SONICWIREに不正アクセス、最大約42万件漏えいの可能性｜購入済み音源やパスワードへの影響は？

SONICWIRE不正アクセス｜最大42万件漏えいのおそれと対処法

クリプトン・フューチャー・メディア株式会社は2026年10月19日、音楽制作ソフトやサウンド素材を販売する「SONICWIRE（ソニックワイヤ）」と、製品ライセンス管理サービス「D2R」への不正アクセスを公表しました。

SONICWIREでは、ニュースレター購読者を含む最大約42万件の会員情報などが、第三者に閲覧・取得された可能性があります。

対象となる情報には氏名やメールアドレスのほか、ハッシュ化されたパスワード、一部利用者の住所などが含まれます。

クリプトンは被害拡大を防ぐため、10月17日夜からSONICWIREとD2Rを停止。すべてのアカウントのパスワードも無効化しました。サービス再開日は未定です。

さらに、今回の影響は会員情報だけにとどまりません。D2Rを利用する一部ソフトウェアでは、新たなシリアルナンバーの取得ができなくなり、サウンドハウスも対象商品の販売を休止しています。

自分の情報が対象になっているのか、他のサイトのパスワードも変更するべきなのか。購入済みの音源やプラグインは使えるのか。10月20日時点の公式発表をもとに、利用者への影響と必要な対応を整理します。

SONICWIRE・D2Rに不正アクセス｜最大約42万件が漏えいした可能性

今回不正アクセスが確認されたのは、クリプトンが運営する「SONICWIRE」と「D2R」です。

SONICWIREは、ソフト音源、エフェクトプラグイン、サンプルパック、効果音、BGMなどを扱うダウンロードストア。パソコンで音楽を制作するDTMユーザーを中心に利用されています。

一方のD2Rは、販売店で購入したソフトウェアのライセンス情報を登録し、製品用のシリアルナンバーを取得するためのサービスです。

クリプトンによると、2026年10月17日20時ごろに不正アクセスの可能性を確認しました。その後、侵害されたアカウントの無効化やIPアドレス制限などの緊急措置を実施し、同日23時39分ごろに対象サーバーの停止を完了しています。

10月19日には、個人情報が第三者に閲覧・取得された可能性があることを正式に発表しました。

発表の詳細は、クリプトン公式「不正アクセスによるお客様情報漏えいの可能性に関するお知らせ」で確認できます。

42万件すべての情報流出が確定したわけではない

今回の「最大約42万件」という数字は、SONICWIREの会員とニュースレター購読者を含めた、情報漏えいの可能性がある対象規模です。

クリプトンは、情報が第三者に参照・取得された可能性があると説明していますが、実際に何件の情報が外部へ持ち出されたのかについては、引き続き調査を行っています。

したがって「42万件の情報流出が確定した」「42万人全員のパスワードが盗まれた」という意味ではありません。

また、最大約42万件という数字はSONICWIRE側の対象規模です。D2Rの登録店舗については別途情報漏えいの可能性が発表されていますが、その件数は示されていません。

どんな個人情報が対象？ニュースレター購読者も含まれる

漏えいした可能性がある情報は、SONICWIREとD2Rで異なります。

SONICWIREでは、通常の会員だけでなく、ニュースレター購読者も対象範囲に含まれています。

過去に音源やプラグインを購入したことがある人はもちろん、ニュースレターへの登録だけを行っていた人も、今回の発表を確認しておく必要があります。

表の情報は、公式発表に記載された対象候補を整理したものです。すべての利用者について、すべての項目が漏えいした可能性があるという意味ではありません。

例えば住所は、請求書や見積書の発行時に入力した場合が対象です。また、ニュースレター購読者が必ずログイン用パスワードを登録していたとは限りません。

実際にどの項目が対象となるかは、利用者の登録状況によって異なります。

自分が対象かどうかを確認する方法

クリプトンは、対象となる利用者の登録メールアドレス宛に、お詫びと今後の対応に関する案内を順次送付するとしています。

SONICWIREを利用したことがある場合は、登録していたメールアドレスの受信箱を確認してください。普段使用していないアドレスで登録していた可能性があれば、そちらも確認するとよいでしょう。

