クラウドストレージ「楽天ドライブ」は10月6日、使用する一部システムが第三者から不正なアクセスを受け、利用者が保存していた写真や文書などのデータが1万5382アカウント分で取得・閲覧されたと発表した。閲覧されていた時期は2026年1月29日から9月17日までで、間は231日ある。これとは別に8月27日、687アカウントのアカウント情報が抜き取られ、うち313アカウントでは暗号化されたパスワードも対象になった。

破られたのは利用者のIDではなく、システムの管理用アカウント

発表によると、第三者が楽天ドライブで使う一部システムの「管理用アカウントの認証情報」を不正に取得し、そのシステムにアクセスしたことで情報が取得・閲覧された。利用者一人ひとりのIDとパスワードを順に試して入られたのではなく、システムを管理する側の鍵ごと奪われた形である。

確認された事象は3つに分かれる。1つめは8月27日で、687アカウントのアカウント名、ファイル共有の相手に表示されるディスプレイネーム、プロフィール用画像URL。2つめも同じ8月27日で、313アカウントについて、1つめの情報に加えて「特殊な文字列に変換し復元を困難にした暗号化されたパスワード」と、その暗号化に際して復元を困難にするため加えた文字列。3つめが1月29日から9月17日までで、1万5382アカウントについて、楽天ドライブ上に保存されたデータ（写真・文書等を含む）である。

2つめでパスワードは暗号化されていたと説明されているが、復元を困難にするために加えた文字列そのものも一緒に取得されている。楽天ドライブは「現時点では、本件に起因する二次被害は確認されておりません」とした上で、対象の利用者には個別にメールなどで通知するとしている。

7月末の告知は「保存されたデータへの不正アクセスは現在確認されておりません」

このサービスでは7月末にも騒ぎが起きていた。楽天ドライブは7月30日、アプリから送られたように見える不審なプッシュ通知について「担当チームが本事象について緊急調査を行っております」と告知した。楽天モバイルの7月31日のお知らせは、7月30日午後0時55分頃から「YOUR RAKUTEN DRIVE HACKED」「Your payment was declined」といった英語の件名の通知が表示された事象を挙げ、偽のGoogleログインページへ誘導したりビットコインを請求する画面が出る可能性があると注意を呼びかけている。

そのお知らせは同時に、「なお、楽天ドライブに保存されたデータへの第三者による不正アクセスは現在確認されておりません」と書いていた。今回の発表は、その時点ですでに1月29日から保存データが取得・閲覧されていたことを示している。

楽天ドライブは7月31日正午にウェブサイトを一時停止し、8月4日午後3時に「安全性を確認したうえで」再開したと説明していた。影響を受ける可能性がある一部の楽天IDは、パスワードを強制的にリセットしたという。8月13日午前10時にはこの対応状況をお知らせに追記している。687アカウントと313アカウントの情報が抜かれた8月27日は、いずれもその後である。

1000人を超える漏えいは国への報告が義務

個人情報保護委員会は、不正の目的をもって行われたおそれがある行為による個人データの漏えい、または本人の数が1000人を超える漏えいは、報告が義務付けられていると説明している。「不正アクセスにより個人データが漏えいした場合」は前者の例として挙がっており、1万5382件は後者にも当たる。報告の期限は「発覚したら、まずは速やかに」で、不正な目的で行われたおそれがある場合は発覚日から60日以内とされる。楽天ドライブは本件への対応として「関係当局への報告」を挙げているが、いつ不正アクセスを検知したのかは公表していない。

気づいてから遮断するまでの時間は、同種の事案でも開示の幅が大きい。9月にはチケットのイープラス、払戻し情報1463件が漏えい　うち751件は振込先の銀行口座　侵入から遮断まで4日があり、検知から遮断までが4日と明示された。行政側ではデジタル庁の政府共通システムに不正アクセス　職員ら24万6000件の個人情報が漏えいの可能性　VPNの欠陥突かれるのように、通信機器の欠陥が入り口になった例もある。今回は保存データが閲覧された時期が7か月半にわたっている。なお個人情報の漏えい報告は3年で4万8315件、勧告は6件・命令は1件　国が社名を公表したのはトヨタ・ドコモ・LINEヤフー・損保4社など　「報告が著しく遅滞」の記述は3年連続のとおり、年1万件を超える漏えい等報告のうち、委員会が社名を含めて公表する事案は年に数件にとどまる。

窓口は0800-600-6600　アプリの配布と新規登録は制限中

楽天ドライブは本件への対応として、不正アクセス経路の遮断と監視体制の強化、アプリケーションのダウンロードと新規アカウント発行の制限、サイトでのお知らせ掲載と対象者への通知、関係当局への報告の4点を挙げた。

利用者に向けては、身に覚えのないログインやアカウントの異常、心当たりのない請求・脅迫的な連絡・なりすましと思われる接触に気づいた場合は、開封・対応せず、問い合わせ窓口か警察に相談するよう呼びかけている。臨時サポート窓口の電話は0800-600-6600で、年中無休の午前9時から午後5時、日本語のみの対応である。パスワードについては、楽天モバイルが7月の告知で「同じパスワードを他のWebサイトやアプリでもご使用の場合は、それらのサービスでもパスワードを変更してください」と求めていた。