社会ニュース｜不正アクセス
楽天の不正アクセスで何が漏れた？楽天ドライブ1.5万件と1億件説
楽天グループのクラウドストレージ「楽天ドライブ」は2026年10月6日、システムに第三者の不正アクセスがあり、1万5,382アカウント分の写真・文書などの保存データが取得・閲覧されたと発表しました。その2日前には、海外の犯罪フォーラムに「楽天会員1億100万件」を売るという投稿も出ています。何が漏れて何が漏れていないのか、1億件説は本当なのか、楽天ドライブの公式お知らせ5本を時系列に並べて、いつから何が起きていたのかを検証します。
この記事の結論
- 楽天が公表した不正アクセスは「楽天ドライブ」の1件です。保存データ（写真・文書など）が15,382アカウント分、アカウント名などが687件と313件分、取得・閲覧されました。313件には暗号化されたパスワードも含まれます。
- 楽天市場や楽天カードの会員情報が漏れたという公式発表はありません。10月4日の「楽天会員1億100万件」販売投稿について、楽天は「情報漏えいが発生したという事実は確認されておりません」と回答しています。
- 公式お知らせを並べると、保存データへのアクセスは232日間続き、8月13日に「保存データへの不正アクセスは確認されていない」と案内した後も35日間続いていたことになります。
- 楽天ドライブの利用者は、個別のメールを確認したうえでパスワードの変更と保存していたファイルの棚卸しを。脅迫や請求の連絡には応じず、窓口か警察に相談してください。
楽天の不正アクセスで何が漏れた？楽天ドライブの3つの事象
楽天ドライブの10月6日の発表によると、第三者が楽天ドライブで使う一部システムの管理用アカウントの認証情報を不正に取得し、システムに入り込みました。取得・閲覧された情報は、時期と中身の違う3つの「事象」に分けて公表されています。
| 区分 | 状況 | 対象の情報 | 件数・時期 |
|---|---|---|---|
| 事象③ | 取得・閲覧 | 楽天ドライブに保存されたデータ（写真・文書などを含む） | 15,382件／2026年1月29日〜9月17日 |
| 事象② | 取得・閲覧 | アカウント名、ディスプレイネーム、暗号化されたパスワード、暗号化の際に加えた文字列、プロフィール用画像URL | 313件／2026年8月27日 |
| 事象① | 取得・閲覧 | アカウント名、ディスプレイネーム（ファイル共有時に相手に表示されるニックネーム）、プロフィール用画像URL | 687件／2026年8月27日 |
| 楽天市場・楽天カードなどの会員情報 | 公表なし | 楽天は漏えいの事実を確認していないと回答（10月6日） | — |
| 楽天会員1億100万件（販売主張） | 未確認 | 氏名・住所・電話番号・メールアドレス・生年月日・会員ランク・ポイント残高とされるサンプル | 投稿は10月4日 |
事象①の687件と事象②の313件が重なっているかどうかは、発表では示されていません。件数は「アカウント数」です。
いちばん重いのは事象③です。アカウント名やパスワードではなく、利用者がクラウドに預けていたファイルそのものが見られています。何が保存されていたかは人によって違い、家族の写真、身分証や書類のスキャン、仕事の文書などが含まれていた可能性があります。
事象②の暗号化されたパスワードは、そのままでは元のパスワードに戻せない形にしてあります。ただ、短いパスワードや辞書にある単語のパスワードは、時間をかけると推測されるおそれがあります。同じパスワードを他のサービスで使い回している人は注意が必要です。
二次被害は「現時点で確認されていない」
楽天ドライブは、本件による二次被害は現時点で確認されていないとしています。対象者には個別にメールなどで通知し、関係当局にも報告したと発表しています。
楽天ドライブの不正アクセスはいつから？公式お知らせ5本で追う経緯
楽天ドライブのサポートサイトには、7月30日以降、この問題に関わるお知らせが5本出ています。それぞれの作成日時と本文の日付を、10月6日に判明した事実と合わせて1本の時系列にしました。
- 1月29日（木）保存データへのアクセスが始まる10月6日の発表で、この日から保存データの取得・閲覧が始まっていたことが分かりました（事象③）。
