ソースネクストの会員情報流出のおそれ（22,519,960件）：メールアドレス・パスワード・住所などが対象、会員がやること

同社のよくある質問によれば、2026年10月13日13時36分までに会員登録があった人が対象の範囲です。対象となる可能性がある人には、10月15日以降、登録したメールアドレスに順次案内のメールが送られています。メールアドレスの登録がない人には、書面（郵送）で連絡する予定です。

案内が届いていなくても、ソースネクストで会員登録をしたことがある人は、以下を進めてください。

流出した可能性のある項目には、メールアドレスとパスワードの両方が含まれます。同社は、この組み合わせを使って第三者が他のサービスへのログインを試みるおそれがあるとして、同じ組み合わせを使っている他のサービスのパスワードも変えるよう求めています。

パスワードがどの形式で保存されていたか（暗号化やハッシュ化をしていたか）は公表されていません。ソースネクストの古いパスワードは同社が無効にしましたが、他のサービスでは使えたままです。メール・ネット通販・金融のサービスから順に変えてください。使い回しをやめるには パスワードマネージャー が現実的で、2段階認証 を足せば、パスワードが知られてもログインされにくくなります。

同社は10月16日の追記で、すべての会員のパスワードを変更済みで、従来のパスワードは使えない状態になっているとしています。ログインすると、画面の案内に従って新しいパスワードを再設定する流れです。

再設定サイトにはアクセスが集中していて、つながりにくい状況です。同社は、しばらく時間をおいてから再設定するよう求めています。再設定は、届いたメールやSMSのリンクからではなく、自分でブックマークや検索から開いた公式サイトで行ってください。新しいパスワードは、他のサービスと同じものにしないでください。

同社は、流出した可能性のある情報が悪用され、同社や関係先を装ったメール（フィッシングメール）、SMS、電話、郵便物が届く可能性があるとしています。身に覚えのないメールやSMSのURLや添付ファイルは開かず、不審なWebサイトに個人情報やパスワードを入力しないよう呼びかけています。

今回の対象には会社名・役職名・部署名も含まれます。仕事用のアドレスで登録した人は、会社宛てに届く「ソフトウェアの更新」「ライセンスの確認」などの連絡にも注意してください。

発表に載っている窓口は、不正アクセス専用お問い合わせ窓口の電話 0120-035-116（フリーダイヤル、10時〜18時、土日祝日を含む）と、発表ページに載っているお問い合わせフォームです。よくある質問によれば、退会を希望する場合もこの窓口で受け付けています。番号は、自分で開いた公式サイトの発表で確かめてください。届いたメールやSMSに書かれた番号やURLは使わないでください。

一般に、会員情報を返すAPIは、認証の有無にかかわらず、1つの利用者や1つの接続元から短時間に大量の会員分が返ることは通常ありません。APIごとに「1時間に返してよい会員数」の上限を決め、その8割を超えたら担当者に通知する形にしておくと、通常と違う取り出しに早く気づきやすくなります。

測る場所は、アプリの中（返した件数を記録する）、前段（リバースプロキシやCDNの回数制限）、クラウドの監査ログのアラートの3つがあります。具体的な設定は レート制限と濫用対策 にまとめています。

漏えい時に全会員のパスワードを無効にすると、短時間に再設定が集中します。今回も、同社は再設定サイトにアクセスが集中していると告知しました。再設定の画面を本体と分けて増強できるようにしておくこと、混雑時に「時間をおいて」「他のサービスの変更を先に」と案内する文面を用意しておくことは、事前に決められます。

あわせて、パスワードの保存方式がパスワード専用の遅い方式（bcrypt、Argon2 など）で ソルト を付けているかを確かめてください。保存方式は、漏えいしたときに利用者へ何を求めるかを左右します（パスワードハッシュとは）。