楽天ドライブの情報漏洩｜保存データ1万5,382アカウントとパスワードの変え方 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓クラウドストレージ楽天ドライブの不正アクセスについて
✓2026年10月6日の告知をもとに
✓3つの事象ごとの対象と件数

クラウドストレージ「楽天ドライブ」は2026年10月6日、一部システムの管理用アカウントの認証情報を第三者に不正に取得されてシステムにアクセスされ、3つの事象で情報が「取得・閲覧されたことを確認」したと告知しました。最も大きいのは、2026年1月29日から9月17日にかけて、15,382アカウントで楽天ドライブに保存された写真や文書などのデータが取得・閲覧された事象で、ほかに313アカウントでは暗号化されたパスワードなども取得されています。利用者がまずすることは、届いている個別のメールを確かめること、楽天ドライブのパスワードと、同じパスワードを使っている他のサービスのパスワードを変えること、そして保存していたファイルの中身を確かめて、他人の情報が含まれていないかを見ることです。

この記事では、2026年10月20日時点で楽天ドライブのサポートサイトに掲載されている告知の内容をもとに、3つの事象で何が取得されたのか、自分が対象かどうか、パスワードの変え方と偽の通知の見分け方、そして仕事のファイルを楽天ドライブに預けていた人がどう動けばよいかを順に説明します。

楽天ドライブの不正アクセスで何が起きたか（2026年10月20日時点）

楽天ドライブは、写真や文書などのファイルをインターネット上に保存し、パソコンやスマートフォンから取り出したり、他の人と共有したりできるクラウドストレージです。告知の名義は「楽天ドライブ」で、運営する会社の名前は告知には書かれていません。

告知によると、第三者が楽天ドライブで使っている一部システムの管理用アカウントの認証情報を不正に取得し、システムにアクセスしました。認証情報とは、システムに入るためのIDやパスワードなどの鍵のことです。管理用アカウントは、利用者が使う普通のアカウントではなく、サービスを運営する側がシステムを管理するために使うアカウントを指します。

この不正アクセスで、情報が取得・閲覧されたことを確認したと告知されています。ここが、ほかの多くの漏えいの発表と違う点です。「漏えいのおそれ」や「可能性」ではなく、取得・閲覧されたことを「確認しております」と書かれています。

一方で、現時点では本件に起因する二次被害は確認されていないとも告知されています。二次被害とは、取得された情報を使った脅迫、詐欺、なりすましなど、元の不正アクセスとは別に起きる被害のことです。

3つの事象：対象の情報、時期、アカウント数

告知では、取得・閲覧された情報が3つの事象に分けて示されています。

事象	取得・閲覧された情報	時期	対象アカウント数
事象1	アカウント名、ディスプレイネーム（ファイル共有時に相手に表示されるニックネーム）、プロフィール用画像URL	2026年8月27日	687件
事象2	アカウント名、ディスプレイネーム、特殊な文字列に変換し復元を困難にした暗号化されたパスワード、パスワードの暗号化に際し復元を困難にするために加えた文字列、プロフィール用画像URL	2026年8月27日	313件
事象3	楽天ドライブ上に保存されたデータ（写真・文書等を含む）	2026年1月29日から同年9月17日	15,382件

件数はいずれもアカウントの数です。3つの事象の対象が重なっているかどうかは、告知には書かれていません。そのため、3つを足した数を対象の総数として扱うことはできません。

事象2の「パスワードの暗号化に際し復元を困難にするために加えた文字列」について補足します。パスワードを安全に保存する方法として、パスワードに別の文字列を加えたうえで、元に戻しにくい形に変換して保存するやり方があります。加える文字列はソルトと呼ばれます。告知は、変換したあとのパスワードと、加えた文字列の両方が取得されたと書いています。変換したパスワードから元のパスワードを割り出すのは困難とされますが、短いパスワードや単純なパスワードは、総当たりで割り出される可能性があります。

事象3は、期間が約8か月と長く、件数も最も多い事象です。対象は「楽天ドライブ上に保存されたデータ」で、写真や文書などを含むとされています。利用者が保存していたファイルそのものが取得・閲覧されたということです。どのファイルが対象になったのかは、告知には書かれていません。対象の人には個別にメールなどで知らせるとされています。

