ソースネクストで会員情報流出の可能性｜中小企業の対策

2026年10月15日、ソースネクスト株式会社は、会員情報を管理するシステムへの不正アクセスにより、会員情報が外部に流出したことが判明したと公表しました。流出した可能性のある情報は、最大22,519,960件です。

今回の事案で注目したいのは、会員情報を取得するAPIが不正に利用された点です。顧客情報を扱うシステムでは、ログイン画面やパスワードだけでなく、データを取得する仕組みやアクセス権限も適切に管理する必要があります。

この記事では、公式発表で確認できる内容を整理し、中小企業が自社の顧客情報を守るために見直したい対策を解説します。

1．ソースネクストで何が起きたのか

ソースネクストの公式発表によると、2026年10月13日午前9時ごろ、会員情報を管理するシステムへの不正アクセスを確認しました。同日午後1時36分までに不正アクセスの封じ込めを完了したと説明しています。

その後の調査で、10月9日午前10時ごろから第三者が会員情報取得APIを不正に利用し、登録情報を取得していたことが判明しました。流出した可能性のある情報の対象件数は22,519,960件とされています。

なお、対象件数は流出した可能性のある情報の件数です。すべての対象者について、以下の情報がすべて流出したと確認されたわけではありません。登録状況によって対象となる情報項目は異なります。

流出した可能性のある情報

• メールアドレス、パスワード
• 氏名、氏名カナ、住所、性別、生年月日
• 電話番号、FAX番号
• 会社名、役職名、部署名
• 加入サービス、登録日、ログイン日などのシステム固有の識別情報

同社は、今回不正アクセスを受けた対象システムにクレジットカード情報を保存しておらず、流出対象には含まれていないと公表しています。事案の経緯や対象情報の詳細は、ソースネクストの公式発表で確認できます。

2．中小企業も考えたい、顧客情報流出の影響

顧客情報が外部に流出した場合、情報の内容や悪用の有無によって、さまざまな影響が生じる可能性があります。次のような事態を想定しておくことが重要です。

① 不審なメールや電話が届く

氏名、メールアドレス、勤務先などが知られると、実在する企業や取引先を装った連絡に悪用される可能性があります。過去の取引や登録情報に触れた内容であっても、送信元やリンク先を確認せずに信用しないことが大切です。

② パスワードの使い回しが別の被害につながる

複数のサービスで同じパスワードを使用していると、あるサービスで流出した認証情報を使って、別のサービスへのログインを試みられるおそれがあります。サービスごとに異なるパスワードを設定し、多要素認証を利用できる場合は導入を検討しましょう。

③ 顧客や取引先への説明が必要になる

自社で情報漏えいが起きた場合、対象情報の確認、関係者への説明、問い合わせ対応、原因調査などが必要になる可能性があります。情報が漏れたかどうかを確認するだけでなく、誰が判断し、誰が連絡するかを事前に決めておくことが重要です。

3．自社の顧客情報を守るために確認したい5つの対策

① 顧客情報をどこに保管しているか整理する

顧客情報が、社内サーバー、クラウドサービス、顧客管理システム、表計算ファイル、外部委託先など、どこに保管されているかを把握しましょう。担当者個人のパソコンや共有フォルダーに情報が分散していないかも確認します。

② アクセス権限を必要最小限にする

すべての従業員が、すべての顧客情報を閲覧・出力できる必要があるとは限りません。業務に必要な人だけが必要な情報にアクセスできるようにし、退職者や異動者のアカウント、使われていないアカウントも定期的に確認しましょう。

③ ログや操作記録を確認できるようにする

誰が、いつ、どの情報にアクセスしたかを確認できる仕組みは、不審な動きを見つけたり、事故発生後に影響範囲を調べたりする際に役立ちます。ログが取得されているか、必要な期間保管されているか、担当者が確認できるかを点検してください。

④ 委託先・クラウドサービスの管理を見直す

顧客情報を外部のシステムや委託先で管理している場合も、自社の情報管理と無関係ではありません。委託先が実施しているセキュリティ対策、アクセス権限の管理、事故発生時の連絡先、報告手順などを確認しましょう。

⑤ 漏えいが疑われたときの対応手順を決める

異常を発見した際に、誰へ連絡し、どの記録を残し、どの範囲でアクセスを制限するかを決めておきます。慌てて端末やデータを初期化すると、原因調査に必要な情報が失われる可能性があります。社内の責任者やシステム保守会社、専門家に相談しながら対応する手順を整えましょう。

4．情報漏えいが疑われたときの初動対応

• 異常に気づいた日時、端末、画面表示、メールなどを記録する
• 影響が疑われるシステムやアカウントを整理する
• 社内の責任者、システム保守会社、専門家へ連絡する
• 必要に応じてアクセス制限などの被害拡大防止策を検討する
• 顧客や取引先への連絡が必要か、専門家と確認する
• 事故時の報告先や保険会社への連絡手順を確認する

個人情報の漏えいが疑われる場合は、事実確認と並行して、個人情報保護法などに基づく報告・本人通知が必要になるかを確認することも重要です。必要な対応は、漏えいした情報の内容や状況によって異なります。

5．サイバー保険で確認したいこと

情報漏えいが発生すると、原因調査、外部専門家への相談、顧客対応、通知、システム復旧などの費用が発生する可能性があります。また、事故によっては事業への影響や損害賠償請求などが問題になることもあります。

サイバー保険は、すべての事故や費用が自動的に補償されるものではありません。契約によって、補償対象となる事故、対象費用、支払限度額、免責金額、対象外となる条件などが異なります。

顧客情報を扱う企業は、次の点を契約内容に沿って確認しておきましょう。

• 情報漏えい事故に関する補償の範囲
• 原因調査や外部専門家への対応費用
• 顧客・取引先への通知や問い合わせ対応に関する費用
• 事故発生時の連絡先、通知期限、必要な手続き
• 自社の事業内容や保管している情報に合った補償内容か

事故が起きてから補償内容を初めて確認するのではなく、平時から契約内容と事故時の連絡手順を確認しておくことが大切です。

まとめ：顧客情報の管理は、保管場所と権限の確認から

ソースネクストの公表事案では、会員情報取得APIの不正利用により、最大約2,252万件の会員情報が流出した可能性があるとされています。対象件数だけでなく、どのような情報が扱われ、どの仕組みで取得されるのかを把握することが重要です。

中小企業でも、顧客情報の保管場所、アクセス権限、ログの管理、委託先との連絡体制、漏えい時の初動手順を見直すことができます。まずは自社で扱う顧客情報を整理し、誰がアクセスできるかを確認することから始めてみてください。

関連情報：中小企業のサイバー保険｜基本と実務上の確認ポイント、サイバー保険の比較で確認したいポイント、サイバー攻撃に備える事業継続と復旧訓練

出典：ソースネクスト「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」