不正アクセス不正アクセスクラウドストレージ認証情報管理アカウント情報漏えい

楽天ドライブに不正アクセス｜1万5,382アカウントの保存データが取得・閲覧

2026年10月7日

楽天モバイル株式会社

影響規模：15,382アカウントの保存データ（ほか2事象あり）

楽天ドライブへの不正アクセスの概要

2026年10月6日、楽天モバイル株式会社が提供するクラウドストレージサービス「楽天ドライブ」は、一部システムへの不正アクセスにより、アカウント情報や保存データが取得・閲覧されたことを公表しました。

公式発表によると、第三者が一部システムの管理用アカウントの認証情報を不正に取得し、その認証情報を使ってシステムへアクセスしたことが確認されています。

認証情報がどのような方法で取得されたのかは公表されていません。フィッシング、マルウェア、設定不備など、特定の手口を原因と断定することはできません。

公表された3つの事象は、対象情報、対象アカウント数、発生時期が異なります。

事象	対象情報	対象アカウント数	時期
事象1	アカウント名、表示名、プロフィール画像URL	687件	2026年8月27日
事象2	アカウント名、表示名、復元を困難にする処理が施されたパスワード、パスワードの暗号化に加えた文字列、プロフィール画像URL	313件	2026年8月27日
事象3	楽天ドライブ上に保存された写真、文書などのデータ	15,382件	2026年1月29日〜9月17日

公式発表では、3つの事象の対象アカウントが重複しているかどうかは示されていません。そのため、687件、313件、15,382件を合計して被害件数や実人数を算出することはできません。

また、15,382件は保存されたファイルの数ではなく、保存データが取得・閲覧された対象アカウント数です。

暗号化されたパスワードについて

事象2の313件には、楽天ドライブが「特殊な文字列に変換し復元を困難にした暗号化されたパスワード」と説明する情報と、パスワードの暗号化に際して復元を困難にするために加えた文字列が含まれます。

これは、入力したパスワードがそのまま読める状態で取得されたという発表ではありません。一方で、楽天ドライブは対象となる利用者へ個別にメールなどで通知し、必要な対応を案内するとしています。対象となる方は、届いた案内を確認してください。

2026年10月6日の公式発表では、すべての楽天ドライブ利用者に一律のパスワード変更を求める記載はありません。

保存データへの影響

事象3では、15,382アカウントについて、楽天ドライブ上に保存されていた写真や文書などのデータが取得・閲覧されました。

公式発表は保存データの種類として写真・文書などを挙げていますが、個々のファイルの内容や、情報の公開範囲までは明らかにしていません。保存データのすべてに個人情報が含まれていた、あるいはすべてがインターネット上へ公開されたと断定することはできません。

2026年10月6日の発表時点では、本件に起因する二次被害は確認されていません。

楽天ドライブ利用者が確認すべきこと

楽天ドライブは、対象となる利用者へ個別にメールなどで通知するとしています。通知を受け取った方は、記載された内容を確認し、案内に沿って対応してください。

また、次のような異常に注意するよう呼びかけています。

身に覚えのないログイン
アカウントの異常
心当たりのない請求
脅迫的な連絡
なりすましと思われる接触

不審な連絡が届いた場合は、リンクや添付ファイルを開いたり、そのまま返信したりせず、楽天ドライブの公式発表から問い合わせ窓口を確認してください。

楽天ドライブは、本件専用の臨時サポート窓口として、電話番号0800-600-6600（年中無休、9時〜17時、日本語対応のみ）を案内しています。不審なログインや端末がある場合は、デバイスの確認と管理に関する公式案内も確認できます。

楽天ドライブが公表した対応

楽天ドライブは、不正アクセスを検知した後、次の対応を実施したと発表しています。

不正アクセス経路の遮断
監視体制の強化
アプリケーションのダウンロード制限
新規アカウント発行の制限
公式サイトへのお知らせ掲載
対象者へのメールなどによる通知
関係当局への報告

アプリケーションのダウンロードや新規アカウントの発行がいつ再開されるかについては、10月6日の発表には記載されていません。

クラウドサービスを運営する企業が確認したい5つの項目

ここからは、クラウド上で顧客データやファイルを扱う企業向けの内容です。以下は公表された侵入原因を補足するものではなく、管理用アカウントの認証情報が不正取得された事実を踏まえた一般的な確認項目です。

1. 管理用アカウントに多要素認証を設定しているか

パスワードだけで管理機能へアクセスできる状態を避け、多要素認証を設定します。特に広い範囲のデータを閲覧・操作できるアカウントでは、認証方式と例外運用を定期的に確認する必要があります。

2. 管理権限を必要最小限に分けているか

一つの管理用アカウントで、すべてのデータや機能へアクセスできる状態は影響範囲を広げます。業務や担当者ごとに権限を分け、必要な期間だけ権限を付与する仕組みを整えます。

3. 認証情報を安全に保管し、定期的に更新しているか

管理用のIDやパスワード、システム間で利用する認証情報を、ソースコード、共有ファイル、チャットなどへ直接記録していないか確認します。漏えいが疑われる場合に、関連する認証情報を速やかに無効化・更新できる手順も必要です。

4. 通常と異なるアクセスやデータ取得を検知できるか

管理用アカウントが普段と異なる場所や時間帯から利用された場合や、短時間に大量のデータが閲覧・取得された場合に、担当者へ通知できる仕組みを確認します。調査に必要なログの保存期間も見直します。

5. 管理アカウントが侵害された場合の影響を検証しているか

認証情報が一つ取得された場合に、どのシステムやデータまで到達できるのかを事前に確認します。権限の分離やネットワークの制限が実際に機能するかを検証することで、優先して対策すべき箇所を判断しやすくなります。

クラウド環境と管理アカウントの安全性を確認したい企業へ

楽天ドライブの公式発表では、管理用アカウントの認証情報がどのような手段で取得されたかまでは明らかになっていません。そのため、「特定の診断を実施していれば防げた」と断定することはできません。

一方、クラウドサービスを運営する企業では、公開システムの脆弱性だけでなく、管理アカウントの権限、認証情報の管理、不正利用時の到達範囲まで確認することが重要です。

クラウドセキュリティ診断 — クラウド環境の権限設定、公開範囲、構成上のリスクを確認
外部ネットワーク診断 — インターネットから到達できるシステムの弱点を確認
ペネトレーションテスト — 認証情報が侵害された場合の影響や重要データへの到達可能性を検証

対象範囲が決まっていない場合でも、システム構成や保管しているデータを伺い、必要な診断範囲を整理できます。

クラウド環境・管理アカウントの診断範囲を無料で相談する

まとめ

楽天ドライブでは、一部システムの管理用アカウントの認証情報が第三者に不正取得され、アカウント情報や保存データが取得・閲覧されました。公表された最大の対象は、楽天ドライブ上の写真・文書などの保存データに関する15,382アカウントです。

3つの事象の対象が重複しているかは公表されていないため、件数を合計して被害規模や実人数を判断することはできません。対象者は楽天ドライブから届く個別案内を確認し、不審なログイン、請求、連絡などがあれば公式窓口へ相談してください。

参考情報

御社のセキュリティは大丈夫ですか？

このインシデントと同様の攻撃に、御社のシステムは耐えられるでしょうか。
ペネトレーションテストで事前にリスクを把握することが最善の防御策です。

まずは無料で相談する資料をダウンロード

▼ セキュリティ対策の基礎知識

ペネトレーションテスト会社の選び方おすすめのセキュリティ診断ツール