告知の概要の部分を、そのまま引用します。

第三者が「楽天ドライブ」にて使用する一部システムの管理用アカウントの認証情報を不正に取得し、システムにアクセスしたことで、以下の情報が取得・閲覧されたことを確認しております。出典: 楽天ドライブサポートサイト「【重要】「楽天ドライブ」における不正アクセスの発生について」（2026年10月6日 10:10時点）

告知に書かれていないこと

告知に書かれていないことを、書かれていることと分けて押さえておきます。推測で埋めずに、続報を待つ部分です。

告知に、クレジットカード番号などの支払いの情報が含まれるかどうかの記載はない。含まれるとも、含まれないとも書かれていない
氏名、住所、電話番号が含まれるかどうかの記載はない。事象1と2の対象情報には挙がっていない。事象3の保存データの中に、利用者が自分で保存した書類として含まれている可能性はある
管理用アカウントの認証情報が、どのような経路で取得されたかは書かれていない
事象3の期間に、どのくらいの量のファイルが取得されたかは書かれていない
事象1と2が同じ日の出来事なのに対し、事象3が約8か月にわたる理由や、3つの事象が同じ認証情報によるものかどうかは書かれていない

2026年10月20日時点で、この告知の続報はサポートサイトのお知らせの一覧に掲載されていません。告知のページの本文の冒頭は「2026年10月6日 10:10時点」のままで、件数や対象の情報が変わったという案内は出ていません。

2026年7月の不審な通知との関係

楽天ドライブでは、この告知より前の2026年7月30日に、楽天ドライブのアプリから送信されたように見える不審なプッシュ通知が表示される事象が起きています。プッシュ通知とは、スマートフォンの画面に表示されるアプリからのお知らせのことです。

この件は、楽天モバイルの公式サイトにも告知が掲載されています。要点の部分を引用します。

2026年7月30日（木）午後0時55分頃に、「楽天ドライブ」アプリから送信されたように見える不審なプッシュ通知が表示された事象を確認しました。安全のため、通知を開いたり、操作したりしないでください。出典: network.mobile.rakuten.co.jp

この告知によると、通知には「YOUR RAKUTEN DRIVE HACKED」「Your payment was declined」などの英語の件名が使われ、Googleアカウントを盗む目的の偽のログインページへの誘導や、ビットコインを請求する画面の表示につながる可能性がありました。2026年8月13日の更新では、Webサイトを7月31日に一時停止して8月4日に再開したこと、影響を受ける可能性がある一部の楽天IDのパスワードを強制的にリセットしたことなどが追記されています。7月の時点では、楽天ドライブに保存されたデータへの第三者による不正アクセスは確認されていないとされていました。

10月6日の告知は、7月の不審な通知の件との関係について何も書いていません。同じ出来事の続きなのか、別の出来事なのかは、2026年10月20日時点の公式の発表からは判断できません。この記事でも、2つを結び付けて扱うことはしません。ただ、利用者の側から見れば、どちらの件でも求められていることは似ています。不審な通知やメールを開かず、パスワードを守ることです。

楽天ドライブの対応

10月6日の告知に書かれている対応は次のとおりです。発表に書かれていない補償などは、この記事では取り上げません。

不正アクセスの経路の遮断と、監視体制の強化
アプリのダウンロードと、新規アカウントの発行の制限
サイトでのお知らせの掲載と、対象となる利用者へのメールなどによる通知
関係当局への報告

アプリのダウンロードと新規アカウントの発行が制限されているため、新しく楽天ドライブを使い始めたい人は、2026年10月20日時点では手続きができない場合があります。すでに使っている人のアプリが止まるといった案内は、告知には書かれていません。

告知は、対象となる利用者には個別にメールなどで通知とお願いを送るとしています。届いた内容を確かめ、書かれている対応をするよう求めています。

「関係当局への報告」がどこへの報告かは、告知には具体的に書かれていません。一般に、不正アクセスによる個人データの漏えいが起きた事業者は、個人情報の扱いを監督する国の機関である個人情報保護委員会などへ報告することが法律で求められています。告知には、補償やお詫びの品についての記載はありません。告知の結びでは、セキュリティ対策の強化などの再発防止に引き続き取り組むとしています。

