MAKOSOYO Tech

ニュース

So-netの流出でメールのパスワードまで漏れたのは4つのメールサービスだけ。最大約8日間読まれた可能性があるので、そのアドレスで登録したサービスも確かめる

So-netとplala（Sコース）の会員情報約258万件が流出した。メールのパスワードまで漏れたのは、旧GyaOのメールやA-Boxなど4サービスの約5.4万アドレスで、入会時に付く基本メールは対象外。対象のアドレスは、不正アクセスからパスワードの強制変更までの最大約8日間、第三者がメールを閲覧・送受信できた可能性がある。パスワードを再設定するだけでなく、そのアドレスで登録した他のサービスを確かめておきたい。

この記事は2026年10月29日時点の情報をもとにしています。その後の状況の変化は原則として反映していません。

ソニーネットワークコミュニケーションズは10月27日、インターネット接続サービス「So-net」の会員データベースが不正アクセスを受け、So-netとドコモ光の「plala（Sコース）」を合わせて258万5481件の会員情報が流出したと発表した。氏名、電話番号、生年月日などに加えて、一部のメールサービスでは、メールアドレスとそのパスワードまで流出している。

So-netを使っていると、自分のメールまで危ないのかが気になる。発表とよくある質問を読むと、メールのパスワードが漏れた可能性があるかは、メールアドレスのドメインと契約しているサービスで絞り込める。そして、漏れた人とそうでない人で、やることがかなり違う。

先に結論

メールのパスワードが漏れたのは、4つのメールサービスの5万4401アドレスだけ。 旧GyaOのメール（gyao.ne.jpなど）、追加メールボックスのA-Box、ソネットVAIOメール、PostPetメールが対象だ。So-netに入会すると付く基本メールボックス（@○○.so-net.ne.jp）のパスワードは、流出が確認されていない。

10月19日の不正アクセスから27日のパスワード初期化まで、最大約8日間、第三者がメールを閲覧・送受信できた可能性がある。 So-netのよくある質問は、パスワードを得た第三者が「メールの閲覧、送受信が可能な状況」だったと説明している。実際に第三者がログインしたかどうかは公表されていない。

対象の人は、パスワードを再設定するだけで終わりにしない。 その間に、そのアドレスで登録している他のサービスで、パスワードの再設定が行われていないかを確かめる。受信箱だけで判断せず、登録先のサービスのログイン履歴、登録情報、取引履歴も見る。

それ以外の会員は、ユーザーIDが知られた前提で、パスワードとログインの通知を見直す。 マイページのパスワードは流出していないが、ユーザーIDは流出した。

何が起きた？

10月19日に会員データベースが不正アクセスを受け、So-netは23日にそれを確認してサーバーを止めた。24日に情報の流出を把握し、27日に発表した。原因は調査中としている。

流出した情報は次のとおりだ。

流出したもの 件数 中身
So-netの会員情報 2,141,986件 氏名、電話番号、メールアドレス、ユーザーID、生年月日、性別、インターネット接続用ID
plala（Sコース）の会員情報 443,495件 同上
メールアドレスとメールのパスワード 54,401アドレス 4つのメールサービスのもの（次の節で説明）
銀行口座の情報 16件 金融機関名、支店、口座番号、口座名義人など。暗証番号は持っていない
パスワード再設定用の通知書 7件 パスワードは初期化済み

会員情報には、現会員のほか、2026年3月以降に退会した人も含まれる。2026年2月末までに退会した人は対象外だ。クレジットカード情報は、So-netが保有していないため流出していない。NURO 光など、ほかのサービスでの流出は確認されていないとしている。

plala（Sコース）は、So-netの接続設定などを引き継いで使える、ドコモ光向けの接続サービスだ。ドコモは、それ以外の「plala（ドコモ光）」などの会員情報は流出していないとしている。

銀行口座（16件）と通知書（7件）の対象者には、So-netがマイページの重要なお知らせかメールで個別に連絡している。

自分のメールが対象か、ドメインと契約サービスで確認する

メールのパスワードが流出したのは、次の4サービスだ。

サービス メールアドレスのドメイン アドレス数
メールサービス（G） ○○.gyao.ne.jp、○○.gate01.com、○○.pbc.ne.jp、○○.highway.ne.jp 24,655
A-Box（追加メールボックス、有料） abox○○.so-net.ne.jp 17,672
ソネットVAIOメール（有料） ○○.vaio.ne.jp 7,005
PostPetメールアカウントサービス（有料） postpet○○.so-net.ne.jp 5,069

