楽天モバイルで情報漏洩の恐れ、何が見えた？改修から公表まで115日

楽天モバイルの支払い証明書、何が見えた可能性がある？

まず、楽天モバイルの公式発表と、追加取材をしたITmedia NEWS（10月14日）、ASCII.jp（10月13日）の記事から、分かっていることを一覧にします。

「見えた可能性」と「見られた」は違う

今回の発表は、外部からの攻撃で情報が盗まれたというものではありません。楽天モバイル自身が行った脆弱性診断（わざと攻撃者の立場でシステムを調べるテスト）で、見ようと思えば他人の証明書が見られる穴が見つかった、という内容です。楽天モバイルは記録を調べたうえで、実際に第三者が見た形跡は「現時点で確認されていない」と説明しています。

ただし、楽天モバイルは「確認できる範囲の記録」という言い方をしており、どれだけの期間の記録を調べたのかは明らかにしていません。ITmedia NEWSの取材に対しても、問題があったシステムや閲覧の経路、脆弱性の詳しい内容は「セキュリティ対策の観点から」として答えていません。「閲覧はなかった」と断定されたわけではない点は押さえておく必要があります。

発覚から公表まで何日？一次資料の日付で数える

楽天モバイルのお知らせに書かれている日付は、改修を終えた「2026年6月20日（土）」と、お知らせを出した「2026年10月13日」の2つだけです。脆弱性がいつ見つかったのかは、日本経済新聞の取材にも明らかにしていません。

• 日付は非公表社内の脆弱性診断で発覚楽天モバイル自身のテストで、支払い証明書が第三者に見られる可能性に気づく。
• 6月20日（土）システム改修などの対応を完了この時点で穴はふさがれた。対象は「この日までに契約した人」。
• 8月19日（参考）6月20日を起点にした60日後仮に改修の日に問題を知り、法令上の報告期限が最も長い60日だったとしても、委員会などへの最終報告はこの日までに必要な計算になる。実際の報告日は公表されていない。
• 10月13日（火）公式サイトで公表・対象者にメール改修から115日後。「関係当局にはすでに報告」と説明。
• 10月14日公表が遅れた理由は「回答を控える」すまほん!!の取材に、楽天モバイル広報は「関係当局との相談・報告後、法令に則りお客様に本件についてお知らせしている」と答えた。

法律は「速やかに」本人へ知らせるよう求めている

個人情報保護法第26条は、一定の重大な漏えい（そのおそれを含む）が起きたとき、会社に個人情報保護委員会への報告と本人への通知を義務づけています。報告の対象になるのは、①要配慮個人情報、②財産的被害のおそれ、③不正の目的をもって行われたおそれ、④1,000人を超える漏えい等、のいずれかです（同法施行規則第7条）。

期限は次のとおり決まっています。

• 委員会への速報：事態を知った後「速やかに」（第8条第1項）
• 委員会への確報：知った日から30日以内、③の不正目的のおそれの場合は60日以内（第8条第2項）
• 本人への通知：事態を知った後「当該事態の状況に応じて速やかに」（第10条）

今回、楽天モバイルは「関係当局に報告した」とだけ説明しており、どの類型に当たると判断したのか、いつ報告したのかは分かりません。仮に6月20日に問題を知ったとすると、確報の期限は最も長い場合でも8月19日です。お知らせはそこからさらに55日後でした。本人への通知に日数の上限はありませんが、「関係当局との相談」にどれだけ時間がかかったのかは、楽天モバイルが説明していない部分です。

楽天モバイルの過去の漏えい事案と比べると？

楽天モバイルが個人情報や通信の秘密の漏えいで総務省の行政指導を受けたことは、公表資料で確認できた限り2回あります。会社が問題を知った日と、当局への報告や公表の日を一次資料で並べました（対象者への個別連絡の日は公表されていません）。

出典：楽天モバイル「当社に対する総務省からの行政指導について」（2021年3月10日）、総務省報道資料（2025年8月19日）・指導文書（PDF）、楽天モバイル（2026年10月13日）。日数は当サイトが計算。