ただし、通知は順次送付されるため、現時点でメールが届いていないことだけを理由に対象外と判断することはできません。

D2Rの登録店舗については、クリプトンが個別に連絡を行っています。

全アカウントのパスワードを無効化｜利用者が今すぐ行うべき対応

今回の発表で、SONICWIRE利用者が特に確認しておきたいのがパスワードの扱いです。

クリプトンはアカウントを保護するため、すべての利用者のパスワードを無効化したと発表しています。

サービス復旧後、初めてログインする際にはパスワードの再設定が必要になります。

一方、現在のSONICWIREとD2Rはサービス停止中です。通常のログイン画面からすぐにパスワードを変更できる状態ではありません。

つまり、SONICWIRE自体のパスワード再設定と、他のサイトへの不正ログインを防ぐための対策は、別々に考える必要があります。

他のサイトでも同じパスワードを使っている場合は変更する

他のサービスでもSONICWIREと同じメールアドレス・パスワードの組み合わせを使用している場合は、そちらのパスワードを速やかに変更してください。

これはクリプトンが公式に利用者へ求めている対応です。

例えば、SONICWIREで使用していたメールアドレスとパスワードを、別の音楽制作ソフトの販売サイトや通販サイトでも使っていた場合、そのサイトへの不正ログインに悪用されるおそれがあります。

SONICWIRE側のパスワードはすでに無効化されていますが、それによって他のサービスのパスワードまで自動的に変更されるわけではありません。

まずは同じ組み合わせを使用しているサービスがないか確認し、該当するものがあれば、それぞれ異なる新しいパスワードへ変更することが重要です。

ハッシュ化されたパスワードなら安全なのでは？

今回、漏えいした可能性があるパスワード情報は、元のパスワードをそのまま記録したものではなく、ハッシュ処理された値です。

ハッシュ処理とは、入力されたパスワードを計算によって別の値に変換する仕組みです。通常、保存されたハッシュ値を見ただけで元の文字列を直接読み取ることはできません。

ただし、ハッシュ化されていることは、元のパスワードを絶対に推定できないという意味ではありません。

短いパスワードや推測されやすい文字列を使っている場合、第三者が多数の候補を試し、元のパスワードを突き止めようとする可能性があります。その危険性は、使われているハッシュ処理の方式などによっても変わります。

今回の発表では、ハッシュ処理の具体的な方式や、元のパスワードが復元された事実までは明らかにされていません。

それでもクリプトンが他サービスでのパスワード変更を呼びかけているのは、万が一に備え、使い回しによる二次被害を防ぐためです。

不審なメールやSMSにも注意

氏名やメールアドレスが第三者に取得されていた場合、それらを使ってクリプトンや関係企業を装うメールが送られるおそれもあります。

特に今回のようにパスワードの再設定が必要となるケースでは、偽の再設定ページへ誘導するフィッシングメールに注意が必要です。

クリプトンは、不審なメールやSMSに記載されたURL・添付ファイルを開かず、個人情報やパスワードを入力・回答しないよう呼びかけています。

サービス再開やパスワード再設定の案内が届いた際には、メールの差出人表示だけで判断せず、クリプトンの公式発表と照合してください。

クレジットカード情報は流出した？

SONICWIREでは音源やプラグインを購入できるため、決済時に使用したクレジットカード情報が心配な人もいるでしょう。

この点について、クリプトンはSONICWIREとD2Rのシステム自体には、利用者のクレジットカード情報を保存していないと説明しています。

また、2026年10月19日時点では、クレジットカード情報の漏えいは確認されていません。

ただし、過去の決済情報などを通じて何らかの影響が出ていないかについては、引き続き調査する方針です。

そのため、今回の発表は「クレジットカード情報42万件が流出した」という内容ではありません。一方で、調査がすべて完了し、決済に関連する影響が一切ないと確定したわけでもありません。

今回の発表だけを理由に、すべての利用者が直ちにクレジットカードを再発行する必要があるという案内は出されていません。

ただし、カードの利用明細に身に覚えのない請求が見つかった場合は、今回の事案との関係が確認できていなくても、カード会社へ相談してください。

SONICWIREはいつ復旧する？D2Rと関連ストアも一時停止

SONICWIREとD2Rは、2026年10月17日夜から一時停止されています。

クリプトンは原因の究明と影響範囲の調査、セキュリティ対策の強化を進めていますが、10月19日の発表時点でサービス再開日は未定です。

調査の一環として、SONICWIRE関連のECストア「ec.crypton.co.jp」も停止されています。

今回のサービス停止は、SONICWIREそのものの永久終了を意味するものではありません。

クリプトンは復旧に向けて調査と対策を進めており、新たに公表するべき事実が判明した場合や、再開の見通しが立った場合には、公式ニュースリリースを更新する方針です。

なお、再開時期について具体的な日付は発表されていません。復旧までにどの程度の期間が必要になるかも現時点では分からない状況です。

購入済みの音源やプラグインは使える？ダウンロード・認証・使用は別の問題

SONICWIREでソフト音源やプラグインを購入している人にとって、サービス停止は単なるWebサイトの問題ではありません。

購入した製品をこれからインストールする場合や、パソコンの買い替えに伴って再ダウンロード・再認証する場合にも影響する可能性があります。

ただし、SONICWIREが停止したからといって、購入済みの音源やプラグインがすべて使用できなくなるわけではありません。

ここでは「インストール済み製品の使用」「製品データのダウンロード」「新しいシリアルナンバーの取得」を分けて考える必要があります。

インストール済みの製品がすべて停止するわけではない

今回の公式発表では、SONICWIREで購入した製品が一律に使用不能になるという案内は出されていません。

すでにパソコンへインストールし、必要な認証を完了している製品については、SONICWIREのWebサイトが停止していることだけで、直ちに利用できなくなるとは限りません。

