ニュース｜社会・くらし
So-net不正アクセスで258万件漏えい、何が漏れた？自分は対象か
ソニーネットワークコミュニケーションズは10月27日、インターネット接続サービス「So-net」の会員データベースに不正アクセスがあり、個人情報が漏えいしたと発表しました。So-net会員の情報が2,141,986件、同じ発表で「plala（Sコース）」会員の情報が443,495件、合わせて2,585,481件です。一部のメールサービスではメールのパスワード54,401件も漏れ、会社が10月27日に強制的に初期化しました。公式発表の数字を分解し、ほかのプロバイダーや2026年の大型漏えいと比べました。
この記事の結論
- 漏えいしたのはSo-net会員2,141,986件とplala（Sコース）会員443,495件の計2,585,481件。氏名、電話番号、メールアドレス、ユーザーID、生年月日、性別、インターネット接続用IDです。2026年3月以降に退会した元会員も含まれます（2月末までの退会者は対象外）。
- マイページのログインパスワードは漏れていません。ただし、メールサービス（G）・A-Box・ソネットVAIOメール・PostPetメールの54,401アドレスはメールのパスワードまで漏えいし、10月27日10時ごろから強制的に初期化されました。この4つを使っている人はパスワードの再設定が必要です。
- 銀行口座情報が16件、パスワード再設定用の通知書の情報が7件漏れました。クレジットカード情報は含まれません（そもそも保有していないと説明）。NUROなどほかのサービスでの漏えいは確認されていません。
- 当サイトが公式発表で件数を確かめた2026年の主な漏えい18件の中では16番目の規模です。件数よりも、本物の氏名・生年月日・電話番号を添えた偽のメールやSMSに注意が必要です。
So-netの不正アクセスとは？いつ何が起きたのか
So-netは、ソニーネットワークコミュニケーションズが提供するインターネット接続サービス（プロバイダー）です。10月27日に公表された「お詫びとお知らせ」によると、会員の情報をまとめた会員データベースが外部から不正にアクセスされ、個人情報が持ち出されました。同じ内容はニュースリリース（PDF）としても公開されています。
| 項目 | 内容（10月27日時点） |
|---|---|
| 会社 | ソニーネットワークコミュニケーションズ株式会社（インターネット接続サービス「So-net」を提供） |
| 狙われた場所 | So-netの会員データベース |
| 不正アクセス | 2026年10月19日（月）に外部から受けた |
| 気づいた日 | 10月23日（金）。すぐに対象のサーバーを止め、アクセス元からの通信を遮断 |
| 漏えいの確認 | 10月24日（土）に漏えいを認め、項目と件数を把握 |
| 公表 | 10月27日（火） |
| 件数 | So-net会員2,141,986件＋plala（Sコース）会員443,495件＝2,585,481件（公式のご質問と回答では「最大258.6万件」） |
| 原因 | 第三者からの不正アクセス（調査中） |
| 二次被害 | 10月27日時点で確認されていない |
| 国への報告 | 個人情報保護委員会に報告済み |
出典：So-net「So-net会員データベースへの不正アクセスに伴う情報漏洩に関するお詫びとお知らせ」・ニュースリリースPDF・ご質問と回答
発生から公表までの流れ
- 10月19日（月）会員データベースに不正アクセス外部から不正なアクセスを受けました。この時点では会社は気づいていません。
- 10月23日（金）不正アクセスに気づき、サーバーを停止アクセスがあったことを確認し、対象のサーバーを止めて通信を遮断しました。発生から4日後です。
- 10月24日（土）漏えいの項目と件数を把握調査の結果、個人情報の漏えいを認めました。
- 10月27日 10時メールのパスワードを強制初期化10時ごろから、パスワードが漏れた4つのメールサービスの54,401アドレスについて、順次初期化しました。
- 10月27日（火）公表・特設ダイヤル開設発生から8日後、気づいてから4日後の公表です。対象者には個別に連絡するとしています。
- 12月22日ごろ国への確報の期限の目安（60日）不正な目的によるおそれがある漏えいは、発覚した日から60日以内に個人情報保護委員会へ確報を出す決まりです。10月23日から数えた日付です。
