楽天の情報漏洩は本当か、1億100万件の販売主張と楽天グループが「確認されていない」とした中身

何が起きたのか、確認されていることと主張にすぎないこと

最初に、何が「確認されていること」で、何が「投稿者の主張にすぎないこと」なのかを分けます。楽天グループの回答は、楽天の公式サイトではなく報道機関の取材への回答として伝えられています。

10月4日の販売投稿で主張されていること

セキュリティ対策Labの記事（2026年10月6日）によると、10月4日、サイバー犯罪フォーラムに「SELLING Rakuten Japan 101M」と題する投稿があり、楽天の会員情報だとする約1億100万件のデータを700ドルで売ると主張していました。同じ内容は、ITmedia NEWS（10月7日）やASCII（10月6日）も報じています。

報じられた投稿の中身は、次のとおりです。ここに書いた件数や項目は、どれも投稿者の主張で、本当かどうかは確かめられていません。

出典：セキュリティ対策Lab（2026年10月6日）、ITmedia NEWS（2026年10月7日）、ASCII（2026年10月6日）の報道。いずれも投稿の内容を伝えたもので、データが本物であることを確かめたものではありません。

セキュリティ対策Labは、サンプル18件を楽天PointClubの公開されているランクの条件と照らし合わせ、明らかな食い違いは見つからなかったとしています。一方で、公開されている情報からそれらしいデータを作ることもできるため、つじつまが合っていても本物の証明にはならないと書き、「現段階では「楽天から1億100万件が漏洩した」と断定できません」と結んでいます。

楽天グループの回答と、公式サイトの掲載

楽天グループは、報道機関の取材に対し、漏えいの事実は確認されていないと答えています。報じられた回答は次のとおりです。

出典：ASCII（2026年10月6日）、ITmedia NEWS（2026年10月7日）、ITmedia Mobile（2026年10月9日）の報道と、楽天グループ公式サイトのプレスリリース・お知らせの一覧（2026年10月12日に確認）。

ITmedia NEWSによると、楽天グループは販売投稿と楽天ドライブの件との関連を尋ねられ、「『楽天ドライブ』についてはお客様にご案内を行っております」と答え、関連の有無には触れませんでした。

楽天グループが公式サイトやSNSでこの件についての声明を出したかどうかは、当社が確かめた範囲（公式サイトのプレスリリースとお知らせの一覧）では見当たりません。このため、本記事で引用する楽天グループの言葉は、すべて報道機関が取材で得た回答として「報じられています」と書いています。

楽天の情報は本当に漏れたのか、今の時点で言えること

「確認されていない」は「漏れていないと証明された」と同じ意味ではありません。逆に、投稿があったことは「漏れた」ことの証明にもなりません。2026年10月12日時点で言えることと言えないことを整理します。

「確認されていない」をどう読むか

楽天グループの回答は、漏えいが起きた事実を確認していない、サンプルに該当するアカウントも確認していない、というものです（報道）。投稿者の主張を裏づける公的機関の発表や、楽天の公式の発表は、2026年10月12日時点で見当たりません。

1億100万件という数字だけを見ると大きく見えますが、楽天グループの企業情報のページは、楽天会員数を「国内で１億以上」としています（会員登録後に1回以上ログインした会員で、退会者を除く）。会員数の規模は公開されているため、それに近い数字を名乗ること自体は、データを持っていなくてもできます（当社の見方）。

セキュリティ対策Labは、データの出どころとして、楽天以外のサービスから流れたもの、過去に出回ったデータ、加工されたデータの可能性も残るとしています。どれに当たるのか、または本当に楽天から流れたものなのかは、公表されている情報からは判断できません。当社は、漏れたとも漏れていないとも断定せず、楽天や公的機関から新しい発表があるまでは「確認されていない」として扱います。

楽天ドライブの不正アクセスは、別に公表された件

同じ時期の10月6日、クラウドストレージ「楽天ドライブ」は、サポートサイトで「【重要】『楽天ドライブ』における不正アクセスの発生について」を公表しました。一部のシステムの管理用アカウントの認証情報を第三者が不正に取得し、システムにアクセスしたとしています。

出典：楽天ドライブ サポート「【重要】『楽天ドライブ』における不正アクセスの発生について」（2026年10月6日10:10時点の情報、10月8日更新）。3つの件数の重なりは公表されていません。

楽天ドライブのお知らせは、本件による二次被害は確認されていないとし、対象の利用者にはメールなどで個別に知らせるとしています。このお知らせは、1億100万件の販売投稿には触れていません。ASCIIは販売投稿との関連は確認されていないと報じ、ITmedia NEWSは楽天グループの回答に関連の有無への言及はなかったと報じています。

楽天ドライブの件は楽天ドライブ自身が公表した不正アクセスですが、対象は楽天ドライブの利用者で、件数も1億100万件とは桁が違います。2つを同じ件として扱わないのが当社の見方です。

