事案の概要データ
| 公表日 | 2026年10月15日 |
|---|---|
| 不正利用の開始 | 2026年10月9日 10時ごろ |
| 封じ込め完了 | 2026年10月13日 13時36分 |
| 流出の可能性 | 22,519,960件 |
| 手口 | 「会員情報取得API」を第三者が不正に利用して情報を取得 |
| 詳細原因 | 調査中 |
図解：この事故の構造
何が起きたのか
ソースネクストは2026年10月15日、会員情報管理システムの「会員情報取得API」が第三者に不正利用され、22,519,960件が流出した可能性があると公表しました。2,251万件という規模は、2026年の国内事案でも最大級です。
不正利用が始まったのは10月9日10時ごろ。封じ込めが完了したのは10月13日13時36分でした。つまり約4日間、情報を取得され続けていたことになります。
APIとは何か、なぜ狙われるのか
API（Application Programming Interface）とは、システム同士が情報をやり取りするための「窓口」です。人間が画面を操作するのではなく、プログラムが直接データを要求して受け取ります。
スマートフォンアプリが会員情報を表示するとき、裏側ではこのAPIが使われています。便利で効率的な仕組みですが、2つの問題があります。
1つは、プログラムから呼ぶ前提なので、機械的に何万回でも高速に呼び出せること。2つ目は、画面に表示される情報よりも多くのデータを返している場合があることです。
そのため、APIの認証や呼び出し回数の制限が甘いと、短時間で大量のデータを抜き出されます。2026年10月はこの手口が集中しました。10月8日のローソン（「本人に情報を表示する仕組み」の悪用）、10月13日のJR九州フードサービス（APIの権限不備）、10月14日のアエナ（機械的な連続アクセス）——いずれも同じ系統です。
4日間という時間
この事案で重いのは、10月9日から13日までの約4日間、取得され続けていた点です。
APIへの不正アクセスは、ログの上では「大量のリクエスト」として現れます。1つのアクセス元から、普段ありえない頻度で呼び出されていれば、それは異常です。
有効な対策は、(1)APIの呼び出し回数を制限する（レート制限）、(2)1回のリクエストで返す件数の上限を設ける、(3)短時間に大量のリクエストがあれば自動で遮断する、の3点です。いずれも実装の工夫で対応できます。
自社でアプリやWebサービスを提供している中小企業は、「APIに呼び出し回数の制限をかけていますか」と開発会社に一度確認してみてください。
時系列で見る経過
- 2026年10月9日 10時ごろ第三者が「会員情報取得API」の不正利用を開始
- 2026年10月9日〜13日約4日間にわたり情報が取得され続ける
- 2026年10月13日 13時36分封じ込めが完了
- 2026年10月15日22,519,960件が流出した可能性があると公表。詳細原因は調査中
中小企業が学ぶべきポイント
- APIに呼び出し回数の制限（レート制限）をかける。機械的な大量取得を防ぐ基本。
- 1回のリクエストで返す件数に上限を設ける。全件を一度に返さない。
- 短時間に大量のリクエストがあれば自動で遮断する仕組みを持つ。
- APIが画面表示に不要な情報まで返していないか確認する。
- アプリを外部に委託していても、APIの作りは自社のリスク。開発会社に確認する。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。