電子書籍ストア「コミックシーモア」を運営するNTTソルマーレは2026年10月16日、第三者による不正アクセスを受け、一部会員の情報が外部へ流出したと発表した。流出した情報には、メールアドレス、生年月日、性別、ニックネームと、ハッシュ化されたパスワードが含まれる。対象件数は精査中で、被害の規模は確定していない。
同社は前日の15日、不正アクセスの可能性が高いと判断してサービスを停止していた。調査によって会員情報の流出が確認されたことで、利用者には、使い回しているパスワードの変更や、サービスを装う不審なメールへの警戒が求められている。
今回の事案では、会員情報の流出に加え、書籍の購入やサービス利用、新刊の配信にも影響が生じた。公表された経緯と被害の範囲を整理したうえで、ハッシュ化パスワードの漏えいが持つ意味と、利用者・運営企業が取るべき対応を考える。
1.発覚から会員情報の流出確認まで
NTTソルマーレは10月15日、コミックシーモアのサーバーが外部から不正なアクセスを受けた可能性が高いと判断し、原因の調査とサービス再開に向けた対応を始めた。同日付の発表では、影響範囲と原因を調査中としており、会員情報の流出までは明らかにしていなかった。
翌16日の発表では、サービスを停止した時刻を15日午前11時35分と説明。不正アクセスを遮断する対応を行い、その後の調査・分析で、会員情報を管理するシステムへの不正アクセスと、内部に保存していた会員情報の外部流出を確認したとしている。
| 日時 | 公表された経緯と対応 |
| 10月15日 | サーバへの不正アクセスの可能性が高いと判断 |
| 10月15日午前11時35分 | サービスを停止し、不正アクセスの遮断に向けて対応 |
| 10月16日 | 会員情報管理システムへの不正アクセスと会員情報の流出を確認したと発表 |
| 10月16日付発表 | 外部専門機関と調査を継続し、再開時に全会員へパスワード再設定を求める方針を提示 |
なお、初期のメンテナンス案内では開始時刻を午前11時30分としていた。上表の午前11時35分は、16日の公式発表で示されたサービス停止時刻に基づく。
公表されている10月15日は、不正アクセスの可能性が高いと判断した日である。実際の侵入開始日や情報の流出日時、侵害が続いた期間は未公表だ。
また、同社は16日の発表で、遮断対応を継続しており、新たな不正アクセスや被害拡大は確認されていないと説明している。これは調査時点での確認状況であり、過去の侵害範囲や流出件数を確定したという意味ではない。
2.流出した情報と現時点で確認されていない被害
同社が流出を確認したとして公表した会員情報は、以下の5項目だ。
- メールアドレス
- ハッシュ化されたパスワード
- 生年月日
- 性別
- ニックネーム
公式発表によると、一部会員の情報が流出したとされているものの、対象件数や対象者を特定する具体的な条件は明らかにされていない。そのため、サービス全体の会員数を、そのまま今回の流出件数とみなすことはできない。
クレジットカード情報については、対象システムで保有していないことを理由に、流出を否定している。一方、購入履歴やMY本棚については、現時点の調査では被害を確認していないとの説明にとどまる。これらは確認の根拠や状況が異なるため、それぞれを区別して捉える必要がある。
購入履歴は、読書の好みや関心のある分野など、利用者の私生活に関わる情報にもなり得る。そのため、利用者が不安を感じるのも無理はない。ただし、今回の公表内容だけでは、具体的にどの作品を購入したかといった情報まで流出したと結論づけることはできない。
また、サービス再開時に全会員を対象としてパスワードの再設定を求める方針も、すべての会員情報が流出したことを意味するものではない。実際に流出が確認された情報の範囲と、被害の拡大防止やアカウント保護を目的に実施される対策は、分けて整理する必要がある。
3.ハッシュ化されたパスワードにも残るリスク
今回の流出情報で、特に注意したいのがハッシュ化されたパスワードである。
ハッシュ化は、パスワードを一方向の計算によって別の値へ変換する処理だ。鍵を使って元の文字列へ戻す暗号化とは性質が異なる。適切な方式で保存されていれば、ハッシュ値から元のパスワードを直接読み取ることは難しい。
ただし、攻撃者は候補となるパスワードを同じ方式で計算し、流出した値と一致するかを調べられる。短い数字列やよく使われる単語など、推測しやすいパスワードは、この方法で特定されるおそれがある。