出典：So-netのお知らせ・ご質問と回答、個人情報保護委員会「漏えい等の対応とお役立ち資料」。日数と12月22日は当サイトの計算です。
報道では、INTERNET Watch（10月27日16時51分）が「会員情報約214万件」を、ケータイ Watch（同16時47分）が「258万件超」を見出しにしています。前者はSo-net会員分だけ、後者はplala（Sコース）会員分を足した数で、どちらも公式発表の数字と一致します。
何が漏れた？5つの区分を公式発表から整理
公式発表は、漏えいした情報を5つに分けています。いちばん件数が多いのは①と③の会員情報で、パスワードの漏えいがあるのは②だけです。
| 区分 | 件数 | 漏れた項目 | パスワード |
|---|---|---|---|
| ①So-net会員の情報 | 2,141,986件 | 氏名、電話番号、メールアドレス、ユーザーID、生年月日、性別、インターネット接続用ID | なし |
| ②メールアドレスとメールのパスワード | 54,401件 | 4つのメールサービスのメールアドレスと、メールの送受信に使うパスワード | あり（10月27日に初期化） |
| ③plala（Sコース）会員の情報 | 443,495件 | ①と同じ7項目 | なし |
| ④銀行口座の情報 | 16件 | 金融機関名、銀行番号、支店名、支店番号、預金種目、口座番号、口座名義人（暗証番号は保有なし） | ― |
| ⑤会員通知書の情報 | 7件 | パスワード再設定用に発行する通知書の情報 | 初期化済み |
出典：So-netのお知らせ（2.影響）。①〜⑤のいずれにもクレジットカード情報は含まれていません。口座情報の漏えいはSo-net会員のみで、plala（Sコース）会員にはないとしています。
パスワードが漏れた4つのメールサービス
②の対象は、So-netの現会員と2026年3月以降に退会した元会員のうち、次のメールサービスを使っていた人です。So-netの無料の「基本メールボックス」は対象外です。
| サービス | 料金 | 件数 | 割合 |
|---|---|---|---|
| メールサービス（G）@***.gyao.ne.jp ほか3ドメイン | 無料 | 24,655 | 45.3% |
| A-Box（追加メールボックス）@***.so-net.ne.jp | 有料 | 17,672 | 32.5% |
| ソネットVAIOメール@***.vaio.ne.jp | 有料 | 7,005 | 12.9% |
| PostPetメールアカウントサービス@postpet***.so-net.ne.jp | 有料 | 5,069 | 9.3% |
| 合計 | ― | 54,401 | 100% |
出典：So-netのお知らせ。メールサービス（G）のドメインは@***.gyao.ne.jp、@***.gate01.com、@***.pbc.ne.jp、@***.highway.ne.jp（***はサブドメイン）。割合は当サイトの計算です。
メールのパスワードが漏れると何が起きるのか
So-netのご質問と回答によると、パスワードを手に入れた第三者はメールソフトやSo-net Webメールで、そのアドレスのメールを読んだり送ったりできる状態でした。会社が事前の連絡なしにパスワードを強制変更したのは、この不正利用を防ぐための緊急措置だと説明しています。
漏れていないパスワード
- マイページにログインするためのユーザーIDのパスワード
- 一部サービスのインターネット接続に使う接続パスワード
- 基本メールボックス（無料）のメールアドレスのパスワード
ユーザーIDはマイページにログインするためのID、インターネット接続用IDは回線につなぐときに入力するIDです。今回、IDそのものは漏れましたが、これらのパスワードは漏れていないと説明されています。
258万件を分解すると？元会員は29万件【独自集計】
公式発表の内訳を、当サイトで足し合わせて割合を出しました。
| 区分 | 件数 | 全体に占める割合 |
|---|---|---|
| So-net会員（現会員） | 1,869,771 | 72.3% |
| So-net元会員（2026年3月以降に退会） | 272,215 | 10.5% |
