- 重要度
- 重要度：5段階中3 漏えいのおそれ・最大907件分
- 公表日
- 2026.11.06
- 原因の分類
- サプライチェーン、侵入口未公表
- 対策可能性
- 判定保留
この記事の3行まとめ
- 委託先が不正アクセスを受け、加盟店の一部の情報が漏えいした可能性
- 原因は委託先のシステム管理の不備とされ、不正アクセス経路は遮断済み
- 当行を装った不審なメールに注意し、リンクや個人情報の入力を避ける
楽天銀行のインバウンド決済サービスの委託先ELESTYLE社で第三者による不正アクセスが発生し、加盟店の個人事業主・法人の最大907件分のユーザー名とメールアドレスが漏えいした可能性がある。決済に関する情報は含まれず、二次被害は確認されていない。
確認された経路・公表元の推定
- 2026年10月25日、委託先ELESTYLE社のシステムに第三者が不正アクセスした
- 2026年10月29日、ELESTYLE社からの報告で楽天銀行が事態を把握した
- ユーザー名とメールアドレスが外部に持ち出された可能性がある
- 委託先が不正アクセス経路を遮断し、関連機能の点検と監視体制の強化を進めている
根拠の要点
楽天銀行の公表文は、委託先ELESTYLE社からの報告を根拠に、委託先のシステム管理における不備を原因として挙げている。侵入経路の詳細や攻撃手法は記載されていない。
資料の基準時点：2026年11月6日付のお知らせ時点
当時、対策できたのか
判定保留
資料は原因を「委託先のシステム管理における不備」とするが、具体的な不備の内容、侵入経路、攻撃時点の防御条件は示されていないため、対策の欠落は判定できない。
公表された対策
- 委託先において不正アクセス経路の遮断を完了
- 委託先の関連機能の点検および監視体制の強化を進めている
- 委託先を含む情報管理体制の見直しを行う
- 当行を装った不審なメール等に注意し、不審なメールのリンクへのアクセスや個人情報の入力を行わない
まだ分からないこと
- 侵入の具体的な経路と手口（資料は「システム管理における不備」とのみ記載）
- 委託先のシステム管理の具体的な不備の内容
- 委託先のシステム管理画面への不正ログインは、現時点では確認されていない
- 漏えいが実際に起きたかどうかは、資料では確定していない
- 不正アクセスを行った第三者の特定や目的は記載されていない