自分が対象かを確かめる方法

対象かどうかは、楽天ドライブから届く個別の通知で確かめるのが基本です。

楽天ドライブに登録しているメールアドレスの受信箱で、「楽天ドライブ」「Rakuten Drive」「不正アクセス」などの語で検索する。迷惑メールのフォルダも確かめる
届いたメールの送信元のアドレスとリンク先が、楽天ドライブの公式のものかを確かめる。少しでも迷ったら、メールのリンクは使わない
自分で調べて開いた楽天ドライブのサポートサイトのお知らせを読み、メールの内容と食い違いがないかを見る
それでも分からないときは、後の「問い合わせ窓口」の節に載せた窓口に問い合わせる

注意したいのは、偽の通知です。7月の件では、楽天ドライブを装ったプッシュ通知が実際に表示されています。「あなたのアカウントは対象です。こちらから確認してください」といった通知やメールが来ても、そのリンクからログインしないでください。公式の告知は、身に覚えのないログインやアカウントの異常、心当たりのない請求、脅迫的な連絡、なりすましと思われる接触に気づいたら、開封や対応をせず、楽天ドライブの窓口か警察に相談するよう求めています。

パスワードの変え方と、使い回しの見直し

事象2では、暗号化されたパスワードと、暗号化のときに加えた文字列が取得されています。対象は313アカウントですが、自分が対象かどうかにかかわらず、楽天ドライブのパスワードは変えておくのが安全です。

パスワードを変えるときは、次の点を守ります。

楽天ドライブのアプリか、自分でブックマークや検索から開いた楽天ドライブのサイトで手続きをする。メールや通知のリンクからは開かない
これまでと違う、他のサービスで使っていない新しいパスワードにする
長く、推測しにくいものにする。名前、生年月日、電話番号、辞書に載っている単語だけの組み合わせは避ける
パスワード管理アプリを使って、サービスごとに別のパスワードを保存する

もっと大事なのは、同じパスワードを他のサービスで使っていないかの見直しです。同じメールアドレスとパスワードの組み合わせを使い回していると、1つのサービスで割り出されたパスワードで、他のサービスにも次々とログインされてしまいます。この手口はリスト型攻撃と呼ばれます。楽天ドライブと同じパスワードを、メール、ネット銀行、ネット通販、仕事で使うチャットなどで使っていたら、入られると被害が大きいものから先に変えてください。

7月の件では、偽のGoogleログインページへの誘導が確認されていました。Googleアカウントのパスワードを入力してしまった心当たりがある人は、Googleアカウントの設定画面を自分で開き、パスワードを変え、最近のセキュリティの記録と、ログインしている端末の一覧を確かめます。心当たりのない端末があれば、そこからログアウトさせます。

あわせて、二段階認証を設定しておきます。二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードや認証アプリの番号を入力しないとログインできないようにする仕組みです。パスワードが知られても、手元のスマートフォンがなければ入られにくくなります。仕組みの違いや選び方は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で説明しています。

保存していたファイルの中身を確かめる

事象3では、楽天ドライブに保存されていた写真や文書などが取得・閲覧されています。対象の15,382アカウントに入っていた人は、自分が保存していたファイルの中身を思い出し、知られると困るものが含まれていないかを確かめます。

確かめるときは、ファイルの種類ごとに考えると整理しやすくなります。

保存していたもの	知られたときに起きうること	備え
運転免許証やマイナンバーカードの画像	なりすましでの契約や本人確認の突破	心当たりのない契約や請求がないかを確かめ、必要なら発行元に相談する
通帳やカードの画像、明細	口座やカードの情報を使った不正利用、詐欺の連絡	銀行やカード会社に相談し、利用明細をこまめに確かめる
パスワードを書いたメモや表	他のサービスへの不正ログイン	書かれていたパスワードをすべて変える
家族や自分の写真	写真を使った脅迫や、なりすましの連絡	脅迫的な連絡には応じず、窓口や警察に相談する
仕事の書類、取引先のデータ	取引先の情報の漏えい	次の節で説明する

