So-net・ぷらら会員データベースに不正アクセス、258万5,481件の漏えいを確認

事案の概要データ

図解：この事故の構造

何が起きたのか

ソニーネットワークコミュニケーションズは2026年10月27日、インターネット接続サービス「So-net」の会員データベースに外部から不正アクセスを受け、個人情報が漏えいしたと公表しました。

不正アクセスを受けたのは10月19日です。同社がそのアクセスを確認したのは10月23日、調査で漏えいの事実と項目・件数を把握したのが10月24日でした。公表は10月27日です。

漏えいが確認された件数は、So-net会員 2,141,986件と、plala（Sコース）会員 443,495件。合計で 2,585,481件になります。

漏えいした情報の中身

So-net会員・plala（Sコース）会員のいずれも、漏えいしたのは氏名、電話番号、メールアドレス、ユーザーID、生年月日、性別、インターネット接続用IDです。会員情報のパスワードは漏えいしていないと説明されています。

一方で、メールアドレスとそのメールアドレスパスワードは漏えいしています。対象は4つのサービスで、合計54,401件です。同社は10月27日にこれらのパスワードを初期化しました。該当する利用者は、マイページから自分で再設定する必要があります。

さらに、口座情報が16件漏えいしています。金融機関名、銀行番号、支店名、支店番号、預金種目、口座番号、口座名義人です。口座の暗証番号は同社が保有していないため、含まれていません。

パスワード再設定用に発行する通知書の情報も7件漏えいし、こちらはパスワードを初期化のうえ個別に連絡するとしています。

クレジットカード情報は、①〜⑤のいずれにも含まれていません。NUROを含む上記以外のサービスについても、漏えいは確認されていないとしています。

NTTドコモも公表、ドコモ光「plala（Sコース）」44万3,495件

同じ2026年10月27日、NTTドコモもこの事案について公表しました。ドコモ光の「plala（Sコース）」を利用中、および過去6か月以内に解約した顧客の情報 44万3,495件の流出を確認した、という内容です。

この44万3,495件は、ソニーネットワークコミュニケーションズが公表した「plala（Sコース）会員情報443,495件」と同じものです。別の事案ではなく、同じ事案を委託元の側から公表したものなので、足し合わせません。

ドコモ側の公表によれば、流出したのは氏名、電話番号、メールアドレス（so-net.ne.jpドメインのもの）、連絡先メールアドレス（登録している人のみ）、生年月日、性別、So-netマイページのユーザーID、インターネット接続用IDです。パスワード、クレジットカード情報、金融機関口座情報などの決済関連情報は含まれていません。

「plala（ドコモ光）」「ぷらら光メイト with フレッツ」など、「plala（Sコース）（ドコモ光）」以外の契約の情報は流出していないとされています。自分がどの契約なのかが分かりにくいため、ドコモは専用ダイヤル（0120-035-700）を設けています。

ドコモがこの事実を確認したのは10月26日です。不正アクセスそのものは10月19日なので、委託元に話が届くまで7日かかっています。

「委託元としての公表」が必要になる

本件は、委託する側・される側の関係を考えるうえで分かりやすい例です。

侵入されたのはソニーネットワークコミュニケーションズのサーバーです。NTTドコモ自身は攻撃を受けていません。

それでも、ドコモは自社名で公表し、自社で問い合わせ窓口を開きました。なぜなら、顧客はドコモと契約しているからです。顧客から見れば「ドコモ光の契約情報が漏れた」のです。

中小企業でも同じことが起こります。顧客管理を外部サービスに任せている、受注システムを外注している、メール配信を委託している。その先で事故が起きたとき、謝るのは自社です。

そのときに必要になるのは、次の3つです。

1. 自社の顧客のうち、誰が対象かを特定できること。 委託先から「○○件が対象」と言われても、自社の名簿と突き合わせられなければ連絡できません。

2. 問い合わせを受ける窓口。 電話が鳴ります。誰が出て、何を答えるかを決めておきます。

3. 自社名での説明文。 委託先の発表をそのまま転載するだけでは足りません。「当社のサービスでは何が対象か」を、自社の言葉で書く必要があります。

この3つを、事故が起きてから準備すると数日かかります。その数日が、顧客の不安を広げます。

「2026年3月以降の退会者」が含まれている意味

今回の件数には、現在の会員だけでなく、2026年3月以降に退会した人も含まれています。So-netで272,215件、plala（Sコース）で21,130件です。

逆に、2026年2月末日までに退会した人の漏えいはない、とされています。つまり、退会してから一定期間はデータが残っていて、それを過ぎると消される運用になっていたことがうかがえます。

これは中小企業にとって、そのまま当てはまる話です。退会・解約したお客様のデータを、いつまで持っているかを決めていますか。

顧客データは、持っていれば持っているだけ漏えいしたときの件数が増えます。「いつか使うかもしれない」で残している退会者リストは、事故のときに被害を大きくするだけの在庫です。

