日本脆弱性総合ポータル

楽天証券：外部サービス提供元への不正アクセスで社債購入者の情報が漏えいした可能性

重要度
漏えいのおそれ・延べ362件
公表日
2026.10.31
原因の分類
サプライチェーン、侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 楽天証券で「デジタル特典付き社債」を買った一部の顧客の情報が漏えいした可能性
  2. 不正アクセスを受けたのはNTTデータの委託先のシステムで、侵入経路は調査中
  3. 不審な連絡のURLを開かず、個人情報を入力しないよう呼びかけられている

NTTデータの委託先が提供する「デジタル証券プラットフォーム」に第三者が不正アクセスし、楽天証券が販売したデジタル特典付き社債の購入者の一部の情報が外部に持ち出された可能性がある。楽天証券のシステムが不正アクセスを受けたものではない。ログインに必要なIDやパスワード、取引に必要な情報は、漏えいした可能性がある情報に含まれないと報告されている。

確認された経路・公表元の推定

  1. 2026年10月30日（金）、NTTデータの委託先が提供するシステム「デジタル証券プラットフォーム」に第三者による不正アクセスが発生した
  2. NTTデータが委託先から、プラットフォーム内の情報が外部に持ち出された可能性があるとの報告を受けた
  3. NTTデータから楽天証券に報告があり、楽天証券はお知らせとして公表した

根拠の要点

NTTデータからの報告により、委託先システムへの第三者による不正アクセスと、情報が外部に持ち出された可能性があることを楽天証券が公表している。侵入経路や技術的要因は詳細調査中で、資料では確認されていない。

資料の基準時点：2026年10月31日公表時点

当時、対策できたのか

判定保留

資料は、侵入経路や技術的要因の詳細を調査中と説明している。攻撃時点で既知の脆弱性への未対応や認証設定の例外など、対策の欠落は示されていない。発覚時に未発見だったとの説明もないため、判定を保留する。

公表された対策

  • 楽天証券は、NTTデータおよびNTTデータの委託先を含む関係各所と連携し、原因究明と影響範囲の調査を進めている
  • 楽天証券は、不正アクセスやフィッシング詐欺への耐性が高いパスキー認証によるログインの必須化を進めている
  • 楽天証券は、パスキーが未設定の顧客に設定を呼びかけている
  • 楽天証券や関係会社を装った不審なメール、SMS、電話に注意し、記載されたURLへのアクセスや個人情報の入力をしないよう呼びかけている

この事例を理解するための動画

まだ分からないこと

  • 不正アクセスの侵入経路と技術的要因
  • 外部に持ち出された情報の範囲、および実際に持ち出されたかどうか
  • 延べ362件の内訳（銘柄ごとの件数など）
  • NTTデータの委託先における具体的な対応状況と、再発防止策の内容
  • 影響が確認されたお客様への個別連絡の時期

関連する事例

同じ原因分類の事例

事例の一覧に戻る