So-netで会員情報漏えい｜一部メールのパスワード再設定が必要に

ソニーネットワークコミュニケーションズは2026年10月27日、So-netの会員データベースへの不正アクセスによる情報漏えいを公表しました。So-netの会員情報214万1,986件と、plala（Sコース）の会員情報44万3,495件が対象です。現会員だけでなく、2026年3月以降に退会した元会員も含まれます。

利用者が優先して確認したいのは、一部のメールサービスでメールアドレスとメール用パスワードが漏えいし、27日にパスワードが初期化された点です。対象者はマイページから再設定する必要があります。会員情報の漏えいと、メール用パスワードの漏えいを分けて、自分の契約サービスを確認してください。

19日に不正アクセスが発生し23日に確認

So-netの公式発表によると、10月19日に外部から不正アクセスを受け、23日にその事実を確認しました。確認後は対象サーバーを停止し、不正アクセス元からの通信を遮断。24日の調査で個人情報の漏えいと項目・件数を把握したという経緯です。

原因は第三者からの不正アクセスとして調査中です。侵入に使われた脆弱性、認証情報の入手方法、攻撃者などの詳細はこの発表では明らかにされていません。特定のCVEやランサムウェアが原因だったと推測することはできません。個人情報保護委員会へ報告し、原因と影響範囲の詳細を調べています。

会員情報とメール用パスワードは別の区分

So-netの会員情報は現会員186万9,771件と元会員27万2,215件です。氏名、電話番号、メールアドレス、ユーザーID、生年月日、性別、インターネット接続用IDが漏えい対象となっています。この会員情報の区分ではパスワードの漏えいはなかったと説明しています。

一方で、メールサービス（G）2万4,655アドレス、A-Box（追加メールボックス）1万7,672アドレス、ソネットVAIOメール7,005アドレス、PostPetメールアカウントサービス5,069アドレスでは、メールアドレスとメール用パスワードの漏えいが確認されています。合計は5万4,401アドレスです。

このため「パスワードの漏えいはない」という説明を全サービスへ広げるのは誤りです。また、メールのアドレス数を会員情報の件数へ足し、重複のない被害人数とすることもできません。同じ会員に関係する複数の情報区分があり、公式資料の単位と対象範囲を維持して読む必要があります。

さらに銀行口座情報16件と、パスワード再設定用に発行する通知書情報7件の漏えいも確認されています。口座暗証番号は保有しておらず、通知書情報の対象はパスワードを初期化したとしています。クレジットカード情報はいずれの区分にも含まれません。NUROを含む記載対象以外のサービスでは漏えいを確認していないという説明です。

plala（Sコース）は対象サービス名を確認

NTTドコモの10月27日付発表は、業務委託先のSo-net会員データベースが不正アクセスを受けたことによる流出と説明しています。ドコモは26日に報告を受けて確認しました。対象はドコモ光のplala（Sコース）で、他の「plala（ドコモ光）」「ぷらら光メイト with フレッツ」などの顧客情報は流出していないと明記しています。

対象44万3,495件の内訳は現会員42万2,365件、元会員2万1,130件です。ドコモは氏名、電話番号、生年月日、性別、So-netマイページのユーザーID、接続用IDのほか、so-net.ne.jpドメインのメールアドレスと、登録がある場合の連絡先メールアドレスを挙げています。パスワードと決済関連情報は含まれないとしています。

So-net側が公表した銀行口座情報16件についても、plala（Sコース）の会員は対象ではないと説明しています。事業者名や「ぷらら」という名称だけで影響を判断せず、契約サービスと公式の個別連絡を確認することが必要です。

初期化対象のメールはマイページで再設定

メール用パスワードの漏えい対象となった4サービスについて、So-netは10月27日に初期化を実施しました。公式発表の「お客様へのお願い」は、対象者にマイページからメールアドレスパスワードを再設定するよう求めています。契約状況もマイページで確認できると案内しています。

本サイトの提案として、手続きは普段利用している公式サイトを自分で開いて進め、受信メールからパスワード入力画面へ誘導された場合は一度立ち止まってください。メールソフトや業務上の通知に該当アドレスを使う場合は、再設定後に送受信を確認し、必要な設定変更を管理担当者と共有すると対応漏れを防げます。

So-netとドコモは、公表時点で把握する範囲では二次被害を確認していないとしています。ただし、漏えい情報を悪用する不審なメール、SMS、電話への応答、リンクのクリック、添付ファイルの開封を避けるよう呼びかけています。二次被害未確認を、今後も不正利用が起こらないという保証として扱わないでください。

対象者には個別連絡を行うとしています。問い合わせは公式発表にあるサービス別の案内先を確認してください。本記事は10月29日に両社の公式発表を確認した事件ニュースであり、自社環境や利用者アカウントの被害を検証した結果ではありません。