楽天会員1億件の「販売」投稿 楽天は「漏えいの事実は確認されていない」

楽天の会員情報が売られている、という話がSNSで広がっている。ITmediaとASCII.jpによると、盗んだデータなどが売り買いされるサイバー犯罪の掲示板に、楽天の会員情報だとする約1億100万件のデータを売るという投稿が出た。これに対し楽天グループは、両社の取材に「情報漏えいが発生したという事実は確認されておりません」と答えている。

何が報じられたのか

ITmediaによると、投稿は10月4日に確認されたとされ、売り手は「楽天のデータベース」だと説明して、約1億100万件を700ドルで売ると書いていたという。見本として、氏名や住所、生年月日、会員ランク、ポイント残高など、楽天の会員情報を思わせるデータも載っていたとされる。この投稿を報じたセキュリティ関連のサイトの記事が、SNSで広まった。

楽天グループは、漏えいを否定したうえで、見本のデータについても「該当するアカウント等は確認されておりません」と答えた。つまり、見本が実在する会員と一致することも否定している。

なお、楽天ドライブでは10月6日、別の不正アクセスで保存データなどが取得・閲覧されたと発表されている。ITmediaは今回の投稿との関係も尋ねたが、楽天グループの回答に、関係の有無への言及はなかったという。

かんたんに言うと

今の時点で分かっているのは「犯罪者が売ると言っている」ことと「楽天は漏えいを確認していない」ことだけだ。こうした投稿には、本物ではないデータや、昔の別の漏えいのデータを使い回したものが混ざることもある。投稿だけを根拠に「楽天から1億件が漏れた」と受け取らないほうがよい。

利用者がやること

心配なのは、騒ぎに便乗した詐欺だ。「あなたの情報が漏れました」「確認のためにログインしてください」といったメールやSMSで、偽のサイトに誘うやり方が考えられる。

デジタル庁の古川大臣は10月6日の会見で、パスワードの使い回しをやめる、多要素認証(パスワードに加えてスマホなどで本人確認する仕組み)を設定する、メールなどのリンクを安易に開かず公式のサイトやアプリから入る、の3つを国民に呼びかけている。楽天を名乗る連絡が来ても、リンクからではなく、いつも使っている公式アプリから確かめたい。

まとめ

正式な発表ではなく、報道と取材への回答をもとにした話題だ。楽天が新たな事実を公表するかどうかを見守りつつ、便乗した詐欺には気をつけたい。