| plala（Sコース）現会員 | 422,365 | 16.3% |
| plala（Sコース）元会員（2026年3月以降に退会） | 21,130 | 0.8% |
| 合計 | 2,585,481 | 100% |
出典：So-netのお知らせの件数をもとに当サイトが計算。割合は四捨五入のため合計が100%にならないことがあります。
分かったことは3つです。1つ目は、元会員が293,345件（全体の11.3%）も含まれていることです。So-net会員に限ると12.7%が元会員でした。So-netは、最後の月の料金の請求や問い合わせに対応するため、退会後も一定期間は情報を保管していると説明しています。2026年2月末までに退会した人は対象外です。
2つ目は、件数の17.2%がSo-netではなくplala（Sコース）の会員だという点です。So-netの会員データベースへの不正アクセスで、plala（Sコース）会員の情報も同じく漏れたと発表されています。両者のデータがなぜ同じ範囲にあったのかについて、今回の発表に説明はありません。
3つ目は、メールのパスワードまで漏れたのはSo-net会員の2.54%にとどまることです。そのうち54.7%（29,746件）は、A-Boxなどお金を払って追加したメールサービスでした。
参考：3月以降の退会者を月平均にすると
So-net元会員272,215件を、3月から10月までの8か月で単純に割ると月あたり約3.4万件になります。データベースに残っていた退会者の数から出した目安で、So-netが公表した退会者数ではありません。
ほかの漏えいと比べると？プロバイダーと2026年の18件【独自集計】
2026年は、インターネットのプロバイダー（ISP）まわりの不正アクセスも続いています。KDDIのISP事業者向けメールシステム（6月公表）、ニフティの回線申込・受付管理システム（10月19日公表）、そして今回のSo-netです。発覚から公表までの日数を、各社の公式発表で並べました。
| 会社（システム） | 発覚 | 第1報 | 日数 | メモ |
|---|---|---|---|---|
| ニフティ（回線申込・受付管理システム） | 10月19日 | 10月19日 | 0日 | 最大542,513件（可能性） |
| 佐川急便（お荷物問い合わせサービス） | 9月30日 | 9月30日 | 0日 | 件数は23日後に公表 |
| ユミルリンク（Cuenote） | 10月16日 | 10月19日 | 3日 | 第一報で延べ約900万件 |
| Joshin | 10月16日 | 10月19日 | 3日 | 流出の有無は確認中 |
| So-net（会員データベース） | 10月23日 | 10月27日 | 4日 | 件数・項目まで公表 |
| KDDI（ISP事業者向けメールシステム） | 6月17日 | 6月23日 | 6日 | 発生は5月16日から |
各社の公式発表から当サイトが作成。「発覚」は各社が不正アクセスを確認・認識したと発表した日です。第1報で件数を出したかどうかは会社によって違います。
So-netは気づいてから4日後の公表でしたが、第1報の時点で件数と項目を細かく示しています。その日のうちに第1報を出した会社でも、件数はあとから公表する例があります。一方、KDDIの件は5月16日から不正アクセスが起きていて、気づくまで32日かかっていました。So-netは4日です。
メールのパスワードの漏えいでは、KDDIの件は7,616,173名（7月21日の更新版）で、So-netの54,401件の約140倍でした。KDDIはISP事業者と連携して、対象者のパスワード変更を進めると発表していました。
2026年に件数が公表された主な漏えい18件
当サイトが各社の公式発表で件数を確かめた漏えいを、件数の多い順に並べました。
| 順 | 会社（サービス） | 件数 | 公表日 |
|---|---|---|---|
| 1 | 佐川急便（お荷物問い合わせサービス）重複を含む件数 | 最大約5,323万件 | 10月23日 |
| 2 | ユミルリンク（メール配信Cuenote）延べ件数。増える可能性 | 51,628,280件 | 10月26日（第二報） |
| 3 | Helpfeel（画像共有「Gyazo」）ユーザーのデータ件数 | 約2,362万件 | 9月 |