- 7月30日（木）アプリから不審なプッシュ通知12時55分ごろ、楽天ドライブのアプリから「YOUR RAKUTEN DRIVE HACKED」「Your payment was declined」などの英語の通知が届く事象が発生。偽のGoogleログイン画面やビットコインの支払い画面に誘導するものでした。同日、注意喚起を掲載。
- 7月31日（金）ウェブサイトを一時停止12時にウェブサイトを止め、13時に専用の問い合わせ窓口を設置。影響を受けるおそれがある一部の楽天IDのパスワードを強制的にリセットしました。
- 8月4日（火）ウェブサイト再開15時に、安全を確認したとしてウェブサイトの利用を再開しました。
- 8月13日（木）「保存データへの不正アクセスは確認されていない」更新版のお知らせで「楽天ドライブに保存されたデータへの第三者による不正アクセスは現在確認されておりません」と案内しました。
- 8月27日（木）アカウント情報が取得されるアカウント名やディスプレイネームが687件、暗号化されたパスワードを含む情報が313件、取得・閲覧されました（事象①②）。
- 9月17日（木）保存データへのアクセスが終わる事象③の期間の最後の日です。この日まで保存データの取得・閲覧が続いていました。
- 9月21日（月）アプリのダウンロードを停止モバイルアプリのメンテナンスを理由に、App StoreとGoogle Playからダウンロードできない状態に。10月6日の発表でも、対応としてダウンロードと新規アカウント発行の制限を挙げています。
- 10月4日（日）「楽天会員1億100万件」販売投稿犯罪フォーラムに楽天会員のデータを売るという投稿。楽天ドライブとの関係は分かっておらず、楽天は漏えいの事実を確認していないとしています。
- 10月6日（火）不正アクセスを公表10時10分、楽天ドライブのサポートサイトで不正アクセスの発生と3つの事象を公表しました。
7月30日の不審なプッシュ通知と、10月6日に公表された不正アクセスが同じ攻撃者によるものかどうかは、楽天ドライブは説明していません。
232日間、保存データは見られ続けていた
赤＝保存データの取得・閲覧が続いた期間、緑＝最初の注意喚起から公表まで、紺の線＝8月13日の「確認されていない」の案内。1月29日〜10月6日を100％とした筆者作成の図です。
保存データへのアクセスは1月29日から9月17日まで、両端を含めて232日間続きました。1月29日から公表の10月6日までの期間のうち、約92％の日数でデータが見られていたことになります。
最初の異変である不審なプッシュ通知（7月30日）は、アクセスが始まってから182日後でした。利用者の目に見える形で異変が知らされるまで、約半年かかったことになります。
「確認されていない」の後も35日間続いた
見過ごせないのは、8月13日に「保存されたデータへの第三者による不正アクセスは現在確認されておりません」と案内した後も、保存データへのアクセスが9月17日まで35日間続いていたことです。8月27日にはアカウント情報も取られています。この案内から10月6日の公表までは54日でした。
8月13日の時点で楽天ドライブが何をどこまで把握していたかは、公表資料からは分かりません。「その時点では見つけられていなかった」可能性もあります。ただ利用者から見ると、「大丈夫」と案内されていた間もファイルが見られていたことになり、管理用アカウントがいつ乗っ取られ、なぜ長く気づけなかったのかの説明が今後の焦点になります。
楽天会員1億件の情報漏洩は本当？販売投稿と楽天の回答
10月4日、サイバー犯罪者が集まる海外のフォーラムに「SELLING Rakuten Japan 101M」という投稿が出ました。楽天会員のデータ約1億100万件を700ドルで売るという内容で、氏名・住所・電話番号・メールアドレス・生年月日・会員ランク・ポイント残高などを含むというサンプルが添えられていました。
楽天は「漏えいの事実は確認されていない」
報道機関の問い合わせに対し、楽天は「お問い合わせいただきましたような情報漏えいが発生したという事実は確認されておりません」と回答し、サンプルに載っていたアカウントについても該当するものは確認されていないとしています。10月7日朝の時点で、楽天市場・楽天カードなどの会員情報が漏れたという公式発表はありません。
1億100万件という数字の大きさ
楽天グループは、国内の楽天会員数を「1億以上」としています。投稿の1億100万件は、楽天会員のほぼ全員分にあたる数字です。国内の上場企業で過去最大の漏えいとされるベネッセ（2014年、3,504万件）の約2.9倍、日本の人口（約1億2,265万人）の約82％にあたります。