パスワードを書いたメモや、パスワードの一覧を保存していた人は、特に急いで対応が必要です。書かれていたパスワードは、知られたものとして、すべて変えてください。

公式の告知が「心当たりのない請求・脅迫的な連絡」への注意を呼びかけているのは、保存データが取得されたことと関係していると考えられます。写真や書類を見たと称して金銭を求める連絡が来ても、開封や対応をせず、楽天ドライブの窓口か警察に相談するよう告知は求めています。

本人確認書類や住所が分かる書類を保存していた人は、住所が知られたときに起きることと備え方を、個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番で確かめておくと役立ちます。

対応の順番：今日すること、今週中にすること

やることが多く見えるので、急ぐものから順に並べます。

今日のうちにすること。

楽天ドライブから届いている個別のメールを探し、内容を読む
楽天ドライブのパスワードを、アプリか自分で開いたサイトから新しいものに変える
同じパスワードを使っている他のサービスのうち、メール、ネット銀行、ネット通販のパスワードを変える
保存していたファイルの中に、パスワードを書いたメモや一覧があれば、そこに書かれたパスワードをすべて変える

今週中にすること。

保存していたファイルの中に、本人確認書類、通帳やカードの画像がないかを確かめ、あれば銀行やカード会社の利用明細を見る
仕事のファイルや、他人の個人情報を含むファイルがないかを洗い出し、取引先に伝えるかどうかを考える
二段階認証を、メールやネット銀行など大事なサービスから順に設定する
使っていない共有リンクを止め、不要になったファイルを整理する

すべてを一度に終わらせる必要はありません。パスワードの変更と、個別のメールの確認だけは、できるだけ早く済ませてください。

偽の通知やメールの見分け方

楽天ドライブの件では、2026年7月に偽のプッシュ通知が実際に表示されています。10月の告知のあとも、便乗した偽の連絡が送られる可能性があります。見分けるときは、次の点を確かめます。

アプリのプッシュ通知で「アカウントがハッキングされた」「支払いに失敗した」「ファイルを削除する」といった内容が届いても、通知やポップアップのボタンやリンクを押さない
楽天ドライブは、通知を通じてGoogleアカウントのパスワードの入力を求めることはないと案内している
パスワード、支払いの情報、ビットコインでの支払いを求める通知やページは開かない
メールの送信元のアドレスと、リンク先のアドレスが公式のものかを確かめる

すでに不審な通知を開いてしまった場合は、それ以上操作せず、ポップアップとアプリを閉じるよう、7月の告知で案内されています。偽のメールを見分ける練習の方法は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果で紹介しています。自分のメールアドレスがほかの漏えいにも含まれていないかを調べたいときは、Have I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩の手順が参考になります。

お金を払ってしまった、脅すような連絡が続くといったときは、警察に相談します。消費者トラブルとして相談したいときは、全国共通の電話番号「188」（消費者ホットライン）で近くの消費生活センターを案内してもらえます。詳しくは消費者庁の消費者ホットラインのページに載っています。

共有リンクを使っていた人が見直すこと

楽天ドライブには、ファイルを他の人と共有する機能があります。事象1と2で取得された「ディスプレイネーム」は、告知の説明によると、ファイル共有のときに相手に表示されるニックネームです。

共有の機能を使っていた人は、次の2つの点に気をつけます。

1つ目は、共有の相手に届く偽の連絡です。ディスプレイネームが知られていると、そのニックネームを名乗って「ファイルを共有しました。こちらから開いてください」といった偽のメールを、共有の相手に送ることができます。よく共有していた相手には、自分の名前で心当たりのない共有の案内が届いたら開かないよう、伝えておくと安心です。

2つ目は、今は使っていない共有のリンクです。過去に作った共有のリンクがそのまま残っていると、リンクを知っている人なら誰でもファイルを開ける状態が続いていることがあります。楽天ドライブの画面で、共有の設定が残っているファイルやフォルダを確かめ、不要になったものは共有を止めておきます。共有の設定の確かめ方は、楽天ドライブのヘルプで確かめてください。

