楽天ドライブで不正アクセス、1万5382アカウントの保存データを取得・閲覧

まず初めに

クラウドに写真や文書を預けると、保存先は見えなくなる。それでも「何が、いつ、どのアカウントで見られたか」の説明まで雲の中では困る。今回の発表には3つの事象と対象数がある。ここで数字を足し算したり、日付の幅をそのまま「ずっと見放題」に変えたりすると、記事の方が勝手に被害を増やしてしまう。まずは発表の単位をそろえたい。※個人の感想です

何が起きているのか

10月6日の公式告知によると、第三者が楽天ドライブで使用する一部システムの管理用アカウントの認証情報にんしょうじょうほうを不正取得し、システムへアクセスしました。同サービスは、以下の情報が取得・閲覧されたことを確認したと説明しています。取得・閲覧そのものを未確認の「可能性」に弱める発表ではありません。

公式告知の事象	時期	対象アカウント数	取得・閲覧された情報
事象①	2026年8月27日	687	アカウント名、ディスプレイネーム、プロフィール用画像URL
事象②	2026年8月27日	313	事象①と同じ種類の情報に加え、暗号化されたパスワード、暗号化時に復元を困難にするため加えた文字列
事象③	2026年1月29日〜9月17日	15,382	楽天ドライブ上に保存されたデータ。写真・文書等を含む

事象②の情報項目が事象①と共通していても、対象アカウントが同じ集合という意味ではありません。告知は、687・313・15,382の重複や包含関係を説明していません。総数を足したり、313を15,382の内数と決めたりすることはできません。

1月29日から9月17日までの日付の間隔は7カ月19日です。告知はこの範囲を事象③の「時期」として示しており、閲覧の頻度・連続性、検知日、発覚までの所要期間を示していません。「8カ月超」や「誰も気づかなかった」という説明は、この資料から確認できません。

なぜ重要なのか

対象にはアカウントの登録情報だけでなく、利用者が保存したデータも含まれます。ただし、各対象アカウントでどのファイルが取得・閲覧されたかという詳細は、この一般向け告知だけでは分かりません。期間中に利用した全員が対象だったとも説明されていません。

「一部システムの管理用アカウント」は、すべてのシステムを操作できる権限と同じ意味ではありません。権限の具体的な範囲や認証情報を取得した方法は、この告知では説明されていません。監視や管理の不備が証明されたと断定することもできません。

楽天ドライブでは7月にも別の不正アクセス事案が報じられていますが、今回確認した10月6日告知は、その事案との原因の共通性や独立性を説明していません。過去の記事を根拠に、今回の原因まで決めることは避けます。

私たちへの影響

公式告知は、対象者へメールなどで個別に通知し、対応のお願いを送るとしています。自分がどの事象の対象か、どの対応が必要かは、その通知と公式窓口で確認してください。この記事は通知の到着や対象者ごとのファイルを独自に確認したものではありません。

公表した対応は、不正アクセス経路の遮断と監視体制の強化、アプリケーションのダウンロードと新規アカウント発行の制限、サイト掲載・個別通知、関係当局への報告です。制限の解除日や全対応の完了日は、今回の告知には示されていません。

10月6日の告知時点で、本件に起因する二次被害は未確認としています。身に覚えのないログイン、アカウントの異常、心当たりのない請求・脅迫的な連絡・なりすましと思われる接触に気づいた場合は、開封・対応せず、公式窓口または警察へ相談するよう案内しています。

公式の問い合わせ先	案内
楽天ドライブのお問い合わせフォーム	公式サポートのフォーム
臨時サポート窓口	0800-600-6600、年中無休9時〜17時、日本語のみ

初心者が知っておくべきこと

アカウントあかうんとはサービスを利用する単位であり、対象アカウント数と人数は同じとは限りません。暗号化されたパスワードや追加の文字列についても、公式が説明した保護方法と、その保護が今回どの程度機能したかの検証は別です。「暗号化」と書かれているだけで悪用されないと保証することはできません。

Q. 自分のパスワードも対象ですか？ A. 告知は313アカウントについて暗号化されたパスワード等の取得・閲覧を確認しています。自分が該当するかと必要な対応は、個別通知または公式窓口で確認してください。

IT Postの見方――長い期間ほど、短い断定では片づかない

IT Postでは、保存データの取得・閲覧を確認したことと、各事象の対象を公表したことを重く見る。次に知りたいのは、検知の経緯と対象者ごとの説明だ。

ただ、日付を二つ並べただけで「その間ずっと見放題」「監視が機能していなかった」と書くのは、調査報告の空欄を記事が勝手に埋めることになる。電卓で分かるのは日付の間隔まで。侵入の経緯まで計算してくれる機能は付いていない。IT Postでは、追加の説明を確かめたい。

今後どうなりそうか

楽天ドライブはセキュリティ対策の強化など再発防止に取り組むとしています。個別通知、制限、調査結果の新しい案内は公式サポートで確認してください。この記事の一般向け情報だけで、全利用者への一律の対応を決めるものではありません。