MAKOSOYO Tech

ニュース

ソースネクスト・バーガーキング・コミックシーモアの流出、会員がやることはパスワードの扱いで変わる

10月15〜16日に、ソースネクスト（約2252万件）、バーガーキング（約1118万件）、コミックシーモア（件数は精査中）の会員情報の流出が続けて発表された。3社で違うのはパスワードの扱いで、ソースネクストは「読める状態」で流出し、コミックシーモアはハッシュ化されたもの、バーガーキングは流出が確認されていない。どのサービスの会員かによって、先にやることが変わる。

この記事は2026年10月18日時点の情報をもとにしています。その後の状況の変化は原則として反映していません。

10月15日から16日にかけて、ソースネクスト、バーガーキング、コミックシーモアの3社が、不正アクセスで会員情報が流出したと発表した。合わせると3000万件を超える。3社とも、クレジットカード情報は流出の対象に含まれていない。

3つのうちどれかを使っていた場合、何を先にやればいいのか。3社の公式発表を並べると、流出したものはかなり違っていて、やることの優先順位も変わる。

先に結論

ソースネクストの会員で、同じパスワードを他のサービスでも使っているなら、その他のサービスのパスワードを先に変える。 ソースネクストのパスワードは暗号化して保存されていたが、同社の広報によると「元の文字列を判読できる状態」で流出した。メールアドレスと読めるパスワードの組み合わせは、他のサービスへの不正ログインにそのまま試される。ソースネクスト自身のパスワードは、流出の対象に含まれるものを同社がすでに無効にしている。

コミックシーモアの会員も、使い回しているなら変えておく。 流出したのはハッシュ化されたパスワードで、そのままでは読めない。ただ、短いパスワードやよく使われるパスワードは、推測して突き合わせることで割り出される可能性がある。

バーガーキングのアプリ会員は、パスワードより、SMSや電話に気をつける。 パスワードの流出は確認されていない。流出したのは氏名、電話番号、生年月日、メールアドレスなどで、本人の名前や生年月日を知っている相手からの連絡は、本物らしく見えやすい。

どのサービスでも、パスワードの再設定は、届いたメールやSMSのリンクからではなく、自分で開いた公式サイトやアプリから行う。

何が起きた？

3社の発表の内容は次のとおりだ。

ソースネクスト バーガーキング コミックシーモア
発表日 10月15日 10月15日 10月16日（続報は10月18日）
件数 22,519,960件（流出した可能性） 約1,118万件 精査中
不正アクセスの時期 10月9日〜13日 10月2日〜7日 10月15日にサービスを停止
パスワード 流出の対象に含まれる 流出は確認されていない ハッシュ化されたものが流出
住所 含まれる 都道府県のみ 含まれない
電話番号 含まれる 含まれる 含まれない
生年月日 含まれる 含まれる 含まれる
対象者への個別連絡 メール（メールがない人には郵送の予定） メールで順次 流出を確認できた人に連絡する予定

ソースネクストは、年賀状ソフトやセキュリティソフトなどを販売している会社だ。同社のサイトで買い物をしたり、サポートを使ったりするには、会員サービス「ソースネクストID」への登録が要る。流出した可能性のある項目は、メールアドレス、パスワード、氏名、住所、電話番号、生年月日のほか、会社名や役職名まで含む。ただし、すべての会員についてすべての項目が流出したわけではなく、登録していた内容によって違う。原因は、会員情報を取り出すためのAPI（システム同士がデータをやり取りする窓口）を不正に使われたことだという。

バーガーキングは、公式アプリの会員情報が流出した。項目は会員ID、メールアドレス、氏名、電話番号、生年月日、性別、都道府県、モバイルオーダーの利用の有無などで、原因は調査中としている。

コミックシーモアは、NTT西日本の子会社のNTTソルマーレが運営する電子書籍ストアだ。流出したのは、メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネーム。氏名、住所、電話番号は、公表された項目に入っていない。購入履歴の流出や、購入した本が並ぶ「MY本棚」の消失は、現時点で確認されていないとしている。

サービスは10月15日午前から止まっている。10月18日の第3報によると、原因は特定でき、同じ手口の不正アクセスを防ぐ対策を進めている。一方で、会員情報に加えて一部のシステムのログファイルも見られ、取られていたことが分かり、そこに会員情報が含まれていないかを調べている。再開の日時はまだ決まっておらず、購入済みの本をWebで読む機能から順番に再開する準備をしているという。

3社で違うのはパスワードの扱い

「暗号化」でも、読める状態で流出した

ソースネクストの発表は、流出した項目に「パスワード」と書いているだけで、どう保存していたかに触れていない。Yahoo!ニュースのエキスパート記事で山口健太氏が同社に聞いたところ、パスワードは暗号化して保存していたが、暗号を解く鍵を扱えるシステムが不正アクセスを受けたため、「元の文字列を判読できる状態で漏洩した」と広報が答えている。