ハッシュ値を持ち出されると、攻撃者が自分の機器で候補を試す「オフライン攻撃」が可能になる。この試行には、通常のログイン画面に設けた回数制限やアカウントロックが働かない。漏えい後の耐性を左右するのは、保存方式や計算コスト、パスワード自体の推測されにくさである。
保存側の対策としては、アカウントごとに異なるランダムな値であるソルトを加え、パスワード保存に適した方式を使うことが重要だ。OWASPはArgon2idを優先し、利用できない場合にはscryptを推奨している。既存システムでbcryptを使う場合も、適切な計算コストなどが求められる。ソルトは攻撃者による計算結果の使い回しを難しくするが、弱いパスワードの推測を防ぎ切るものではない。
今回、採用されていた方式やソルトの扱い、計算コストは公表されていない。そのため、流出したパスワードがどの程度特定されやすい状態だったのかは、公開情報だけでは評価できない。
ハッシュ化は被害を抑えるための重要な対策である。その効果を判断するには、具体的な保存方法の確認が必要になる。
4.二次被害を防ぐため利用者ができること
懸念される二次被害の一つが、他サービスへの不正ログインだ。
コミックシーモアと同じパスワードを使っている場合、元のパスワードが推測・特定されると、その情報をメール、通販、SNSなどの別サービスで試される可能性がある。流出したIDとパスワードの組み合わせを他サイトで試す手口は、クレデンシャルスタッフィングと呼ばれる。
今回の発表は、平文のパスワードが流出したという内容ではない。それでも、使い回しがあれば、パスワードの特定を待たずに変更することが望ましい。特にメールアカウントは、他サービスのパスワード再設定にも使われるため、同じパスワードを設定している場合は優先して対応したい。
もう一つは、サービス再開や本人確認を装ったフィッシングだ。「本棚を復旧するための確認」「パスワードの再設定」といった案内は、停止中の利用者の関心を引きやすい。ニックネームなどが記載されていても、それだけで正規の連絡とは判断できない。
これらは、流出情報の性質から想定されるリスクである。今回の情報を使った二次被害が、実際に確認されたと公表されているわけではない。
利用者は、次の対応を進めたい。
- 同じパスワードを使っている他サービスでは、再開を待たずに変更する。 サービスごとに異なる、十分に長いパスワードを設定する。
- 対応するサービスでは多要素認証やパスキーを利用する。 パスワードが知られた場合の不正ログイン対策を強化する。
- 再開やパスワード再設定の案内は公式サイトから確認する。 普段使っている公式アプリやブックマークを利用し、突然届いたメール内のリンクを起点に認証情報を入力しない。
- 身に覚えのないログインや登録情報の変更がないか確認する。 メールや通販、SNSなどに異常があれば、そのサービスの公式窓口へ相談する。
NTTソルマーレは、再開時に全会員へパスワード再設定を求める予定としている。具体的な手順は、再開時の公式案内に従う必要がある。
5.まとめ
今回のように、購入した本を読むためのサービスが停止すると、紙の本を手元に置いておくことの安心感を改めて考えさせられる。紙の本は、購入した書店のシステムが停止しても、手元にあればいつでもページを開ける。読むためにログインする必要も、運営会社の復旧を待つ必要もない。
もちろん、電子書籍には、多くの作品を手軽に持ち歩けるという利便性がある。今回も、本棚アプリにダウンロード済みの作品については閲覧できると案内されている。しかし、配信や認証を事業者のシステムに依存する仕組みでは、サービスの停止が読書環境に影響を及ぼす可能性がある。つまり、「購入した本を保有していること」と「読みたいときに自由に読めること」は、必ずしも同じではない。
では、やはり紙の本が一番なのだろうか。必ずしもそうとは言い切れないが、サービスの稼働状況に左右されず、自分の手元にある本をいつでも開けるという安心感は、紙の本ならではの強みだ。電子書籍の利便性を享受する一方で、購入したコンテンツへのアクセスがどのような仕組みに支えられているのか、改めて考えるきっかけにしたい。
参考資料 NTTソルマーレ「『コミックシーモア』会員情報の流出に関するお詫びとお願い」（2026年10月16日）/ NTTソルマーレ「『コミックシーモア』の緊急メンテナンスについて」（2026年10月15日）/ シーモアコミックス「コミックシーモアの緊急メンテナンスに関するお詫びとお知らせ」（2026年10月15日）