本物なら国内で例のない規模ですが、こうした投稿には、過去に別の場所から漏れたデータを寄せ集めたものや、それらしく作ったデータが混ざることもあります。会員ランクの条件が公開情報と合っていても、それだけでは本物とは言えません。
本物かどうかに関係なく、偽メールの材料にはなる
投稿が話題になったこと自体が、「楽天会員情報が流出しました」「ポイントが失効します」といった偽メール・偽SMSの口実になります。自分のポイント残高や会員ランクが正しく書かれていても、メールのリンクから楽天IDやカード番号を入力しないでください。
保存データが漏れると何が危ない？考えられる3つのリスク
1. 写真や書類をネタにした脅迫・請求
楽天ドライブ自身が、心当たりのない請求や脅迫的な連絡、なりすましと思われる接触があれば開かず、窓口か警察に相談するよう呼びかけています。私的な写真や書類が手元にあることを示して金銭を要求する手口が想定されます。支払っても画像が消える保証はありません。
2. 身分証の画像を使ったなりすまし
運転免許証、マイナンバーカード、保険証、通帳などの画像を保存していた場合、それを使ったなりすましの契約や借り入れに悪用されるおそれがあります。免許証の画像が漏れたときの具体的な対策は、タイムズカーの免許証流出の記事で紹介したJICCへの本人申告が参考になります。
3. パスワードの使い回しからの乗っ取り
暗号化されたパスワードを取られた313件では、同じパスワードを使っている別のサービスが狙われるおそれがあります。楽天ドライブのパスワードを、楽天IDやメール、SNSと同じにしていた人は、そちらも変えておくのが安全です。
楽天ドライブの利用者・楽天会員が今すぐやること
楽天ドライブを使っている（使っていた）人
- 1. 個別の通知を確認する（リンクは開かない）
対象者には楽天ドライブからメールなどで通知が届きます。届いたメールのリンクではなく、自分でサポートサイトを開いてお知らせと内容を照らし合わせてください。 - 2. パスワードを変え、使い回し先も変える
楽天ドライブのパスワードと、同じパスワードを使っている他のサービスを変更します。他で使っていない、長いパスワードにしてください。 - 3. 保存していたファイルを棚卸しする
1月29日〜9月17日に保存していたファイルの中に、身分証・通帳・契約書・私的な写真がなかったかを確認し、あった場合はその情報で何ができてしまうかを考えて手を打ちます。 - 4. 脅迫・請求には応じず相談する
楽天ドライブ臨時サポート窓口：0800-600-6600（年中無休9時〜17時）。警察は相談専用電話#9110や、各都道府県警察のサイバー犯罪相談窓口に相談できます。
楽天会員全般（楽天ドライブを使っていない人）
- 1. 「流出」「ポイント失効」をうたう連絡のリンクは開かない
楽天を名乗るメール・SMSは、楽天市場や楽天カードのアプリを自分で開いて確かめます。 - 2. 楽天IDのパスワードを使い回していれば変える
今回、楽天会員情報の漏えいは確認されていませんが、他のサービスと同じパスワードなら変えておく価値があります。 - 3. 登録情報とポイント利用履歴を一度見る
メールアドレスや電話番号が書き換わっていないか、覚えのないポイント利用がないかを確認します。
2026年の楽天グループの不正アクセス・漏えい
2026年は、楽天グループの周辺で不正アクセスや漏えいの話題が続いています。公表されたものと、未確認の主張を分けて並べました。
| 時期 | 対象 | 内容 |
|---|---|---|
| 8月21日公表 | 楽天ブックスネットワーク | 楽天ブックスの配送業務に関わるPCに不正アクセス（4月5日に検知）。利用者の配送先情報（氏名・住所・電話番号）3万3,333件などが漏えいした可能性。 |
| 7月30日〜 | 楽天ドライブ（不審な通知） | アプリから偽の通知。ウェブサイトを4日間止め、一部の楽天IDのパスワードを強制リセット。 |
| 10月4日 | 「楽天会員1億100万件」販売投稿 | 犯罪フォーラムでの主張。楽天は漏えいの事実を確認していない。 |
| 10月6日公表 | 楽天ドライブ（不正アクセス） | 保存データ15,382アカウント分などが取得・閲覧。期間は1月29日〜9月17日。 |
