チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「ソースネクストの会員だけど、パスワードまで漏れたの？」
「同じパスワードを他のサービスでも使っているけど大丈夫？」
チップスボス！ソースネクストで2000万件以上の会員情報が流出したかもしれないって聞いたでしゅ！
ボス2251万9960件だ。国内でも最大級の規模だな。
チップスパスワードも含まれているって本当でしゅか？
ボス本当だ。だからこそ、会員は今すぐやるべきことがある。
ソースネクストは2026年10月15日、会員情報を管理するシステムが不正アクセスを受けたと発表しました。
この記事では、不正アクセスの経緯と流出した情報、原因となったAPIの不正利用、利用者と企業がとるべき対策を整理します。
3行で分かるニュースのポイント
会員の方はすぐ取るべき行動が、APIを公開している企業は見直すべき点が分かります。
オススメ求人・フリーランス案件
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
4日間にわたり、会員情報が外部から引き出されていました。
ソースネクストの発表によると、経緯は以下の通りです。
同社は外部の専門機関と連携して調査を進めており、10月16日に所轄の警察署へ被害を申告する予定としています。
不正アクセスが始まってから確認まで、およそ4日かかったことになります。
チップス4日も気づかなかったんでしゅか……。
ボス正規の窓口を使った引き出しは、普通の利用と見分けにくい。そこが今回の怖いところだ。
流出した可能性がある項目は以下の通りです。
ただし、すべての会員で全項目が流出したわけではなく、対象項目は登録状況によって異なります。
| 区分 | 項目 |
|---|---|
| 認証情報 | メールアドレス、パスワード |
| 個人情報 | 氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日 |
| 勤務先情報 | 会社名、役職名、部署名 |
| その他 | システム固有の識別情報 |
クレジットカード情報は、対象のシステムに保存されていなかったため含まれていません。
共同通信も、最大で約2251万件の個人情報が流出した可能性があると報じています。
今回は、会員情報を取り出すためのAPIが入り口になりました。
ソースネクストは原因を「会員情報取得APIの不正利用」と説明しています。
APIは、アプリやWebサイトがサーバーからデータを受け取るための窓口です。
この窓口に十分な制限がないと、次のような問題が起こります。
2026年秋には国内で同様の不正アクセスが相次ぎ、JPCERT/CCも10月8日に注意喚起を出しています。
JPCERT/CCは、サーバー側での認証と認可の徹底や、APIのレート制限と異常な利用の監視を求めています。
チップスAPIって、外から見えない裏口みたいなものでしゅか？
ボス裏口ではなく正面の窓口だ。ただ、誰に何を渡すかを窓口が確かめていなければ、正面から持っていかれる。
ソースネクストは会員に対し、以下を呼びかけています。
企業側は、APIが返すデータの範囲と、呼び出しの回数や相手を確かめる仕組みを点検する必要があります。
問い合わせ窓口は、ソースネクストの専用ダイヤル（0120-035-116、10時から18時）です。
ソースネクストの会員情報2251万9960件が、会員情報取得APIの不正利用によって流出した可能性があります。
パスワードや住所、生年月日まで含まれるため、会員は同じパスワードを使い回している他のサービスも含めて変更が必要です。
企業はAPIの認可と利用監視を見直し、正規の窓口からの大量取得を検知できる体制を整えることが求められます。
ボスパスワードの使い回しは、ひとつの漏えいを全部の漏えいに変える。今日のうちに変えておけ。
チップス付箋に書いたパスワードも全部変えるでしゅ！
参考：
ソースネクスト「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」
共同通信（Yahoo!ニュース）「ソースネクスト情報流出か 最大2251万件」
ITmedia PC USER「ソースネクストに不正アクセス、会員情報2251万件流出のおそれ」
JPCERT/CC「国内で相次ぐ不正アクセスに対する注意喚起」
オススメ求人・フリーランス案件
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
