「初音ミク」のクリプトン、音源販売のSONICWIREに不正アクセス 会員情報が最大約42万件漏れたおそれ、全員のパスワードを無効に

「初音ミク」の開発元として知られるクリプトン・フューチャー・メディア(札幌市)は2026年10月19日、音源や効果音などを売るサイト「SONICWIRE(ソニックワイヤ)」と、製品のシリアル番号を受け取るサービス「D2R」に、第三者による不正アクセスがあったと発表した。会員の個人情報が、見られたり取られたりしたおそれがある。

何が起きたのか

クリプトンによると、経緯は次のとおりだ。

• 10月17日(土)20時ごろ: SONICWIREとD2Rへの不正アクセスの可能性を見つけた。乗っ取られたアカウントを無効にし、社内のネットワークへの接続を限るなどの緊急の対策をした
• 同じ日の23時39分ごろ: 被害が広がるのを防ぐため、サービスのサーバーを止めた
• 10月18日(日): 警察に第一報を入れた
• 10月19日(月): 個人情報保護委員会への報告を済ませた

クリプトンは、不正アクセスを見つけたあと、「Mythos」を使って状況をつかんだとしている。ITmediaによると、これは米AnthropicのAIのモデル「Claude Mythos」のことだ。

漏れたおそれのある情報

SONICWIREとD2Rの仕組みには、クレジットカードの情報は保存しておらず、今のところ漏れた事実は確かめられていない。過去の決済の情報などに影響がないかも含めて、調べ続けるという。

パスワードは、元に戻しにくい形(ハッシュ)に変換して保存していた。ただ、万が一元に戻されると、同じメールアドレスとパスワードの組み合わせで、ほかのサービスに入られるおそれがあるとしている。

楽器店で買った製品にも影響

ITmediaによると、D2Rは、楽器店などで買ったダウンロード製品のコードを、SONICWIREのアカウントで登録して、製品のシリアル番号を受け取るサービスだ。楽器の通販のサウンドハウスは、D2Rが止まったことを受けて、D2Rでシリアル番号を受け取る商品の新しい注文を休んでいる。届いたコードの手続きもできない状態だという。

クリプトンは、SONICWIRE関連の通販サイトも止めて調べている。ほかの自社のサービスは、対策を強めて見張りながら続けている。

鍵のかかった倉庫に忍び込まれ、会員名簿を見られたかもしれない、という状態だ。倉庫の合いかぎ(パスワード)は全部作り直すことにした(TECHNOVAの見方)。

今からできること

• パスワードの使い回しを見直す: SONICWIREと同じメールアドレスとパスワードの組み合わせを、ほかのサービスで使っているなら、すぐに変える
• 再開後にパスワードを決め直す: 全員のパスワードは無効にされている。サービスの再開後、最初のログインのときに決め直す
• 不審な連絡に注意する: クリプトンや関係先を名乗るメールやSMSのURLや添付ファイルを開かず、個人情報やパスワードを入力しない

対象の人には、登録したメールアドレスに、お詫びと案内が順に届くという。

日本ではどうなるのか

SONICWIREは、ソフトの音源や効果音、BGMなどの素材をダウンロードで売るサイトで、日本の音楽制作の利用者が多い。サービスの再開の時期は、10月19日の時点で決まっていない。

10月は、身近なサービスで不正アクセスの発表が相次いでいる(関連記事: ニフティに不正アクセス、最大54万2513件の個人情報が漏れたおそれ)。

かんたんに言うと

初音ミクのメーカーが運営する、音源を売るサイトとシリアル番号のサービスに不正アクセスがあり、最大約42万人分の名前やメールアドレスなどが漏れたおそれがある。全員のパスワードは無効にされた。同じパスワードをほかで使っている人は、すぐに変えたい。

まとめ

クリプトン・フューチャー・メディアは、SONICWIREとD2Rへの不正アクセスで、会員の個人情報が最大約42万件漏れたおそれがあると発表した。サービスを止め、全員のパスワードを無効にし、警察や個人情報保護委員会にも報告した。利用者は、パスワードの使い回しを見直し、不審な連絡に気をつけたい。