So-netに不正アクセス 会員情報約258万件とメールのパスワード5.4万件が漏えい

名前や電話番号に加えて、メールを読むためのパスワードまで外へ出ていました。ソニーネットワークコミュニケーションズは10月27日、インターネット接続サービス「So-net」の会員データベースが不正アクセスを受け、会員の情報が漏えいしたと発表しました。

対象はSo-netとplala（Sコース）の会員と元会員で、合わせて約258万件です。うち5万4,401件は、メールアドレスとそのパスワードの組み合わせでした。同社は27日の午前10時ごろから、このパスワードを順に強制的に変えています。

会社でSo-netのメールを使っていれば、27日から送受信が止まっているかもしれません。

入られてから気づくまで4日

個人情報保護委員会には報告済みで、原因と影響の範囲を調べています。同社のよくある質問によると、サーバーを止めたあとに新しい漏えいは確認されていません。27日時点で、この件による二次被害も確認されていないとしています。

漏れたのは5種類の情報

発表は、漏れた情報を5つに分けています。

元会員は、2026年3月以降に退会した人です。2月末までに退会した人の情報は漏れていません。退会後も、最後の月の請求と問い合わせへの対応のため、一定の期間は情報を持っているそうです。

パスワードが漏れたのは、次の4つのメールサービスです。

• メールサービス（G）。gyao.ne.jp、gate01.com、pbc.ne.jp、highway.ne.jpのアドレスで、2万4,655件（無料）
• A-Box（追加メールボックス）。so-net.ne.jpのアドレスで、1万7,672件（有料）
• ソネットVAIOメール。vaio.ne.jpのアドレスで、7,005件（有料）
• PostPetメールアカウントサービス。postpetで始まるso-net.ne.jpのアドレスで、5,069件（有料）

マイページに入るためのパスワード、一部のサービスのインターネット接続のパスワード、無料の基本メールボックスのパスワードは、漏れていないとしています。クレジットカードの情報は、もともと同社が持っていません。

ドコモの公表で分かったplala（Sコース）の範囲

plala（Sコース）は、NTTドコモの光回線「ドコモ光」で選べるプロバイダーです。NTTドコモは10月27日、このサービスの会員の情報を預けていた委託先がソニーネットワークコミュニケーションズで、So-netの会員データベースへの不正アクセスで流出したと公表しました。ドコモが報告を受けたのは、10月26日です。

plala（Sコース）の利用者に配られるメールアドレスは、so-net.ne.jpです。名前に「plala」とあっても、届くアドレスはSo-netのものなので、会社で洗い出すときはドメインで探すほうが確実です。

問い合わせの窓口は、So-netの特設ダイヤルとは別に、plala（Sコース）特設ダイヤル（0120-035-700）が設けられています。受付は10時から19時で、土日祝日も受け付けます。

予告なしにパスワードを変えた理由

メールのパスワードは、利用者に知らせる前に同社が変えました。よくある質問では、理由をこう説明しています。アドレスとパスワードが漏れたため、手に入れた第三者がメールソフトやSo-netのWebメールで、メールを読んだり送ったりできる状態だった、と。

放っておけば、他人が利用者になりすましてメールを送れます。一方、利用者の側では、マイページで新しいパスワードを決めるまで、そのアドレスで送受信ができません。

会社にとって、いちばん影響の出やすいところでしょう。So-netのアドレスを仕事に使っていれば、27日の午前からメールソフトやスマートフォンで認証が通らず、受信も送信も止まります。

まだ分からないこと

• 入口と原因。同社は「第三者からの不正アクセス（調査中）」としか書いていません。
• パスワードがどんな形で保存されていたか。メールのパスワードが、なぜ使える形で手に入ったのかは説明がありません。
• メールボックスに実際に入られたか。第三者が読める状態だったとは書いていますが、実際に読まれたり送られたりしたかには触れていません。
• 個別の連絡の時期。口座と通知書の対象者には個別に連絡するとしています。会員の情報の対象者は、特定と範囲の確認を進めている段階です。

影響を受けるのは、ISPのメールを使う会社

個人の会員の話に見えますが、会社にも関係します。

まず、会社のメールにSo-netのアドレスを使っている場合です。小さな事業所や店舗では、接続のプロバイダーのアドレスを代表のアドレスにしている例も少なくありません。4つのサービスのどれかなら、27日から止まっています。

メールを自動で送る機器も同じです。複合機のスキャンの送信や、業務システムの通知を、このアカウントで送る設定にしていれば、新しいパスワードを入れるまで届きません。

次に、社員が個人でSo-netやplalaを使っている場合です。名前、電話番号、生年月日、メールアドレスがそろって漏れました。So-netを名乗る「パスワードの再設定」の連絡のように、本物に見える詐欺の材料になります。漏れたメールのパスワードを会社のアカウントにも使い回していれば、会社の側にも及びます。

取引先がSo-netのアドレスで連絡してくる場合も、注意が要ります。乗っ取られるおそれがあった期間に、振込先の変更のような依頼が届いていないかは、気にしておく価値があります。

So-netのアドレスを使っておらず、社員にも会員がいなければ、直接の影響はありません。

社内のメールと社員への案内で確認すること

1. So-netのアドレスを使っていないか洗い出す。 代表のアドレス、店舗や支店のアドレス、取引先やクラウドのサービスに登録した連絡先を見ます。so-net.ne.jp、gyao.ne.jp、gate01.com、pbc.ne.jp、highway.ne.jp、vaio.ne.jpの6つのドメインで探すと早く済みます。
2. 対象なら、新しいパスワードを決めて、機器の設定も変える。 マイページで変えたあと、メールソフト、スマートフォン、複合機、通知を送るシステムの設定も直します。新しいパスワードは、ほかで使っているものと別にします。
3. 送信済みのメールと転送の設定を見る。 覚えのない送信や、知らない転送先が足されていないかを確認します。見つかったら、送り先に連絡します。
4. 社員に短く知らせる。 伝えるのは、So-net、plala、ドコモを名乗るメール、SMS、電話には応じず、本文のリンクや添付を開かないことです。漏れたメールのパスワードを会社のアカウントにも使っていた人には、会社の側のパスワードも変えてもらいます。詐欺メールの見分け方は9月末から相次ぐ情報漏えい一覧 「返金します」詐欺メールの見分け方にまとめています。
5. 振込先の変更の依頼は、電話で確認する。 相手のSo-netのアドレスから届いた依頼は、前から登録してある電話番号で相手に確認してから応じます。

10月は、ほかにも大きな漏えいの公表が続いています。直近の一覧は情報漏えい15件を図解10月22日〜26日 電話番号と住所も対象にで見られます。

2026年10月27日時点の、ソニーネットワークコミュニケーションズとNTTドコモの公式の発表に基づいています。新しい発表があれば、この記事を更新します。

2026年10月27日 更新: NTTドコモの公表をもとに、ドコモ光の「plala（Sコース）」で流出した情報の範囲と、対象外のplalaのサービス、特設ダイヤルを書き足しました。