）が自動付帯されます。
- 賠償責任支払限度額：500万円（免責0円）
- 情報漏えい対応費用支払限度額：200万円（免責0円）
（※売上5億円以下は自動付帯、5億円超は任意加入）
取引先からの「個人情報保護の証明」に応えるだけでなく、万が一のリスクにも備えられるのがJAPHICマークの大きなメリットです。
実際の導入を検討されている場合は、以下のページも参考にしてみてください。
▶JAPHICマーク取得支援コンサルティングの詳細はこちら
▶他の記事も読む：JAPHICコラム一覧ページへ
参考資料
ソースネクスト株式会社「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」（2026年10月15日）
ソースネクスト株式会社「情報漏洩に関するよくあるご質問」
※本記事は公表資料に基づき、個人情報管理の教訓を紹介することを目的としています。事件の原因や影響については、公表時点で確認されている情報をもとに記載しています。
