概要

2026年10月9日10時頃から第三者が会員情報取得APIを不正に利用して会員情報を取得していた。10月13日9時頃に社員が会員情報管理システムへの不正アクセスを見つけ、13時36分までに封じ込めを完了した。このAPIは定期処理にも使われていたため、不正アクセスと見分けにくかった。流出した可能性があるのは、10月13日13時36分までに登録された顧客の22,519,960件。メールアドレス、パスワード、氏名、住所、電話番号、生年月日、会社名などが含まれる。パスワードは暗号化して保管していたが、侵入されたシステムが復号鍵にアクセスできたため、復号された状態で流出した。システムが古く、ハッシュ化方式へ移行できていなかった。スマホのオプションとしてソースネクストの「スマートフォンセキュリティ」を提供するケーブルテレビ事業者など21組織が、自社の利用者への影響を告知した。クレジットカード情報は対象システムに保存されていない。

経緯

経緯情報は未登録です。

原因

攻撃者がシステムの脆弱性を突いて会員情報取得APIを不正利用し、会員情報を取得した。このAPIは暗号化パスワードの復号鍵にアクセスできたため、パスワードが復号された状態で流出した。APIの役割と実装の詳細は公表されていない。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

22,519,960

サービス停止

なし

金銭的被害

不明

対象システム

会員情報管理システム、会員情報取得API

漏洩した情報

• 確認済みメールアドレス
• 確認済みパスワード（復号された状態）
• 可能性あり氏名・氏名カナ
• 可能性あり性別・生年月日
• 可能性あり住所・電話番号・FAX番号
• 可能性あり会社名・役職名・部署名
• 可能性ありシステム固有の識別情報（加入サービス、登録日、ログイン日等）

最大22,519,960件の会員情報が流出した可能性がある。項目は登録状況によって異なる。ケーブルテレビ事業者など21組織が自社利用者への影響を告知し、秋田ケーブルテレビ・松阪ケーブルテレビ・鹿沼ケーブルテレビは自社顧客の一部で流出を確認した。パスワード再設定サイトにはアクセスが集中した。

対応

不正な通信を遮断して封じ込め、脆弱性を修正し、全顧客のパスワードを無効化した。専用窓口とFAQを設置して対象者へ案内を送り、所管官庁への報告と警察への相談を行い、外部の専門機関と調査を進めている。

• 外部からの不正な通信の遮断
• 原因となった脆弱性の修正と、他の脆弱性の調査
• 全顧客のパスワード無効化と、ログイン時の再設定要求
• 専用問い合わせ窓口とFAQの設置
• 対象者へのメール送付（メールアドレス未登録者には郵送）
• 所管官庁への報告
• 所轄警察署への相談（10月16日）
• 外部専門調査機関と連携した調査、第三者調査の準備

教訓・対策

• パスワードは可逆暗号ではなく、最新のハッシュ化方式で保管する
• 復号鍵にアクセスできるシステムやAPIは攻撃面を最小限にする
• 定期処理と同じAPIを使った不正アクセスも見つけられるよう、利用状況を監視する
• 古いシステムの暗号方式を定期的に見直して移行する
• OEM提供先・提携事業者への影響範囲を把握し、連絡できる体制を整える

参考資料

1. ソースネクストへの不正アクセスについてまとめてみた
   piyolog公開日: 2026-10-20報道二次情報取得日: 2026-11-01
2. ソースネクストに不正アクセス、会員情報2,251万9,960件が流出した可能性
   サイバーセキュリティ.com公開日: 2026-10-15報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

ソースネクスト

関連するインシデント

関連付けられたインシデントはありません。