一方、製品によってはメーカー側のアカウントやオンライン認証が必要な場合があります。再インストール時の認証方法やライセンス管理の仕組みも製品ごとに異なるため、すべてのソフトが同じ条件で使えるとまでは言えません。

現在問題なく動作している製品については、慌ててアンインストールする必要はありません。再インストールが必要になった際に備えて、手元のインストーラーやライセンス情報を確認しておくとよいでしょう。

再ダウンロードしたい場合はどうなる？

SONICWIREでは、サンプルパックや一部ソフト音源、効果音、BGMパックなどについて、購入後にストアから製品データをダウンロードする仕組みを採用しています。

こうした製品は、公式の通常利用案内では購入から2週間のダウンロード期限が設定されています。

期限が切れた場合には、通常「レスキューモード」と呼ばれる機能を使い、ダウンロード期限を延長できます。延長期間は実行日から1週間です。

しかし、レスキューモードはSONICWIREの購入製品ページから利用する仕組みのため、サービス停止中は通常どおり操作できません。

今回の停止期間について、ダウンロード期限を自動延長するのか、どのような救済措置が設けられるのかは、10月19日の公式発表では案内されていません。

購入直後でまだ製品データをダウンロードしていない場合や、再ダウンロードの期限が近い場合は、今後の案内で確認するべき重要な点です。

通常のダウンロード期限とレスキューモードの仕組みは、SONICWIRE公式「レスキューモード（ダウンロード製品の再ダウンロードについて）」で説明されています。

D2R停止で一部ソフトの認証ができない｜サウンドハウスも販売休止

今回の不正アクセスは、SONICWIREで直接商品を購入していない人にも影響する可能性があります。

その理由が、同時に停止している「D2R」です。

D2Rは、クリプトンが提供するソフトウェア製品のライセンス管理・シリアルナンバー取得サービスです。

例えば、別の販売店でダウンロード版の音源やプラグインを購入し、D2R用のアクティベートコードを受け取った場合、そのコードをSONICWIREのD2Rへ登録して製品用のシリアルナンバーを取得することがあります。

この仕組みを利用する製品では、D2Rが停止していると新たなアクティベート手続きを完了できません。

アクティベートコードと製品シリアルナンバーは違う

D2Rの仕組みを理解するうえで重要なのが、購入時に受け取る「アクティベートコード」と、実際にソフトウェアへ入力する「製品シリアルナンバー」の違いです。

通常、D2Rを利用する製品は次のような流れで導入します。

1. 販売店で対象のダウンロード商品を購入する。
2. 販売店からD2R用のアクティベートコードを受け取る。
3. SONICWIREのアカウントでD2Rにログインする。
4. アクティベートコードを登録し、製品シリアルナンバーを取得する。
5. 取得したシリアルナンバーを使い、メーカーが案内する手順で製品を導入する。