暗号化は、鍵があれば元に戻せる変換だ。今回は、暗号を解く鍵を扱えるシステムが不正に使われ、元のパスワードを読める状態で情報が流出した。鍵そのものが流出したのかどうかは、説明されていない。利用者から見ると、どちらにしてもパスワードがそのまま流出したのとほぼ同じだ。広報によると、不正に使われたAPIがパスワードまで返す作りになっていたのは、ライセンス管理のシステムとの連携でパスワードが必要だったためだという。

ハッシュ化は元に戻せないが、推測される余地は残る

コミックシーモアのパスワードは「ハッシュ化」されていた。ハッシュ化は、パスワードを元に戻せない別の文字列に変換する方法で、サービス側も元のパスワードを持たない。ログインのときは、入力されたパスワードを同じ方法で変換し、保存してある文字列と一致するかで確かめる。

元に戻せなくても、攻撃する側は、よく使われるパスワードを片っ端から同じ方法で変換し、流出した文字列と一致するものを探せる。どれくらい割り出されにくいかは、変換の方式によって大きく変わる。コミックシーモアは方式を公表していない。短いパスワードや、辞書にある単語、誕生日を使ったパスワードは、割り出される可能性が高くなる。今回は生年月日も一緒に流出しているので、誕生日の数字を使ったパスワードを試されやすい。

報道では、どちらも「暗号化」と書かれることがある

コミックシーモアについて、朝日新聞は「暗号化されたパスワード」が流出したと報じている。NTTソルマーレも、10月16日の第2報ではハッシュ化を「特殊な文字列に変換し暗号化されたパスワード」と説明していた。10月18日の第3報では、「元の内容を読み取れない形に変換したもの」という説明に変わっている。一方で、ソースネクストも広報の説明では「暗号化して保存していた」。

同じ「暗号化」という言葉でも、コミックシーモアのものはそのままでは読めず、ソースネクストのものは読める状態で流出した。見出しの「暗号化されていた」だけでは、危なさを判断できない。

バーガーキングは、パスワード以外が問題になる

バーガーキングは、ログインパスワードの流出を「現在確認されておりません」としている。その代わり、氏名、電話番号、生年月日、メールアドレスがそろって流出した。

この組み合わせは、SMSや電話で本人になりすまして話しかけるのに使いやすい。名前を呼ばれ、誕生日を言い当てられると、本物の会社からの連絡だと思いやすくなる。たとえば「流出のお詫び」や「補償」をうたうSMSから偽のサイトに誘導される、といった手口が考えられる。バーガーキングは、同社を装ったメール、SMS、電話のURLを開いたり、会員情報やパスワードを入力したりしないよう呼びかけている。

自分が対象かどうか

対象の範囲 確かめ方
ソースネクスト よくある質問では「10月13日13時36分までに登録がある人」 10月15日以降に届くお詫びのメール。メールを登録していない人には郵送の予定
バーガーキング 公式アプリの会員 対象者にメールで順次知らせるとしている
コミックシーモア 一部の会員（件数は精査中） 流出を確認できた人には連絡するとしている。対象かどうかを自分で調べるページはない

ソースネクストは、会員だった覚えがないまま対象になっている人がいそうだ。年賀状ソフトなどを何年も前に買うときに登録して、そのまま忘れていることがある。13時36分は、発表では不正アクセスの封じ込めが終わった時刻として書かれている。よくある質問は、同じ時刻までに登録がある人を「対象の範囲」としていて、最近使っているかどうかは条件に入れていない。昔のメールの受信箱で「ソースネクスト」や「sourcenext」と検索すると、登録したときのメールが見つかることがある。そのときにどのメールアドレスとパスワードを使ったかが、他のサービスのパスワードを変えるかの判断材料になる。

退会した人が対象に入るかは、ソースネクストもコミックシーモアも書いていない。

やること

1. 使い回しているパスワードを変える

ソースネクストかコミックシーモアの会員で、そこと同じメールアドレスとパスワードの組み合わせを他のサービスでも使っているなら、そのサービスのパスワードを変える。不正ログインされたときの被害が大きいもの、つまりメール、ネット通販、銀行やカード、スマホ決済から先に変える。

ソースネクストの場合は、パスワードが読める状態で流出しているので、試されるまでの手間がほとんどない。変えるのは、ソースネクスト自身よりも、同じパスワードを使っている他のサービスのほうが先だ。ソースネクストのパスワードは、流出の対象に含まれるものを同社がすでに無効にしていて、古いパスワードではログインできない。