漏れていなくても起きうること、偽メールへの備え

漏えいが確認されていなくても、「楽天の情報が漏れた」という話が広がれば、それに便乗した偽のメールやSMSが送られる可能性があります（当社の見方）。ここでは、楽天と公的機関の案内をもとに、備え方を整理します。

楽天を名乗るメールやSMSの確かめ方

楽天市場のヘルプは、「楽天グループの名をかたり、悪意のある第三者から偽のWebサイトに情報を入力させようとするフィッシング(詐欺)メールがお客様に送付されている場合があります」と注意を呼びかけています。これは今回の件に限らない、ふだんからの案内です。

出典：楽天市場 ヘルプ「パスワードの使い回しにご注意ください」、警察庁「フィッシング対策」（いずれも2026年10月12日に確認）。

「漏えいのお詫び」や「補償のご案内」をうたうメールが楽天を名乗って届いても、楽天の公式サイトに同じ内容のお知らせがなければ、応じないようにします（当社の見方）。たとえば楽天ドライブの件では、サポートサイトにお知らせが載り、対象の利用者にはメールなどで個別に知らせるとしています。メールが届いたら、リンクは開かず、自分で開いた公式アプリやブックマークから確かめます。

もし漏えいが確認されたら、どう知らされるか

個人情報保護委員会は、本人の数が1,000人を超える個人データの漏えい（そのおそれを含む）や、不正の目的で行われたおそれがある漏えいなどを、事業者が委員会に報告しなければならない場合としています。報告の期限は、速報が発覚した日から3〜5日以内、確報が30日以内（不正の目的で行われたおそれがある場合は60日以内）です。

楽天が個人情報保護委員会に報告したかどうかは、今回の販売投稿については公表されていません（2026年10月12日時点）。楽天グループは漏えいの事実は確認されていないと答えているため、報告が必要な状況かどうかも外からは分かりません（当社の見方）。

今後、楽天が漏えいを確認した場合は、公式サイトでのお知らせや対象者への連絡で分かると考えられます（当社の見方）。それまでは、SNSや掲示板の「漏れた」という書き込みだけで判断せず、楽天の公式サイトのお知らせを確かめるようにします。自分の情報が漏れたかどうかを確かめる方法は、別の記事でまとめています。

楽天会員がいまできる3つのこと

漏えいが確認されていない段階でも、ふだんの備えとしてできることです。楽天市場のヘルプ、IPA、警察庁の案内をもとにまとめました。

楽天グループは取材に対し、グループとして「パスキー」または「メールアドレスによる二要素認証」を順次導入していると答えています（報道）。使っている楽天のサービスでこうした設定ができるかどうかは、公式アプリや公式サイトの案内で確かめてください。

よくある質問

楽天の会員情報は本当に漏れたのですか

2026年10月12日時点で、漏れたという事実は確認されていません。約1億100万件という数字は、データを売ろうとする投稿者の主張です。楽天グループは報道機関の取材に「情報漏えいが発生したという事実は確認されておりません」と答えています。

楽天は公式に発表していますか

楽天グループの回答は、報道機関の取材への回答として伝えられています。当社が2026年10月12日に楽天グループの公式サイトのプレスリリースとお知らせの一覧を確かめた範囲では、販売投稿についての掲載は見当たりません。

楽天のパスワードは変えたほうがいいですか

今回の販売投稿について、楽天がパスワードの変更を求めたとは報じられていません（2026年10月12日時点）。ただ、楽天市場のヘルプは、楽天IDのパスワードが他のサービスと同じなら変えるよう勧めています。使い回している場合は、公式アプリや公式サイトから別のパスワードに変えておくと安心です。

楽天ドライブの不正アクセスと同じ件ですか

別の件です。楽天ドライブは2026年10月6日に不正アクセスを公表し、保存データの件では対象アカウント数を15,382件としています。販売投稿について楽天ドライブのお知らせは触れておらず、報道でも関連は確認されていません。

楽天から「情報漏えいのお詫び」のメールが届いたら本物ですか

今回の販売投稿について、楽天の公式サイトにお知らせは見当たりません（2026年10月12日時点）。そうしたメールが届いても、リンクは開かず、公式アプリやブックマークから楽天のサイトを開いて、同じお知らせがあるかを確かめます。

投稿に付いていたサンプルは本物だったのですか

楽天グループは、サンプルについて「該当するアカウント等は確認されておりません」と答えています（報道）。セキュリティ対策Labも、公開情報から作ることもできるため、本物の証明にはならないとしています。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社は物流資材を扱う会社ですが、2026年10月から、身近なサービスで起きた情報漏えいについて、公表資料で確かめられることを整理する記事を公開しています。楽天の件では、確認されていることと主張にすぎないことを分けてまとめました。