○○の部分には、サブドメインの英数字が入る。

メールサービス（G）は、旧GyaOのインターネット接続サービスを使っていた人向けのメールだ。新規の受付はすでに終わっていて、長く使い続けているアドレスが多いとみられる。

@○○.so-net.ne.jp でも、abox や postpet で始まらないものは、入会時に付く基本メールボックスで、パスワードの流出は確認されていない。plala（Sコース）の会員も、メールのパスワードは流出していない。

ドメインで分かるのは、対象のサービスを使っているかどうかまでだ。4サービスのアドレスでも、そのアドレスのパスワードが実際に流出したかを、ドメインだけで確定できるとは限らない。A-Boxなどを契約しているかはSo-netのマイページで確かめられるので、最終的には、マイページの重要なお知らせやSo-netからの個別の案内で確認する。

So-netでは、マイページのログイン、インターネット接続、メールで、それぞれ別のパスワードを使う。今回流出したのはメールのパスワードだけで、マイページのパスワード（通知書の7件を除く）と接続用のパスワードは、流出が確認されていない。

最大約8日間、何ができた可能性があるか

不正アクセスから強制変更まで

日時 できごと
10月19日 会員データベースが不正アクセスを受ける
10月23日 So-netが不正アクセスを確認し、サーバーを止める
10月24日 情報の流出と、その項目・件数を把握
10月27日10時頃から 対象のメールのパスワードを順次、強制的に変更

データベースのサーバーを23日に止めても、メールのパスワードが変わるわけではない。強制変更が始まるまでは、流出した情報を使ってメールにログインできた可能性がある。実際に第三者がログインしたかどうかは、So-netは公表していない。

So-netはパスワードの保存方式を公表していない。平文だったのか、元に戻せる形で暗号化していたのか、別の仕組みだったのかは分からない。一方、公式のよくある質問では第三者がメールを閲覧・送受信できる状況だったと説明しており、流出した情報がメールへの不正アクセスにつながりうる状態だったことが分かる。

他のサービスの再設定メールを受け取れた可能性がある

メールにログインできれば、その間に届いたメールも受け取れる。

ネット通販や銀行、SNSなどの多くは、パスワードを忘れたときに、登録したメールアドレスへ再設定用のリンクやコードを送る。対象のアドレスをそうしたサービスに登録していた場合、第三者がそのサービスで再設定を申し込み、届いたメールを使ってパスワードを変えることもできた。

So-netの発表とよくある質問は、対象のメールのパスワードを変えるよう求めているが、そのアドレスで登録している他のサービスについては触れていない。

受信箱に何も残っていなくても、安心とは言えない

メールソフトで使う受信方式（POP）では、受信したメールをサーバーから消すことができる。第三者がメールソフトで受信してサーバーから消していれば、本人の受信箱には届かない。

そのため、受信箱に再設定のメールが見当たらないことは、何も起きなかった証拠にならない。受信箱だけで判断せず、登録先のサービスのログイン履歴、登録情報、取引履歴も確認する。

送信も同じで、第三者がメールソフトから送ったメールは、本人のメールソフトの送信済みフォルダには残らない。大量に送られていれば、宛先不明で戻ってきたメール（リターンメール）が届いていることがある。

転送の設定は、メールのパスワードではできない

A-Boxの案内では、メールの転送はSo-netのユーザーIDとそのパスワードで認証してから設定する。そのパスワードは通知書の7件を除いて流出していないので、メールのパスワードだけで転送を仕掛けられた可能性は低いと考えられる。ただ、転送を使っている人は、心当たりのない転送先が登録されていないかを、転送の設定画面で一度見ておくとよい。

メールのパスワードが漏れた人がやること

1. メールのパスワードを再設定する

対象のパスワードは強制的に変更されているので、再設定しないとメールが使えない。マイページにユーザーIDとパスワードでログインし、サービスごとの手続きから再設定する。Outlookなどのメールソフトを使っている場合は、メールソフトに保存されているパスワードも新しいものに変える。手順はSo-netのよくある質問にある。

