楽天証券の情報漏えいの可能性｜デジタル特典付き社債の購入者延べ362件 NTTデータの委託先への不正アクセス対象と確かめること 2026

2026年10月31日

＠SOHO編集部

この記事のポイント

✓楽天証券情報漏洩と検索した人へ
✓楽天証券は2026年10月31日
✓デジタル特典付き社債3銘柄の購入者の一部

「楽天証券情報漏洩」と調べた人への答えを先に書きます。楽天証券は2026年10月31日、同社が販売した「デジタル特典付き社債」の3銘柄を買った一部の客について、延べ362件の情報が外部に持ち出された可能性があると発表しました。原因は、特典の申込などに使われている外部サービスの提供元であるNTTデータの、さらにその委託先のシステム「デジタル証券プラットフォーム」への第三者による不正アクセスで、楽天証券のシステムが不正アクセスを受けたものではないと同社は書いています。楽天証券のログインに必要なID、パスワード、取引に必要な各種情報は、漏えいした可能性がある情報には含まれていないとの報告を受けており、2026年10月31日時点で、この件に起因すると考えられる不正アクセスや不正取引は確認されていないとしています。

利用者がまずすることは3つです。 1つ目は、対象の3銘柄（カゴメ、西日本旅客鉄道、近鉄グループホールディングスの社債）を楽天証券で買ったかどうかを確かめることです。 2つ目は、楽天証券や関係会社を名乗る心当たりのないメール、SMS、電話のリンクや求めに応じないことです。 3つ目は、まだであれば楽天証券のログインにパスキーを設定することです。

楽天証券の口座を持っているだけで、この3銘柄を買っていない人は、発表の対象には入っていません。この記事では、2026年10月31日時点の楽天証券の公式発表と、関係する会社の発表に書かれていることだけをもとに、対象の銘柄、持ち出された可能性のある情報と含まれない情報、原因、会社の対応、自分が対象かの確かめ方、偽の連絡への備えを順に整理します。

楽天証券の発表で何が起きたか（2026年10月31日時点）

楽天証券はインターネットで株式や投資信託、債券などを売買できる証券会社です。今回の件は、楽天証券が販売した社債のうち「デジタル特典付き社債」と呼ばれる種類の商品に関係しています。

社債とは、会社がお金を借りるために発行する債券のことで、買った人は決められた期間ごとに利息を受け取り、満期になると元本が返ってきます。「デジタル特典付き社債」は、その社債を買った人に、発行した会社から特典が用意されている商品です。楽天証券の発表によると、この特典の申込などには、外部のサービスが使われていました。そのサービスを提供しているのがNTTデータで、NTTデータはさらに別の会社（委託先）が提供するシステムを使っていました。そのシステムの名前が「デジタル証券プラットフォーム」です。

楽天証券が受けた報告の中身は、このデジタル証券プラットフォームに第三者による不正アクセスがあり、プラットフォーム内の情報が外部に持ち出された可能性がある、というものです。発生日時は2026年10月30日（金）と書かれています。

発表の冒頭の部分は次のとおりです。

このたび、楽天証券が販売した「デジタル特典付き社債」の特典申込などに使用されている外部サービスの提供元である株式会社NTTデータ（本社：東京都江東区、代表取締役社長：鈴木正範、以下「NTTデータ」）より、NTTデータの委託先が提供するシステム「デジタル証券プラットフォーム」への第三者による不正アクセスを受けたことにともない、一部のお客様の情報が漏えいした可能性がある旨の報告を受けましたので、お知らせいたします。なお、本件は楽天証券のシステムが不正アクセスを受けたものではありません。出典: rakuten-sec.co.jp（外部サービス提供元への不正アクセスによるお客様情報漏えいの可能性について）

発表の題は「外部サービス提供元への不正アクセスによるお客様情報漏えいの可能性について」です。同社は「漏えいした」と言い切ってはおらず、「漏えいの可能性」「外部に持ち出された可能性がある情報」という表現を使っています。この記事でも同社の言葉に合わせ、「持ち出された可能性」「漏えいの可能性」と書きます。