D2R用のアクティベートコードは16桁の大文字英数字で発行されます。ただし、このコードは製品本体へ直接入力するためのシリアルナンバーではありません。

D2Rでコードを引き換えると、登録メールアドレス宛に製品シリアルナンバーや取得方法が記載されたメールが送られる仕組みです。

つまり、購入した商品が手元にあっても、D2Rでの引き換えが完了していなければ、必要なライセンス情報を取得できない場合があります。

この仕組みは、Media Integrationの公式サポート「製品ライセンスをD2Rシステムにて引き換える」でも説明されています。

サウンドハウスではD2R対象商品の新規注文を休止

音楽制作関連商品を扱うサウンドハウスも、2026年10月19日に今回の不正アクセスによる影響を発表しました。

同社は、D2Rを利用してシリアルナンバーを取得する一部ダウンロード商品の新規注文受付を停止しています。

対象となるのは、商品ページに「販売停止中」と表示されている一部のダウンロード納品商品や、D2Rでのアクティベートが必要と記載されている商品です。

重要なのは、すでにD2Rでのアクティベートを完了している場合、取得済みの製品シリアルナンバーは利用できるという点です。

一方、まだアクティベートしていないコードは、現在D2Rで引き換えることができません。

購入済み製品のシリアルナンバーを確認したい場合、サウンドハウスはSONICWIREに登録したメールアドレス宛の通知メールを参照するよう案内しています。

なお、今回の事案に関連したサウンドハウス自体への不正アクセスは確認されていないと、同社は説明しています。

対象商品の販売再開については、復旧状況が確認でき次第、同社のニュースページで案内される予定です。

詳細はサウンドハウス公式「SONICWIRE・D2Rへの不正アクセスに伴う一部商品の販売休止について」で確認できます。

『初音ミク』などのバーチャルシンガー製品にも影響はある？

クリプトンといえば、『初音ミク』をはじめとするバーチャルシンガー製品でも知られています。

SONICWIREでは、これらの製品や音楽制作関連ソフトの販売、ライセンス登録、製品情報の管理なども行われています。

そのため、SONICWIREを利用して『初音ミク』などの製品を購入・登録したことがある人にとっても、今回の停止は無関係ではありません。

ただし、SONICWIREのサービス停止によって、インストール済みの『初音ミク』を含むすべてのバーチャルシンガー製品が使用不能になるという発表はありません。

製品の起動や音声合成機能そのものと、SONICWIRE上での購入履歴・ライセンス情報の確認、インストーラーの再取得などは別の問題です。

すでに製品を利用している場合は、まず手元にインストーラー、シリアルナンバー、ライセンス関連のメールなどが残っているか確認しておくとよいでしょう。

ただし、製品によってライセンス管理や認証方式が異なるため、個別製品の再認証や再インストールに関する影響は、それぞれの公式案内に従う必要があります。

不正アクセスはいつ発生？10月17日から19日までの経緯

クリプトンが公表した不正アクセス確認からの経緯は、次のとおりです。

クリプトンは、不正アクセスを検知したあと、状況を把握しながら対象サービスの停止を含む緊急措置を実施しました。

10月19日の発表では、緊急対応が完了したあとに新たな不正アクセスは確認されていないと説明しています。

ただし、追加の不正アクセスが確認されていないことと、すでに行われた不正アクセスの影響範囲がすべて判明したことは別です。

現在も原因の究明と対象情報の確認が続いており、クリプトンは外部専門機関への調査依頼も含めた対応を進める方針です。

不正アクセスの原因は判明している？

具体的な侵入経路や攻撃手法については、10月19日時点で詳しく発表されていません。

発表では侵害アカウントの無効化やIP制限などを行ったと説明されていますが、これだけで不正アクセスの原因が特定されたとは言えません。

また、個人情報保護委員会への報告が完了していることも、最大約42万件すべての情報流出が確定したという意味ではありません。

不正アクセスがあったことと、情報が外部へ取得された可能性、その後の悪用が確認されたかどうかは、それぞれ分けて確認する必要があります。

この違いについては、つぶログの不正アクセスと情報流出の違いを解説した記事でも詳しく整理しています。

問い合わせ先はどこ？今後の復旧・調査結果の確認方法

クリプトンは、今回の不正アクセスについて、利用者向けの問い合わせ窓口を案内しています。

アカウント情報への影響や購入済み製品の扱いなど、個別に確認したいことがある場合は、クリプトン公式の問い合わせフォームを利用できます。

サウンドハウスで購入したD2R対象商品については、同社の公式ニュースページでも販売休止と既存購入者向けの案内が掲載されています。

一方、SONICWIREのサービス再開やパスワードの再設定方法、情報漏えいの詳しい調査結果については、クリプトンの公式ニュースリリースが主な確認先になります。

特に今後確認したいのは、実際に外部へ取得された情報の範囲、サービス再開日、購入済み商品の再ダウンロードとライセンス取得への対応です。

クリプトンは新たな事実や復旧の見通しが判明した場合、今回のニュースリリースを更新して案内するとしています。

まとめ｜パスワードの使い回しに注意、購入済み製品は認証状況を確認

2026年10月19日、クリプトンはSONICWIREとD2Rへの不正アクセスを公表しました。

SONICWIREではニュースレター購読者を含む最大約42万件の情報が、第三者に閲覧・取得された可能性があります。ただし、42万件すべての流出が確定したという発表ではありません。

利用者側で特に重要なのは、全アカウントのパスワードが無効化されていることです。SONICWIRE自体のパスワードはサービス復旧後の初回ログイン時に再設定しますが、他のサイトでも同じメールアドレスとパスワードを使っている場合は、そちらを速やかに変更する必要があります。

また、SONICWIREとD2Rの停止によって、購入済み音源の再ダウンロードや、一部ソフトウェアの新規ライセンス取得にも影響が出ています。

すでに認証を完了した製品が一律に利用できなくなるわけではありませんが、再インストールや新しいシリアルナンバーの取得を予定している場合は注意が必要です。

サービス再開日は未定です。現在利用している音源やプラグインのインストーラー、ライセンス情報、購入時のメールなどを確認し、必要な情報を手元に残しておくとよいでしょう。

今後の復旧状況や調査結果については、クリプトンの公式発表で確認できます。