新しいパスワードは、他のサービスで使っているものにしない。自分でメールのパスワードを決めていて、同じものを他のサービスでも使っていたなら、そちらも変える。

パスワードを再設定して止められるのは、これから先の閲覧と送受信だ。過去に第三者が読んだ情報は取り戻せない。サーバーに残っていたメールに、本人確認書類の画像や請求書、住所などが含まれていた場合、パスワードを変えても、それが閲覧された可能性は残る。

ただ、実際に閲覧されたという証拠がない段階で、登録しているすべてのサービスのパスワードを変える必要はない。次の手順のとおり、重要なサービスから順に確かめれば足りる。

2. そのアドレスで登録しているサービスを確かめる

対象のアドレスを登録しているサービスを思い出し、被害が大きくなりやすいものから見ていく。銀行やカード、スマホ決済、ネット通販、別のメールやSNSの順だ。

受信箱だけで判断せず、次の3つを見る。

  • ログイン履歴：10月19日から27日のあいだに、身に覚えのないログインがないか
  • 登録情報：登録しているメールアドレスや電話番号、届け先が変わっていないか
  • 取引履歴：身に覚えのない注文や送金がないか

ログイン履歴は、保存しないサービスや、表示できる期間が短いサービスもある。履歴を確かめられない場合は、登録情報と取引履歴で判断する。ログインできなくなっていたら、そのサービスの窓口に連絡する。アドレスを長く使っていて、登録先を思い出せない場合は、受信箱で「会員登録」「パスワード」などと検索すると、登録したときのメールが見つかることがある。

3. 大事なサービスの登録アドレスを変えるか考える

ここからはこの記事での判断になる。対象のアドレスを普段あまり使っていないのに、銀行やカードなどの登録に残しているなら、ふだん使っていて二段階認証を設定できるアドレスに切り替えることを考えたい。今回の件で、そのアドレスのメールが最大約8日間、第三者に読まれた可能性があることは、パスワードを変えても変わらないからだ。

メールのパスワードが漏れていない人がやること

ユーザーIDは知られた前提で考える

So-netのマイページには、ユーザーIDとパスワードでログインする。今回はユーザーIDが流出したので、マイページに入られるのを防いでいるのはパスワードだけになる。

So-netでは2025年7月にも、第三者がユーザーIDとパスワードを不正に取得し、会員のSo-netのメールアドレスを勝手に変える被害が起きている。So-netは、このときは自社からの流出は確認されていないとしていた。マイページのパスワードを他のサービスと同じにしているなら、変えておく。

マイページには、ログインの履歴を見る機能と、登録した端末以外からログインされたときにメールで知らせる「ログインアラート」がある。設定しておくと、パスワードが知られたときに気づきやすくなる。

本人らしく見える連絡に乗らない

流出したのは、氏名、電話番号、生年月日、メールアドレスの組み合わせだ。名前と誕生日を言い当てられると、本物の連絡だと思いやすい。So-netは、不審なメールやSMS、電話に応答せず、リンクや添付ファイルを開かないよう呼びかけている。

So-netは対象者に個別にお詫びの連絡をするとしているので、本物と偽物が同時に届きうる。届いたメールのリンクではなく、自分で開いたSo-netのマイページで「重要なお知らせ」を確かめるほうが確実だ。問い合わせは、So-netの特設ダイヤル（0120-36-8887、平日と土曜の10時〜18時。11月1日と3日も受け付け）を、公式サイトで番号を確かめてから使う。

現時点で分からないこと

  • 不正アクセスの原因。So-netは調査中としている
  • 対象のメールに実際に第三者がログインしたか。So-netは、10月29日時点で把握している範囲では二次被害を確認していないとしている。ログインの記録を調べたうえでの説明なのか、ログインがあったアドレスの利用者に個別に知らせるのかは、書かれていない
  • メールのパスワードをどう保存していたか。基本メールボックスのパスワードが流出しなかった理由も説明されていない
  • 退会した人のメールのアドレスがどう扱われていたか。流出したアドレスには元会員のものも含まれるが、退会後もそのアドレスでメールを受け取れたかは書かれていない

出典

一次情報

報道

← 記事一覧へ