2025年は「漏えいと気づかず」3か月以上報告が遅れた

2025年の事案は、少年らのグループが楽天モバイルの利用者のIDとパスワードを不正に手に入れ、本人になりすましてeSIM回線を契約していたものです。総務省の指導文書によると、犯行は2023年11月から2025年2月にかけて行われ、楽天モバイルが把握する限り少なくとも7,002回線（4,609人）分のIDが不正に入手されていました。

これらのIDとパスワードでは「my 楽天モバイル」にもログインでき、通話先の電話番号やSMSの送受信先、通信時間を見ることができました。総務省はこれを電気通信事業法の「通信の秘密の漏えい」と認め、楽天モバイルが遅くとも2025年2月27日に知っていたのに、第一報は6月17日だったことを「遅滞なく」報告する義務への違反としています。原因の一つとして、この不正契約が社内規程上の「インシデント」に分類されず、情報漏えいとして検討されなかったことが挙げられました。

楽天モバイルは2025年2月27日、公式サイトに「身に覚えのない回線契約にご注意ください」を出していますが、その中では「当社からIDやパスワードが流出したという事実は確認されておりません」と説明していました。

楽天モバイルの公式お知らせ620本で数えると

楽天モバイルの公式サイト「新着情報」には、2018年5月から今回の10月13日まで620本のお知らせが並んでいます。全62ページのタイトルを読み、セキュリティに関するものを分類しました。

• 詐欺・なりすまし・不正利用への注意喚起（フィッシングSMS、不審な電話、身に覚えのない契約など）：15本
• 自社のシステムの不備で、利用者の個人情報が他人に見えた（可能性がある）と知らせたもの：今回の1本だけ

注意喚起の本数（年別）

楽天モバイル「新着情報」一覧（2026年10月14日取得）のタイトルから当サイトが分類。2026年は10月13日まで。システム障害の復旧報告や料金・製品の案内は含めていません。

2020〜2021年は詐欺メールやSMS、迷惑電話への一般的な注意喚起が中心でしたが、2024年以降はeSIMの不正な再発行、身に覚えのない回線契約、ワンタイムパスワードを聞き出す電話など、楽天IDや回線そのものを狙う手口が目立ちます。楽天モバイルは2026年4月に「my 楽天モバイル」などのログインへのパスキー導入を発表し、6月16日からは、パスキーを設定した人はパスキーでのログインが必須になりました。

一方、2021年のRakuten Linkの漏えいは、この一覧ではなくコーポレートサイトのプレスリリースで公表されています。利用者向けの「新着情報」で、自社システムが原因の個人情報の閲覧可能性を知らせたのは、タイトルで見る限り今回が初めてです。

情報漏えいの報告は3年で2.2倍　個人情報保護委員会の統計

会社から国への漏えい報告はどれくらいあるのでしょうか。個人情報保護委員会の年次報告から、報告が義務になった2022年度以降の民間事業者の件数を集計しました。

個人情報保護委員会「年次報告」令和4〜7年度（令和7年度版PDFほか）の付表から当サイトが集計。「省庁経由」は電気通信業など、委員会の権限を委任された省庁が受け付けた分。不正アクセスの件数は、原因の内訳が公表されている委員会直接受付分について、漏えい元が「報告者」「委託先」「不明」の不正アクセスを合計したもの。

2022年度の7,685件から、2025年度は17,139件へ、約2.2倍に増えました。2024年度に不正アクセスが3,878件と跳ね上がっているのは、社会保険・人事労務の業務支援システムを運営するエムケイシステムがランサムウェア被害に遭い、多数の委託元が1件ずつ報告した2,745件が含まれているためです（年次報告の本文）。

2025年度の委員会直接受付分13,345件を原因別に見ると、病院や薬局での書類の誤交付、クレジットカードなどの誤送付といった人のミス（誤交付・誤送付）が約74%を占め、不正アクセスは9.4%でした。漏えいの多くは紙の書類の取り違えで、今回のような「システムの穴」が見つかって報告されるケースは、統計の上ではまだ少数派です。年次報告の原因の区分（誤交付・誤送付・誤廃棄・紛失・盗難・内部不正・不正アクセス・その他）には「脆弱性の発見」という分類がなく、今回のような事案がどこに数えられるのかも公表資料からは分かりません。