関係する会社の位置づけを表にすると、次のようになります。

立場	会社・システム	今回の件での位置
社債を販売した証券会社	楽天証券	報告を受けた側。自社のシステムは不正アクセスを受けていないと発表
特典の申込などに使う外部サービスの提供元	NTTデータ（STdirectServices）	楽天証券に報告した側。サービスを停止中
NTTデータの委託先	名称は公表されていない	「デジタル証券プラットフォーム」を提供。ここが不正アクセスを受けた

委託先の会社の名前は、2026年10月31日時点で、楽天証券とNTTデータのどちらの発表にも書かれていません。この記事でも推測で名前を挙げることはしません。

公表の経緯と、関係する会社の発表

2026年10月31日時点で、この件に関わる発表は複数の会社から出ています。同じ事案を、立場の違う会社がそれぞれの客に向けて知らせている形です。

日付	出来事（各社の公式発表に書かれていること）
2026年10月30日（金）	デジタル証券プラットフォームへの不正アクセスが発生（楽天証券の発表の「発生日時」）
2026年10月30日	野村證券がNTTデータから不正アクセスの連絡を受けた（野村證券の発表）
2026年10月31日	楽天証券が「外部サービス提供元への不正アクセスによるお客様情報漏えいの可能性について」を公表
2026年10月31日	NTTデータが「STdirectServicesのサービス停止についてのお知らせ」を公表
2026年10月31日	野村證券が「デジタル特典付き社債に関する外部委託先への不正アクセスによるお客さま情報の漏えいについて」を公表

楽天証券の発表は2026年10月31日付の1本で、第1報、第2報のような番号は付いていません。 2026年10月31日時点で、この発表の続報や訂正は出ていません。同社は今後も原因究明と影響範囲の調査を進めると書いているので、調査が進めば新しい発表が出る可能性があります。

NTTデータの発表「STdirectServicesのサービス停止についてのお知らせ」（2026年10月31日、NTTデータのサイトの報道発表）には、次のことが書かれています。 STdirectServicesは、社債購入者に対する特典付与を支援するサービスです。このサービスで使っている委託先のSaaS（インターネット越しに使うソフトウェアのサービス）で第三者による不正アクセスが発生したため、サービスを停止しています。委託先のサービスで取り扱う個人情報が漏えいした可能性があり、委託先で調査が進められています。 2026年10月31日時点では特典付与の対象となる社債がないため、サービス停止による特典付与業務への影響はないとしています。

野村證券も同じ日に、野村ホールディングスのサイトの「デジタル特典付き社債に関する外部委託先への不正アクセスによるお客さま情報の漏えいについて」で、同じ委託先の件を公表しています。野村證券の発表では、漏えいした可能性のある情報の内容は確認中とされ、証券口座番号やパスワード等の金融取引に関する情報は同プラットフォーム上では保持していないと書かれています。近鉄グループホールディングスも、自社の社債に関係する件として公表しています。

この記事は楽天証券の客に向けた整理なので、件数は楽天証券が発表した延べ362件だけを扱います。野村證券や近鉄グループホールディングス経由の件数は、それぞれの会社の発表で確かめてください。同じ社債を複数の証券会社が販売していることがあるので、楽天証券以外の証券会社でデジタル特典付き社債を買った人は、その証券会社の発表もあわせて見る必要があります。

対象の3銘柄と延べ362件の内訳

楽天証券の発表で対象とされているのは、楽天証券が販売したデジタル特典付き社債のうち、次の3銘柄を買った一部の客です。合計は延べ362件です。

銘柄	発行日	対象となる客
カゴメ株式会社第1回無担保社債	2023年2月21日	一部のお客様
西日本旅客鉄道株式会社第80回無担保社債	2024年6月19日	一部のお客様
近鉄グループホールディングス株式会社第135回無担保社債	2026年7月24日	100万円以上購入されたお客様

