要点
- So-netの会員データベースが外から不正にアクセスされ、So-netとドコモ光「plala（Sコース）」の会員情報、あわせて258万件あまりが漏れた。
- 漏れたのは氏名・電話番号・メールアドレス・生年月日・性別・ID。いまの会員に加えて、2026年3月以降に退会した人も含まれる。
- 一部の有料・無料メールサービスでは、約5.4万件のメールのパスワードも漏れた。本物らしく見える詐欺のメールや電話には、これまで以上に気をつけたい。
何が起きたか
ソニーネットワークコミュニケーションズは2026年10月27日、So-netの会員データベースが不正にアクセスされたと発表した（日付はすべて日本時間）。
発表によると、不正なアクセスが始まったのは10月19日だ。So-netが気づいたのはその4日後の23日で、すぐにサーバーを止め、相手との通信も断った。個人情報が持ち出されたこと、その中身と件数がはっきりしたのは翌24日になる。27日には漏れたメールのパスワードを初期化し、この件を公表した。侵入の手口は「調査中」としている。
多くの人に関わるものは、会員の基本的な情報だ。名前、生年月日、性別、電話番号、メールアドレスに加えて、ユーザーIDとインターネット接続用IDも含まれる。件数は次のとおり。
| サービス | 合計 | いまの会員 | 2026年3月以降に退会した人 |
|---|---|---|---|
| So-net | 2,141,986件 | 1,869,771件 | 272,215件 |
| plala（Sコース） | 443,495件 | 422,365件 | 21,130件 |
一部の人だけに関わるものもある。4つのメールサービスでは、メールアドレスとパスワードの組がおよそ5.4万件漏れた（くわしくは最後の章）。ほかに、銀行口座の情報（金融機関名・支店・口座番号・名義など）が16件、パスワード再設定用の通知書の情報が7件漏れた。
漏れていないとされるものも整理しておく。So-netの発表では、クレジットカードの情報は、漏れた情報のどの区分にも含まれていない。マイページにログインするパスワードは、FAQで「漏えいが確認されていない」パスワードの例に挙げられている。口座の暗証番号は、So-netがもともと持っていない。2026年2月末までに退会した人の情報も対象外だ。NUROなど、これ以外のサービスでの漏れも確認されていないという。3月以降の退会者の情報が残っていたのは、最後の月の料金の請求や問い合わせへの対応のため、しばらく保管していたからだとFAQで説明している。
日本の利用者への影響
日本国内の話であり、影響を受けるのは日本の利用者だ。So-netは古くからある大手のプロバイダー（インターネットへの接続を提供する会社）で、対象は258万件を超える。
ドコモ光の一部の利用者も対象になる。NTTドコモは同じ日にお知らせを出した。それによると、ソニーネットワークコミュニケーションズは「plala（Sコース）」の運営を任されている会社で、ドコモは10月26日にこの件の報告を受けた。対象は、plala（Sコース）をいま使っている人と、過去6か月のうちに解約した人だ。「plala（ドコモ光）」や「ぷらら光メイト with フレッツ」は対象ではない。
両社とも、10月27日の時点で、漏れた情報が悪用された被害は確認していないとしている。ただしSo-netは、漏れた情報を使った怪しい連絡が届くおそれがあると注意を呼びかけている。名前・電話番号・生年月日がそろっていると、「ご本人様確認」を装った詐欺がもっともらしく見えてしまう。
今すぐやること
- 自分が対象か確かめる。 So-netの会員とplala（Sコース）の会員は、いまの会員も、2026年3月以降に退会した人も対象の範囲に入る。So-netは対象の人に一人ずつお詫びの連絡をするとしているが、FAQでは、個人で問い合わせて確かめる方法は今のところ示されていない。不安なら、公式サイトに載っている特設ダイヤルに電話する。
- 4つのメールサービスを使っている人は、パスワードを決め直す。 So-netは、対象のメールのパスワードを10月27日に初期化した。マイページから新しく設定する必要がある。Outlookなどのメールソフトを使っているなら、ソフトに入れているパスワードも変える。
- 同じパスワードをほかで使っていないか見直す。 漏れたメールのパスワードをほかのサービスでも使っていれば、そちらも変える。
- 怪しいメール・SMS・電話に応じない。 So-netとドコモの呼びかけをまとめると、心当たりのない連絡には返事をせず、そこにあるリンクや添付ファイルにも手を触れない、ということだ。「お詫び」や「返金」を名乗る連絡も疑ってかかる。
- 問い合わせは、自分で調べた番号にかける。 届いたメールやSMSに書かれた番号やリンクは使わない。公式サイトで番号を確かめてから連絡する。
背景
プロバイダーには、契約者の氏名、住所、電話番号、メールアドレスがまとめて集まる。一度に多くの人の情報が手に入るので、狙われやすい。今回は、2026年3月以降に退会した人の情報も対象に入った。
今回漏れたのは、そのままお金を引き出せる情報ではない。それでも、本人しか知らないはずの項目がいくつもそろうと、成りすましに悪用されやすい。ドコモは同じ日に、別の件として、dポイントクラブやユニバーサル・スタジオ・ジャパンのキャンペーンを装った偽のメールやサイトへの注意も呼びかけている。大きな情報漏れのあとは、こうした「本物らしい」連絡が増えやすい。
調べはまだ終わっていない。So-netは個人情報保護委員会にもこの件を届け出ている。原因や影響の広がりが分かりしだい、ニュースリリースで追って伝えるという。
技術者向けの詳細
- 発表元: ソニーネットワークコミュニケーションズ（2026年10月27日）、NTTドコモ（同日）。原因と侵入の手口は公表されていない（調査中）。
- 侵入から検知まで: 10月19日に不正アクセス、10月23日に検知してサーバーを停止。So-netのFAQでは、停止したあとに新しく漏れたことは確認されていないとしている。
- メールのパスワードが漏れた4つのサービス（いまの会員と、2026年3月以降の元会員）:
- メールサービス（G）（無料）: gyao.ne.jp、gate01.com、pbc.ne.jp、highway.ne.jp など／24,655件
- A-Box（追加のメールボックス、有料）: abox***.so-net.ne.jp／17,672件
- ソネットVAIOメール（有料）: ****.vaio.ne.jp／7,005件
- PostPetメールアカウントサービス（有料）: postpet***.so-net.ne.jp／5,069件
- 無料の「基本メールボックス」、マイページのログインパスワード、一部のサービスの接続パスワードは、漏れていないとされる。
- 上の4つは10月27日10時ごろから順にパスワードが初期化された。再設定が反映されるまで数分から30分ほどかかる。IMAP/POP/SMTPのクライアントに保存した認証情報も変える必要がある。
- 漏れた項目に「インターネット接続用ID」が含まれる。接続用のパスワードは漏れていないとされるが、ID・氏名・電話番号の組み合わせは、サポート窓口を装った問い合わせ（ソーシャルエンジニアリング）に使われうる。
- So-netのメールアドレス（so-net.ne.jp）を変えたい場合は、マイページで手続きできる（ドコモの案内）。@の右側のサブドメインは変えられない。
- 窓口: So-net特設ダイヤル 0120-36-8887（平日・土曜 10〜18時、11月1日と11月3日も受付）。plala（Sコース）特設ダイヤル 0120-035-700（10〜19時、土日祝も受付）。
- 報道との違い: BleepingComputerは「銀行口座の情報は漏れていない」と伝えたが、So-netの発表では口座情報16件が漏れたとされている。