楽天モバイルの利用者がすべきこと

楽天モバイルが利用者に求めているのは、楽天モバイルを装った不審な連絡に注意することです。見えた可能性がある情報にクレジットカードなどの金融情報は含まれていないため、カードの停止などは求められていません。そのうえで、住所・電話番号・料金の明細が悪用された場合を想定すると、次の点に気をつけると安心です。

不審な連絡に応じない

• 「支払い証明書の件で確認」「補償の手続き」などの電話・SMS・メールが来ても、リンクを開いたり、ワンタイムパスワードや暗証番号を伝えたりしない。楽天モバイルは2026年2月と6月にも、ワンタイムパスワードを聞き出す不審な電話への注意を呼びかけています。
• 料金の明細が見られていた場合、実際の利用料金や契約内容を言い当てて信用させる手口が考えられます。内容が正しくても、相手が楽天モバイルとは限りません。
• 確認したいときは、届いた連絡に返信せず、専用窓口0800-600-6660（年中無休・9〜17時）か、自分で開いた「my 楽天モバイル」から問い合わせる。

この機会に見直したい設定

• パスキーの設定：今回の脆弱性はログインとは別の問題ですが、楽天IDの乗っ取りによる不正契約は2025年に実際に起きています。パスキーを設定しておくと、パスワードを盗まれてもログインされにくくなります。スマホを紛失したときの扱いはパスキーのスマホを紛失したらどうなる？で解説しています。
• ログイン通知とログイン履歴：楽天モバイルは不正契約の注意喚起で、ログイン通知の利用と履歴の定期的な確認を勧めています。
• 身に覚えのない回線がないか：「my 楽天モバイル」で契約中の回線を確認します。

「楽天モバイルのスマホに脆弱性」は別の話

10月14日には、「楽天モバイルのスマホに脆弱性　サポート終了で買い替えを推奨」（ASCII.jp）というニュースも出ています。名前が似ていますが、今回の支払い証明書の件とは関係のない別の問題です。

こちらは端末（スマホ本体）の問題で、楽天モバイルの回線やサーバーから情報が漏れたものではありません。対象の4機種を使い続けている人は、紛失や盗難に備える意味でも買い替えを検討するとよいでしょう。

楽天モバイルの発表の報道（X）

楽天モバイルの発表は、10月13日からIT系メディアが伝えています。

楽天モバイルの「支払い証明書」が第三者から閲覧できる状態だったことが判明　金融情報や通話履歴は含まれずhttps://t.co/hOt4MW5lrL

— ITmedia Mobile (@itm_mobile) October 13, 2026

公表まで約4カ月の理由は？楽天モバイルの支払い証明書、第三者閲覧の可能性。 https://t.co/xW2i05f8do

— すまほん!! (@sm_hn) October 14, 2026

楽天モバイルの支払い証明書の件　よくある質問

あわせて読みたい

出典・参考資料

• 楽天モバイル：【重要】支払い証明書の第三者閲覧の可能性について（2026年10月13日）、新着情報、利用明細と各種明細の確認方法、身に覚えのない回線契約にご注意ください（2025年2月27日）、当社に対する総務省からの行政指導について（2021年3月10日）
• 総務省：楽天モバイル株式会社に対する通信の秘密の保護、漏えい報告書の提出及びコンプライアンス・リスク管理体制構築の徹底に係る措置（指導）（2025年8月19日）、別紙（指導文書PDF）
• 個人情報保護委員会：年次報告（令和4〜7年度）、漏えい等の対応／個人情報の保護に関する法律施行規則（e-Gov法令検索）
• JVN#47427200 楽天モバイルの複数のスマートフォンのAndroid Verified Boot機能において既知のテスト用鍵がそのまま使用されている問題（2026年10月14日）
• ITmedia NEWS「楽天モバイル、利用者の『支払い証明書』に第三者閲覧の恐れ　社内の脆弱性診断で発覚」（10月14日）、すまほん!!「公表まで約4カ月の理由は？」（10月14日）、ASCII.jp（10月13日）、ASCII.jp（10月14日）、日本経済新聞（10月13日）

日数の計算、楽天モバイルのお知らせの分類、個人情報保護委員会の統計の集計は当サイトによるものです。アイキャッチ写真：Kamo31／Wikimedia Commons（CC BY-SA 4.0）、トリミング・明るさ調整・文字入れあり。