クラウドストレージサービス「楽天ドライブ」は2026年10月6日、サービスで使っている一部システムの管理用アカウントの認証情報を第三者に不正に取得され、システムにアクセスされたと発表した。2026年1月29日から9月17日にかけて、1万5382アカウントで、楽天ドライブ上に保存された写真や文書などのデータが取得・閲覧されたことを確認したという。このほか8月27日には、687アカウントのアカウント名やディスプレイネーム（ファイル共有時に相手に表示されるニックネーム）、プロフィール用画像URLが取得・閲覧された。また、313アカウントでは、これらに加えて暗号化されたパスワードも取得・閲覧された。現時点で二次被害は確認されていないとしている。
何が、いつ取得されたのか
公表された内容は3つの事象に分かれる。
- 事象1：2026年8月27日、687アカウントのアカウント名、ディスプレイネーム、プロフィール用画像URL
- 事象2：2026年8月27日、313アカウントの上記の情報に加え、復元を困難にする処理を施して暗号化したパスワードと、その暗号化の際に加えた文字列
- 事象3：2026年1月29日から9月17日にかけて、1万5382アカウントの保存データ（写真・文書等を含む）
最も影響が大きいのは事象3である。利用者がクラウドに預けた写真や文書そのものが、約8か月にわたって第三者に取得・閲覧されていたことになる。どのような内容のファイルが含まれていたかは利用者ごとに異なり、公表資料では明らかにされていない。
同社は不正アクセス経路の遮断と監視体制の強化を行い、アプリのダウンロードと新規アカウントの発行を制限している。関係当局に報告し、対象の利用者にはメールなどで個別に通知するとしている。不正アクセスを検知した時期や、管理用アカウントの認証情報がどのように取得されたのかは公表されていない。
「管理者の鍵」が奪われると、利用者側の対策では防げない
今回の事案で注目すべきは、侵入の起点が利用者のアカウントではなく、システムを運用する側の管理用アカウントだった点である。利用者がどれだけ強いパスワードを設定していても、管理用の権限を持つ認証情報が奪われれば、保存データには運営側の経路から手が届いてしまう。
クラウドストレージは、業務の文書や個人の写真など、外に出ると困るデータが集まりやすい。企業が自社でクラウドサービスを運用する場合も、管理用アカウントには多要素認証（パスワードに加えて別の手段で本人確認する仕組み）を必ず設定し、利用する端末や接続元を絞り、普段と違う操作やデータの大量取得を検知できるようにしておく必要がある。今回は保存データの取得が1月から9月まで続いており、不審な操作を早い段階で見つける仕組みの重要性を示している。
利用者の側では、通知が届いた場合に内容を確認するとともに、楽天ドライブと同じパスワードをほかのサービスで使い回していないかを見直しておく必要がある。同社は、身に覚えのないログインや請求、脅迫的な連絡、なりすましと思われる接触には応じず、窓口または警察に相談するよう呼びかけている。
同じ手口に、自社は備えられていますか？