アカウントを削除する前に考えること

今回の件をきっかけに、楽天ドライブのアカウントを削除しようと考える人もいるはずです。削除する前に、次の点を考えておきます。

まず、削除しても、すでに取得・閲覧されたファイルが取り戻せるわけではありません。削除は、これから先に保存されるデータを減らすための手段で、起きたことを消す手段ではありません。

次に、必要なファイルは、削除する前に手元に移しておきます。削除したあとは取り出せなくなる可能性があります。

そして、楽天ドライブからの個別の通知を読んでから削除します。通知の中に、対象となったファイルの範囲や、利用者に求める対応が書かれている場合があります。削除してしまうと、アカウントに関する問い合わせがしにくくなることも考えられます。

続けて使う場合も、使うのをやめる場合も、パスワードの変更と、同じパスワードを使っている他のサービスの見直しは必要です。

問い合わせ窓口

10月6日の告知に載っている窓口は次のとおりです。

窓口	連絡先	受付時間
「楽天ドライブ」お問い合わせフォーム	楽天ドライブのサポートサイトのリクエスト送信フォーム	記載なし
「楽天ドライブ」臨時サポート窓口	電話 0800-600-6600	年中無休 9:00〜17:00（日本語対応のみ）

お問い合わせフォームは、楽天ドライブのサポートサイト（support.rakuten-drive.com）の告知のページの末尾から開けます。メールや通知に書かれたリンクではなく、自分で検索して開いたサポートサイトから進むと安全です。電話番号は、7月の不審な通知の件で設けられた臨時サポート窓口と同じ番号です。

問い合わせのときは、本件について確かめたいことを短く伝えます。パスワードを相手に伝える必要はありません。

家族の写真や書類を保存していた場合

楽天ドライブを、家族の写真や書類の保存場所として使っていた人も多いはずです。事象3の対象になっていた場合、家族の写真、子どもの学校の書類、家族の保険証の画像なども、取得・閲覧された可能性があります。

家族の情報が含まれていたかもしれないときは、家族にも事実を伝えておきます。自分あてではなく、家族あてに偽の連絡や脅すような連絡が届く可能性があるからです。特に子どもや高齢の家族には、「写真を見た」「お金を払わないと公開する」といった連絡が来ても、返信せず、お金を払わず、すぐに家族に相談するよう話しておくと安心です。

写真に写っている場所から、自宅や学校が分かってしまうこともあります。写真の位置情報（撮影した場所の記録）が付いたまま保存していた場合は、その情報も含めて見られた可能性があります。これからクラウドストレージに写真を保存するときは、スマートフォンのカメラの設定で、位置情報を写真に残さないようにしておく方法もあります。

相談するときに用意しておくもの

楽天ドライブの窓口や、警察、消費生活センターに相談するときは、次のものを手元に用意しておくと、話が早く進みます。

楽天ドライブに登録しているメールアドレスと、アカウント名
楽天ドライブから届いた個別の通知のメール
不審な通知やメールを受け取った場合は、その画面の写しと、受け取った日時
脅すような連絡や請求が来た場合は、その内容と、相手の連絡先
お金を払ってしまった場合は、払った日時、金額、方法の記録

パスワードそのものを伝える必要はありません。窓口を名乗る相手からパスワードを聞かれたら、その相手は本物ではない可能性があります。

仕事のファイルを預けていた人が気をつけること

在宅で仕事をしている人の中には、取引先から受け取った資料、顧客の名簿、納品前のデザインデータ、応募者の書類などを、楽天ドライブに保存したり、楽天ドライブで共有したりしていた人もいるはずです。事象3の対象になっていた場合、そうしたファイルも取得・閲覧された可能性があります。