| 4 | Eストアー（ショップサーブ）重複を除いた人数 | 約2,336万人 | 10月16日 |
| 5 | アドベンチャー（skyticket）客の件数 | 約1,464万件 | 10月9日 |
| 6 | KDDI（ISP事業者向けメール）メールアドレスの漏えい人数 | 12,231,954名 | 7月6日（21日訂正） |
| 7 | 物語コーポレーション（焼肉きんぐアプリ）アプリ登録の件数 | 10,788,963件 | 10月5日 |
| 8 | 第一興商（委託先）重複を除いた件数 | 約872万4,000件 | 10月8日 |
| 9 | ムラウチドットコム対象者の件数 | 7,716,811件 | 9月15日 |
| 10 | パーク24（タイムズカー）アカウント数 | 約660万件 | 9月28日 |
| 11 | ブックオフグループ会員番号の件数 | 最大約643万件 | 10月9日 |
| 12 | ヤマト運輸（クロネコ代金後払い）3区分の合計 | 約531万件 | 10月16日 |
| 13 | トラストバンク（ふるさとチョイス）会員の件数 | 4,454,097件 | 10月20日 |
| 14 | 手間いらず（宿泊予約管理）予約者の人数 | 最大約445万人 | 10月9日 |
| 15 | リクルート（カーセンサー）利用者などの合計 | 最大3,709,551件 | 10月21日 |
| 16 | So-net（plala（Sコース）を含む）会員情報の件数（2区分の合計） | 2,585,481件 | 10月27日 |
| 17 | H2Oリテイリング（共通ID）会員の件数 | 約126万件 | 10月19日 |
| 18 | ニフティ（回線申込・受付管理）可能性がある件数 | 最大542,513件 | 10月19日 |
各社の公式発表から当サイトが作成（10月27日時点。公表日は件数を示した発表の日付、KDDIは7月、それ以外は2026年9〜10月）。件数・人数・アカウント数など数え方が違い、「漏えいした」と「可能性がある」が混ざっているため、単純には比べられません。すべての事案を網羅したものではありません。
So-netは18件中16番目です。数千万件の発表が続いたため小さく見えますが、258万件は日本の大型漏えいの基準でみてもかなり大きな部類です。
国の統計では「5万人超」は全体の0.7%
個人情報保護委員会の令和7年度の年次報告（2025年4月〜2026年3月）によると、民間事業者からの漏えい等の報告は17,139件（前年度19,056件）でした。このうち漏えいした人数が5万1人以上だったのは121件（0.7%）だけで、93.6%は1,000人以下です。また、不正アクセスのような「不正の目的をもって行われたおそれ」がある報告は3,822件（22.3%）ありました。
自分は対象？今すぐやることと注意点
So-netは、対象の特定と範囲の確認を進めているとしています。口座情報と会員通知書の情報が漏れた人には個別に連絡するとしています。会員情報（①③）については、お知らせで「対象のお客様には個別にお詫びのご連絡」をするとしています。
対象になっている可能性がある人
- So-netの現会員
- 2026年3月以降にSo-netを退会した人（2月末までに退会した人は対象外）
- plala（Sコース）の現会員と、2026年3月以降に退会した人
- メールのパスワードまで漏れたのは、メールサービス（G）・A-Box・ソネットVAIOメール・PostPetメールを使っている人
今すぐやること
- 1. 4つのメールサービスを使っているならパスワードを再設定する：10月27日から強制的に初期化されたため、新しいパスワードを設定するまでメールが使えません。マイページから再設定します。反映には数分〜30分ほどかかる場合があります。
- 2. メールソフトの設定も変える：Outlookなどのメールソフトを使っている場合は、ソフトに保存しているパスワードも新しいものに書き換える必要があります。Webメールだけの人は、新しいパスワードでログインできるか確かめます。
- 3. 不審なメール・SMS・電話に応答しない：So-netは、漏えいした情報を悪用した連絡が届くおそれがあるとして、応答しない、本文のリンクを開かない、添付ファイルを開かない、の3点を呼びかけています。
