[ITmedia ビジネスオンライン] ソースネクストで最大2252万件流出、ベネッセに次ぐ「歴代2位」 パスワードも流出か？

　セキュリティ対策ソフトなどを手掛けるソースネクストは10月15日、自社が管理する会員情報システムに対して第三者による不正アクセスがあり、登録顧客の個人情報が外部に流出したと発表した。

　流出した可能性がある対象件数は、個人情報を含む約2252万件（2251万9960件）。東京商工リサーチ（TSR）のプレスリリース「上場企業『個人情報漏えい』、過去最悪ペース」によると、2014年7月に発生したベネッセホールディングス（現・ベネッセコーポレーション）の約3504万件に次ぐ規模となり、ここ数年で公表された国内企業の情報漏えい事案としては最大件数となる。

ソースネクストのトップページ

APIを悪用　パスワード流出と乗っ取りを警戒

　同社によると、10月13日午前9時頃に会員管理システムへの不正アクセスを確認。外部からの不正通信を遮断する緊急措置を実施し、同日午後1時36分までに封じ込めを完了した。その後の調査で、攻撃者は10月9日午前10時頃から侵入を開始し、会員情報取得APIを不正に利用して登録情報を取得していたことが判明したという。

　流出した可能性がある情報は多岐にわたる。メールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名のほか、加入サービスやログイン日などのシステム識別情報が含まれる。

　特に警戒を要するのがパスワードの流出だ。同社は二次被害防止に向け、ログイン時のパスワード再設定を求める措置を講じた。また、同じパスワードを他社サービスで使い回している場合、第三者が「リスト型アカウントハッキング」と呼ばれる不正ログインを試みるリスクがあるとして、他社サービス側でも速やかにパスワードを変更するよう呼びかけている。

　一方で、クレジットカード情報については「本件の対象システムには保存されておらず、流出の対象には含まれていない」と説明しており、直接的な決済被害は回避できた形だ。

　同社は10月15日に個人情報保護委員会への報告を済ませ、翌16日には所轄警察署へ被害を申告する予定としている。外部の専門調査機関と連携して全システムの緊急点検と原因究明を進め、セキュリティと情報管理体制を抜本的に見直すとしている。

クレジットカード情報については「本件の対象システムには保存されておらず、流出の対象には含まれていない」と説明（プレスリリースより）