まず、保存していたファイルのうち、他人の個人情報を含むものを洗い出します。取引先の担当者の名前と連絡先、顧客の住所や電話番号、従業員や応募者の情報などです。

次に、自分が「個人情報取扱事業者」にあたるかを考えます。個人情報取扱事業者とは、事業のために個人情報のデータベースなどを使っている人や会社のことで、個人事業主も含まれ得ます。個人情報保護委員会のページによると、個人データの漏えい（またはそのおそれ）のうち、不正の目的をもって行われたおそれがある行為によるものは、委員会への報告が義務付けられる場合にあたり、その例の1つとして不正アクセスが挙げられています。不正な目的で行われたおそれがある場合の報告の期限は、発覚日から60日以内とされています。詳しくは個人情報保護委員会の「漏えい等の対応とお役立ち資料」に載っています。

自分が扱っていた情報が、取引先から仕事を任されて預かったものなのか、自分の事業のために集めたものなのかによっても、誰が何をするかが変わります。取引先から預かったものなら、まず取引先に事実を伝え、取引先の判断に必要な情報（どのファイルを、いつから楽天ドライブに保存していたか、楽天ドライブからの通知の内容）をそろえて渡すのが現実的です。取引先との間に秘密保持の約束（NDA）がある場合は、契約の中で、漏えいが起きたときに知らせる期限や方法が決められていることもあります。

報告や通知が必要かどうかは、扱っていた情報の中身や件数、契約の内容で変わるため、この記事で断定することはできません。判断に迷うときは、個人情報保護委員会の個人情報保護法相談ダイヤル（03-6457-9849）や、弁護士などの専門家に相談してください。

取引先への連絡の考え方や、取引先を経由した攻撃への備えは、中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法でも扱っています。

クラウドストレージに預ける前に決めておくこと

今回の件は、自分のパスワードがどれだけ強くても、サービスの運営側の鍵が盗まれれば、保存していたファイルが見られてしまうことがあるという事実を示しました。クラウドストレージは便利な道具ですが、預けるものを選ぶことで、こうしたときの影響を小さくできます。

本人確認書類、通帳、パスワードの一覧は、クラウドストレージにそのまま保存しない。どうしても保存するなら、パスワードを付けて暗号化したファイルにする
取引先から預かったファイルは、取引先が指定する共有の方法を使う。自分の判断で個人用のクラウドストレージに移さない
仕事が終わったファイルは、契約で決めた期間が過ぎたら削除する
どのサービスに、どの取引先の、どんなファイルを保存しているかを一覧にしておく

フリーランスと在宅ワークの仲介を2004年から続けてきた@SOHOの運営の中で見てきた限りでは、長く指名され続ける人ほど、取引先から預かったファイルの保存先と削除する時期を自分で決めています。何かあったときに「どのファイルが、どこに、いつからあったか」をすぐに答えられることは、取引先にとって大きな安心材料になります。

情報セキュリティの対策を支える側の仕事に関心がある人は、AI・マーケティング・セキュリティのお仕事で仕事の内容を紹介しています。取引先への報告文を書く力を形にしたい人にはビジネス文書検定が、ネットワークの基礎から学びたい人にはシスコ社の技術者認定であるCCNA（シスコ技術者認定）が参考になります。

よくある質問

Q. 楽天ドライブの件で、パスワードは漏れたのですか？

告知によると、事象2の313アカウントで、復元を困難にする形に変換した暗号化されたパスワードと、暗号化のときに加えた文字列が取得されました。元のパスワードを割り出すのは困難とされますが、単純なパスワードは割り出される可能性があります。対象かどうかにかかわらず、楽天ドライブと、同じパスワードを使う他のサービスのパスワードを変えるのが安全です。

Q. 15,382件は何の数ですか？

事象3の対象アカウント数です。2026年1月29日から9月17日にかけて、15,382アカウントで楽天ドライブに保存された写真や文書などのデータが取得・閲覧されたと告知されています。3つの事象の対象が重なっているかは告知に書かれていないため、事象ごとの件数を足しても対象の総数にはなりません。

Q. 自分のファイルが見られたかどうかはどうすれば分かりますか？

告知では、対象となる利用者には個別にメールなどで通知とお願いを送るとしています。登録しているメールアドレスの受信箱を、迷惑メールのフォルダも含めて確かめてください。分からないときは、自分で開いたサポートサイトのお問い合わせフォームか、臨時サポート窓口（0800-600-6600、年中無休9:00から17:00）に問い合わせます。