楽天以外でも、2026年はKDDI（ISPメール1,223万件）や焼肉きんぐの公式アプリ（1,078万件）など大型の漏えいが相次いでいます。9〜10月に公表された主な事案は最近の不正アクセスまとめ2026で一覧にしています。
原因・補償・アプリ再開はどうなる？今後の見通し
管理用アカウントはなぜ乗っ取られたのか
10月6日の発表では、管理用アカウントの認証情報が「不正に取得」されたとしていますが、どうやって取られたのか、なぜ8か月近く気づけなかったのかは説明されていません。7月30日の不審な通知との関係も含め、続報が待たれます。
委員会への報告と本人への通知
個人情報保護法では、不正アクセスのように不正な目的で行われたおそれがある漏えいは、個人情報保護委員会への報告と本人への通知が原則として義務づけられています。楽天ドライブは関係当局への報告と対象者への個別通知を行うとしています。
アプリのダウンロード再開と補償は未定
アプリのダウンロードと新規アカウント発行の制限をいつ解くか、お詫びや補償をどうするかは、10月7日朝の時点で発表されていません。補償の案内を装った偽メールにも注意してください。
楽天の不正アクセスについてよくある質問
Q. 楽天の不正アクセスで何が漏れましたか？
A. 公表されたのはクラウドストレージ「楽天ドライブ」の不正アクセスです。保存データ（写真・文書など）が15,382アカウント分（2026年1月29日〜9月17日）、アカウント名・ディスプレイネームなどが687件、暗号化されたパスワードを含む情報が313件（いずれも8月27日）取得・閲覧されました。
Q. 楽天市場や楽天カードの会員情報も漏れたのですか？
A. そうした公式発表はありません。楽天は10月4日の「楽天会員1億100万件」販売投稿について、情報漏えいが発生した事実は確認されていないと回答しています（10月7日朝時点）。
Q. 楽天会員1億件の情報漏洩は本当ですか？
A. 犯罪フォーラムへの投稿で、真偽は確認されていません。楽天は該当する漏えいもサンプルのアカウントも確認されていないとしています。1億100万件は国内の楽天会員数（1億以上）とほぼ同じで、本物ならベネッセ（3,504万件）の約2.9倍になります。
Q. 自分が楽天ドライブの対象かどうかはどうすればわかりますか？
A. 対象者には楽天ドライブからメールなどで個別に通知が届きます。不安な場合は、楽天ドライブ臨時サポート窓口（0800-600-6600、年中無休9時〜17時）か、サポートサイトのお問い合わせフォームで確認できます。
Q. 楽天ドライブのパスワードは変えたほうがいいですか？
A. 変えておくのが安全です。313件では暗号化されたパスワードが取得されており、同じパスワードを他のサービスで使っている場合はそちらも変更してください。
Q. 楽天ドライブのアプリは今使えますか？
A. 9月21日からApp StoreとGoogle Playでのダウンロードができない状態で、10月6日の発表でもダウンロードと新規アカウント発行を制限するとしています。再開の時期は発表されていません。
あわせて読みたい
出典・参考資料
- 楽天ドライブ：【重要】「楽天ドライブ」における不正アクセスの発生について（2026年10月6日）
- 楽天ドライブ：（更新）【重要】楽天ドライブからの不審な通知を開かないでください（2026年8月13日）
- 楽天グループ：企業情報（国内の楽天会員数）
- INTERNET Watch：楽天ブックス関係会社のPCに不正アクセス、ユーザー3万3333人分の個人情報などが漏えいの可能性（2026年8月21日）
- 個人情報保護委員会：漏えい等の対応とお役立ち資料
- 警察庁：サイバー事案に関する相談窓口
内容は2026年10月7日朝時点の公式発表にもとづきます。時系列は楽天ドライブのサポートサイトに掲載された5本のお知らせ（7月30日・8月4日・8月13日・9月21日・10月6日）の作成日時と本文から筆者が作成しました。日数・割合・倍率は筆者の計算です。「楽天会員1億100万件」の販売投稿の内容と楽天の回答は、ASCII・Yahoo!ニュースなどの報道によります。アイキャッチ背景：Derrick Coetzee「Technician with laptop working on server rack at NERSC」（Wikimedia Commons、CC0）を左右反転・トリミング・明るさ調整・文字入れ。
コメント