- 4. 同じパスワードをほかで使っていたら変える：漏れたメールのパスワードを、ほかのサービスでも使い回している場合は、そちらも変えておくのが安全です（一般的な対策です）。
- 5. 問い合わせは特設ダイヤルへ：So-net特設ダイヤル 0120-36-8887（平日・土曜10時〜18時。10月27日は20時まで、11月1日（日）と11月3日（祝）も受付）。
生年月日と電話番号がそろっているのが今回の特徴
漏れた項目には、氏名・電話番号・メールアドレス・生年月日・性別がそろっています。本人しか知らないはずの情報を添えて「So-netです。本人確認のため」と連絡されると信じてしまいがちです。So-netからの連絡だと名乗られても、リンクではなく公式サイトやマイページから自分で確かめるようにしてください。
9〜10月に公表されたほかの不正アクセスと、漏れた情報の種類ごとの対策は「最近の不正アクセスまとめ2026」で整理しています。
So-netの情報漏えいのよくある質問
Q. So-netの不正アクセスで何が漏れたのですか？
A. So-net会員2,141,986件とplala（Sコース）会員443,495件の氏名、電話番号、メールアドレス、ユーザーID、生年月日、性別、インターネット接続用IDです。ほかに、4つのメールサービスのメールアドレスとメールのパスワード54,401件、銀行口座情報16件、パスワード再設定用の通知書の情報7件が漏れました。
Q. マイページのパスワードは変える必要がありますか？
A. So-netは、マイページにログインするためのユーザーIDのパスワードは漏れていないと説明しています。パスワードの再設定が必要なのは、メールサービス（G）、A-Box、ソネットVAIOメール、PostPetメールアカウントサービスを使っている人です。
Q. 急にメールが使えなくなったのはなぜですか？
A. 上の4つのメールサービスは、メールのパスワードが漏れたため、10月27日10時ごろから順次、パスワードが強制的に変更されました。マイページでパスワードを再設定し、メールソフトの設定も新しいパスワードに変えると、使えるようになります。
Q. 退会した人の情報も漏れたのですか？
A. 2026年3月以降に退会した人の情報は含まれます（So-net元会員272,215件、plala（Sコース）元会員21,130件）。So-netは、最後の月の料金の請求や問い合わせ対応のため、退会後も一定期間は情報を保管していると説明しています。2月末までに退会した人の漏えいはないとしています。
Q. クレジットカードの情報は漏れましたか？
A. So-netはクレジットカード情報を保有していないため、クレジットカード情報の漏えいはないと説明しています。銀行口座情報は16件の漏えいが確認され、対象者には個別に連絡するとしています。口座の暗証番号は保有していません。
Q. NUROやplalaの会員も対象ですか？
A. NUROを含むほかのサービスでの漏えいは確認されていません。plala（Sコース）の会員情報は443,495件が漏えいの対象です。plala（Sコース）会員の口座情報の漏えいはないとしています。
あわせて読みたい
出典・参考資料
- So-net（ソニーネットワークコミュニケーションズ）：So-net会員データベースへの不正アクセスに伴う情報漏洩に関するお詫びとお知らせ（2026年10月27日）、同ニュースリリースPDF、So-net会員データベースへの不正アクセスに関するご質問と回答
- 個人情報保護委員会：令和7年度 個人情報保護委員会年次報告、漏えい等の対応とお役立ち資料
- 比較した各社の公式発表は、本文の表の会社名からリンクしています。
- 報道：INTERNET Watch（10月27日）、ケータイ Watch（10月27日）
件数の分解・割合・日数・件数比較は、各資料をもとに当サイトが集計・計算したものです。内容は2026年10月27日時点の情報で、今後の調査で件数や範囲が変わる可能性があります。アイキャッチと本文の写真はイメージで、So-netの設備ではありません：Raysonho @ Open Grid Scheduler / Grid Engine（Wikimedia Commons、CC0）をトリミング・明るさ調整し、アイキャッチには文字を加えています。
コメント