ソニーの場合は「2月末日まで退会分は対象外」と言えました。これは、保存期間を決めて実際に消していたからです。もし何年分も残していれば、件数は何倍にもなっていたはずです。

侵入から確認まで4日、公表まで8日

時系列を並べると、10月19日に不正アクセスを受け、10月23日に確認、10月24日に漏えいと件数を把握、10月27日に公表です。

侵入されてから気づくまで4日間かかっています。その間、攻撃者はデータベースにアクセスできる状態でした。

ただし、確認してからの動きは速いです。確認後すぐに対象サーバーを停止し、不正アクセス元からの通信を遮断。翌日に件数を把握し、3日後に公表しています。メールアドレスパスワードの初期化も公表と同じ10月27日に実施済みです。

「4日気づかなかった」ことは課題ですが、「気づいてから4日で件数を確定させて公表した」ことは評価できる対応です。多くの事案では、件数の確定に数週間かかります。

利用者が今やること

So-netまたはplala（Sコース）を使っている方、2026年3月以降に退会した方は、次の対応をしてください。

1. メールアドレスパスワードを再設定する。 4サービス（メールサービス（G）／A-Box／ソネットVAIOメール／PostPetメールアカウント）の利用者は、パスワードが初期化されているため、マイページから再設定が必要です。

2. 同じパスワードを他のサービスで使っていたら、そちらも変える。 メールのパスワードが漏れています。同じものを通販サイトや銀行で使っていれば、そこも危険です。

3. 不審なメール・SMS・電話に応じない。 氏名、電話番号、生年月日、メールアドレスがそろって漏れています。この組み合わせがあると、本人になりすました電話や、本物らしく見えるフィッシングメールが作れます。

同社も、メール・SMS・電話に応答しない、本文のリンクを開かない、添付ファイルを開かない、と呼びかけています。

中小企業が学べること

この事案から、自社に持ち帰れる点は3つあります。

1つ目は、顧客データの保存期間を決めること。 退会・解約から何か月でデータを消すかを決め、実際に消します。残っていなければ漏れません。

2つ目は、メールのパスワードを他で使い回さないよう案内すること。 自社がメールアドレスを配っているなら（独自ドメインのメールなど）、同じ話が起きます。

3つ目は、侵入に気づく仕組みを持つこと。 今回は4日間気づけませんでした。サーバーのアクセスログを見る習慣、通常と違う通信を知らせる仕組みがなければ、数か月気づけないこともあります。

「見ていない監視」は監視ではありません。誰が、いつ、何を見るのかを決めてください。

時系列で見る経過

• 2026年10月19日（月）So-net会員データベースに対して外部から不正アクセスを受ける
• 2026年10月23日（金）不正アクセスがあったことを確認。対象サーバーを停止し、不正アクセス元からの通信を遮断
• 2026年10月24日（土）調査により個人情報の漏えいを確認し、項目と件数を把握
• 2026年10月27日（火）メールアドレスパスワード（54,401件）を初期化
• 2026年10月26日（月）NTTドコモがソニーネットワークコミュニケーションズから報告を受け、ドコモ光「plala（Sコース）」44万3,495件の流出を確認
• 2026年10月27日（火）漏えい 2,585,481件を公表。個人情報保護委員会にも報告し、原因・影響範囲の調査を継続
• 2026年10月27日（火）NTTドコモが委託元として公表し、専用ダイヤルを設置

中小企業が学ぶべきポイント

1. 退会・解約した顧客のデータは、保存期間を決めて実際に消す。残っていなければ漏れない。
2. 本件は2026年2月末日までの退会者が対象外だった。保存期間を運用していたことで件数が抑えられた。
3. メールのパスワードが漏れたら、同じパスワードを使っている他サービスも危険になる。
4. 氏名・電話番号・生年月日・メールアドレスがそろうと、なりすまし電話やフィッシングの精度が上がる。
5. 侵入から確認まで4日かかった。ログを「見る人と頻度」を決めていなければ、もっと長くなる。
6. 確認後は速い対応だった。サーバー停止、件数確定、パスワード初期化を4日以内に実施している。
7. 委託先が侵入されても、顧客から見れば自社の事故。自社名での公表と窓口が必要になる。
8. 委託元として公表するには、自社の名簿と突き合わせて対象者を特定できる状態が要る。
9. 本件は不正アクセスから委託元への報告まで7日かかっている（10月19日→10月26日）。

出典・参考

• So-net会員データベースへの不正アクセスに伴う情報漏洩に関するお詫びとお知らせ - ソニーネットワークコミュニケーションズ
• 【お詫び】ドコモ光「plala（Sコース）」をご利用のお客さま情報流出に関するお知らせ - NTTドコモ
• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope