ソニーネットワークコミュニケーションズは10月27日、同社のインターネット接続サービス「So-net」の会員データベースが外部から不正アクセスを受け、会員の個人情報が漏えいしたと発表した。漏れたのはSo-netと「plala（Sコース）」の現会員・元会員の氏名、電話番号、メールアドレス、生年月日などで、件数は合わせて258万5481件に上る。一部のメールサービスでは約5万4000アドレス分のメールのパスワードも漏れており、同社は27日にこれを強制的に初期化した。原因は「第三者からの不正アクセス（調査中）」としており、個人情報保護委員会に報告した。
19日に侵入、23日に確認しサーバーを停止
同社の発表によると、会員データベースへの不正アクセスがあったのは10月19日（月）。同社がそのアクセスに気付いたのは4日後の23日（金）で、確認後すぐに対象のサーバーを停止し、不正アクセス元からの通信を遮断した。翌24日（土）に、調査で個人情報の漏えいを認め、漏れた項目と件数を把握した。公表は27日（火）。
同社が設けた「ご質問と回答」のページは、サーバーを停止して以降、新たな漏えいは確認していないと説明している。原因は調査中で、侵入の手口や経路は明らかにしていない。発表は、セキュリティー対策と情報管理体制の見直しに取り組むとしている。
So-net以外のサービスについて、発表は「NUROを含む上記以外のサービスについて、情報漏洩は確認していません」としている。クレジットカード情報はいずれの漏えいにも含まれていない。同社は「ご質問と回答」で、クレジットカード情報をそもそも保持していないと説明している。
現会員と3月以降の退会者、計258万件
漏えいの内訳は次の通り。So-netの会員情報が214万1986件で、このうち現会員が186万9771件、2026年3月以降に退会した元会員が27万2215件。plala（Sコース）の会員情報が44万3495件で、現会員42万2365件、3月以降の退会者2万1130件だった。合計258万5481件は、同社が「ご質問と回答」で示した「最大258.6万件」と一致する。
| 区分 | 件数 |
|---|---|
| So-net 現会員 | 186万9771件 |
| So-net 元会員（2026年3月以降の退会） | 27万2215件 |
| plala（Sコース） 現会員 | 42万2365件 |
| plala（Sコース） 元会員（2026年3月以降の退会） | 2万1130件 |
| 合計 | 258万5481件 |
漏れた項目はどちらも同じで、氏名、電話番号、メールアドレス、ユーザーID、生年月日、性別、インターネット接続用IDの7項目。ユーザーIDは会員向けの「マイページ」にログインするためのID、接続用IDはインターネットに接続するときに入力するIDだと同社は説明している。会員情報の項目としてのパスワードは漏れていないという。
元会員が含まれる理由について、同社は、最終月の利用料金の請求や問い合わせ対応のため、退会後も一定期間情報を保持していると説明した。2026年2月末日までに退会した人の情報は漏れていないとしている。
メールのパスワード5.4万件、27日に強制変更
会員情報とは別に、4つのメールサービスでメールアドレスとメール送受信用のパスワードの組み合わせが漏れた。無料の「メールサービス（G）」（gyao.ne.jp、gate01.com、pbc.ne.jp、highway.ne.jp の各ドメイン）が2万4655アドレス、有料の「A-Box（追加メールボックス）」が1万7672アドレス、有料の「ソネットVAIOメール」が7005アドレス、有料の「PostPetメールアカウントサービス」が5069アドレスで、合わせて5万4401アドレスになる。
| サービス名 | 料金区分 | アドレス数 |
|---|---|---|
| メールサービス（G） | 無料 | 2万4655 |
| A-Box（追加メールボックス） | 有料 | 1万7672 |
| ソネットVAIOメール | 有料 | 7005 |
| PostPetメールアカウントサービス | 有料 | 5069 |
同社は、パスワードが漏れたことで、情報を得た第三者がメールソフトやSo-netのウェブメールを使い、メールの閲覧や送受信ができる状態になっていたと説明している。このため事前の連絡をせずに、27日午前10時ごろから順次、対象のパスワードを強制的に変更した。対象の利用者は従来のパスワードではメールを使えなくなっており、サービスごとの手続きでパスワードを再設定し、Outlookなどのメールソフトを使っている場合はソフト側の設定も変える必要がある。
一方、無料の「基本メールボックス」は対象外だと同社は確認している。マイページにログインするためのパスワードや、一部サービスのインターネット接続用パスワードも、漏えいは確認されていないという。
口座情報16件・通知書情報7件も
このほか、銀行口座の情報16件の漏えいも確認された。金融機関名、銀行番号、支店名、支店番号、預金種目、口座番号、口座名義人で、同社は口座の暗証番号は保有していないとしている。plala（Sコース）の会員にはこの漏えいは無い。パスワード再設定のために発行する通知書の情報も7件漏れ、同社は該当するパスワードを初期化した。口座情報と通知書情報の対象者には個別に連絡するという。
発表は、漏えいの対象者全体についても「個別にお詫びのご連絡をさせていただきます」としている。ただ、「ご質問と回答」は自分が対象かどうかの問いに対し、「現在、対象の特定・範囲の確認を進めております」と答えている。
同社は特設ダイヤル（0120-36-8887、平日・土曜の午前10時〜午後6時）を設けた。11月1日（日）と3日（祝）も受け付ける。
法令が求める委員会報告と本人通知
個人情報保護法第26条は、個人データの漏えいのうち「個人の権利利益を害するおそれが大きいもの」が起きた場合、事業者に個人情報保護委員会への報告を義務付け、本人にも通知するよう定めている。対象は同委員会の規則が4つ挙げており、その一つが「個人データに係る本人の数が千人を超える漏えい等」。今回はこれを大きく上回る。
規則は、事業者が事態を知った後「速やかに」その時点で把握している事項を報告し、事態を知った日から30日以内に確定した内容を報告するよう求めている。漏えいが「不正の目的をもって行われたおそれがある」行為によるものなら、確定した報告の期限は60日以内になる。同社は委員会に報告したうえで、原因と影響範囲の調査を続けているとしている。
漏えいを知らされた人に向けた手順は、IPA、個人情報が漏れた人向けに対処手順 免許証画像は信用情報機関へ申告をで詳しく扱った。
偽メールや詐欺電話に注意を
同社は、27日時点で把握している範囲では二次被害は確認していないとしつつ、漏れた情報を悪用した不審な連絡が届くおそれがあるとして、メールやSMS、電話に応答しない、本文のリンクを開かない、添付ファイルを開かないよう呼びかけている。
情報処理推進機構（IPA）は10月26日に公表した手引きで、メールアドレス、電話番号、氏名などが漏れると、それらがリスト化されて闇サイトなどで売られ、詐欺を狙った偽メールや偽SMS、詐欺電話に使われるおそれがあると指摘している。偽メールの文面に漏れた本人の氏名が書かれていることも考えられるという。IDとパスワードが漏れた場合は、そのサービスで速やかにパスワードを変え、同じパスワードを他のサービスで使い回していれば、そちらも変えるよう求めている。
今回は氏名に加えて生年月日と電話番号がそろって漏れている。So-netからの連絡を装った偽メールや電話が届いた場合でも、記載のリンクや番号ではなく、公式サイトのマイページや特設ダイヤルから確かめることが、被害を防ぐ手立てになる。