二段階認証（パスワードのほかに、SMSや認証アプリのコードを求める仕組み）を使えるサービスでは、オンにしておく。パスワードが知られても、それだけではログインされにくくなる。

2. 各サービスのパスワードを再設定する

状況
ソースネクスト 流出の対象に含まれるパスワードを無効にした。ログインすると再設定を求められる。再設定のサイトは混み合っていて、同社は時間をおいて再設定するよう求めている
コミックシーモア サービスの再開時に、全会員にパスワードの再設定を求める予定。詳しくは再開時に知らせるとしている
バーガーキング パスワードの再設定についての案内は、発表に記載なし

新しいパスワードは、他のサービスと同じものにしない。サービスごとに違うパスワードを覚えておくのは難しいので、OSやブラウザに付いているパスワードの管理機能を使うのが現実的だ。

3. 届いた連絡のリンクや電話番号は使わない

3社とも、自社を装った不審なメールやSMSに注意するよう呼びかけている。ソースネクストは、電話や郵便物にも注意するよう書いている。会員にはお詫びのメールが届くので、本物と偽物が同時に届きうる。

本物のお詫びのメールかどうかを見分けようとするより、メールに書かれたリンクや電話番号は使わず、ブックマークや検索から自分で公式サイトを開くほうが確実だ。問い合わせ先も、公式サイトに載っているものを使う。

問い合わせ先
ソースネクスト 0120-035-116（10時〜18時、土日祝日も受付）、専用の問い合わせフォーム
バーガーキング 0120-945-630（平日10時〜17時、土日祝日は休み）、customerservice@burgerking.co.jp
コミックシーモア 利用者向けのヘルプとお問い合わせ（cmoa.jp/faq/top/）。ただし、サービス停止中は開けない（10月18日に確認）

コミックシーモアの流出についての発表には、問い合わせ先として、経営企画部の広報担当のメールアドレス（ko-ho@nttsolmare.com）だけが載っている。NTTソルマーレのお問い合わせのページでは、利用者向けに「コミックシーモアに関するヘルプ/お問い合わせ」が別に案内されている。ただし、その案内先はコミックシーモアのサイトの中にあり、10月18日に確認した時点では、サービス停止中の表示が出て開けなかった。再開の日時は、確定したらNTTソルマーレの公式サイトなどで知らせるとしている。

クレジットカードの再発行は要らない

3社とも、クレジットカード情報は不正アクセスを受けたシステムに保存しておらず、流出していないとしている。ソースネクストは、カードの利用停止や再発行は不要と案内している。

名義を使われて、勝手に契約されることはある？

ソースネクストのよくある質問は、この疑問に答えている。会員登録で運転免許証などの本人確認書類を受け取っていないこと、携帯電話の契約や借り入れには厳しい本人確認が求められることから、今回流出した情報だけで第三者が契約や借金をするのは「極めて困難」だとしている。

ただし、これは今回流出した情報だけを使う場合の話だ。流出した住所や電話番号をきっかけに偽の連絡が来て、そこで本人確認書類の写真やカード番号を送ってしまうと、話が変わる。流出をきっかけに、追加の情報を聞き出そうとする連絡には応じない。

コミックシーモアが止まっている間

10月15日の告知によると、止まっているのは購入、閲覧、読み放題、レビュー、Q&Aコミュニティの「シーモア島」を含むすべての機能だ。本棚アプリにダウンロード済みの作品は読めるとしている。

アプリを消して入れ直したり、本棚アプリからログアウトしたりすると、ダウンロード済みの作品まで読めなくなる可能性がある。停止はサービス側の対応によるもので、端末の不調ではない。再開を待つあいだは、アプリはそのままにしておいたほうがいい。

10月18日の第3報によると、再開は購入済みの本をWebで読む機能から順番に進める予定だ。停止中のポイントの有効期限、読み放題の期間、月額料金の扱いは、10月18日時点の発表には書かれていない。

現時点で分からないこと

  • コミックシーモアの流出件数と、再開の日時。10月18日の第3報でも、件数は「精査中」で、再開の日時は確定していない
  • コミックシーモアで取られたシステムのログファイルに、会員情報が含まれていたか。第3報の時点で調べている最中で、含まれていれば流出した項目が増える可能性がある
  • コミックシーモアのパスワードのハッシュ化の方式。方式によって、割り出されにくさが大きく変わる
  • バーガーキングの不正アクセスの原因。同社は外部の専門機関と調査中としている
  • 流出した情報が実際に悪用されているか。バーガーキングは二次被害を確認していないとしている。ソースネクストとコミックシーモアの発表には、悪用についての記載がない
  • 退会した人が対象に入るか。ソースネクストとコミックシーモアは書いていない

出典

一次情報

報道・解説

← 記事一覧へ