表を読むときに、3つのことに気をつけます。

1つ目は、「延べ362件」という数え方です。「延べ」とは、同じ人が複数の銘柄を買っていれば、銘柄ごとに1件として数えた合計という意味です。たとえば1人がカゴメと近鉄グループホールディングスの両方を買っていれば2件と数えられるので、対象の人数は362人より少ない可能性があります。発表には人数の内訳は書かれていません。

2つ目は、カゴメと西日本旅客鉄道の社債が「一部のお客様」とされていることです。その銘柄を買った人が全員対象というわけではなく、どの条件の人が対象になるかは発表に書かれていません。銘柄を買ったことがあっても、自分が対象かどうかは楽天証券からの個別の連絡で確かめることになります。

3つ目は、近鉄グループホールディングスの社債だけ「100万円以上購入されたお客様」と条件が書かれていることです。この銘柄を100万円未満で買った人は、楽天証券の発表の対象には入っていません。

この表に載っていない銘柄、たとえば楽天証券で買ったほかの社債、株式、投資信託、NISAの口座は、楽天証券の発表の対象として挙げられていません。楽天証券の口座を持っているだけの人、ほかの商品だけを取引している人は、この3銘柄を買っていなければ対象ではありません。

外部に持ち出された可能性がある情報と、含まれないと報告された情報

楽天証券の発表は、持ち出された可能性のある情報の項目の内訳を示していません。氏名なのか、住所なのか、メールアドレスなのか、購入した額なのかといった具体的な項目は、2026年10月31日時点で発表に書かれていません。この記事でも、項目を推測で書くことはしません。

一方で、含まれないと報告を受けている情報ははっきり書かれています。

区分	楽天証券の発表に書かれていること
持ち出された可能性がある情報	3銘柄を購入した一部のお客様の情報、延べ362件。項目の内訳は示されていない
含まれていないと報告を受けている情報	楽天証券のログインに必要なID
含まれていないと報告を受けている情報	楽天証券のログインに必要なパスワード
含まれていないと報告を受けている情報	取引に必要な各種情報

発表の該当部分は次のとおりです。

なお、楽天証券のログインに必要なID、パスワード、取引に必要な各種情報については、漏えいした可能性がある情報には含まれていないとの報告を受けております。現時点において、本件に起因すると考えられる不正アクセスまたは不正取引は確認されておりません。出典: rakuten-sec.co.jp（外部サービス提供元への不正アクセスによるお客様情報漏えいの可能性について）

ここから言えることを整理します。楽天証券にログインするためのIDとパスワードは含まれていないと報告されているので、この件の情報だけを使って第三者が楽天証券の口座に入ることは考えにくい、というのが発表の内容です。ただし、発表の言い方は「含まれていないとの報告を受けております」です。楽天証券が自分で確かめた結果ではなく、NTTデータ側からの報告として書かれている点は押さえておきます。

項目が分からない段階で利用者が考えておくべきことは、特典の申込で入力した情報が何だったかを思い出しておくことです。特典を申し込むときに、氏名、住所、電話番号、メールアドレスなど、特典を受け取るための情報を入力した覚えがある人は、その情報を使った偽の連絡が来る可能性を考えて備えます。入力した覚えのある項目と、楽天証券から後で個別に知らされる項目を照らし合わせると、自分にとってどこまで備えが必要かが見えてきます。

原因：NTTデータの委託先「デジタル証券プラットフォーム」への不正アクセス

楽天証券の発表の「原因」の項は、次のように書かれています。 NTTデータの委託先において、不正アクセスが発生した侵入経路や技術的要因などの詳細調査を進めている、という内容です。つまり、2026年10月31日時点で、どこから、どのような方法で入られたのかは「調査中と発表」されている段階です。

ここで、言葉を整理しておきます。

「不正アクセス」とは、権限のない人が、他人のシステムに許可なく入り込むことです。今回は、楽天証券ではなく、NTTデータの委託先が提供するデジタル証券プラットフォームが入り込まれた側です。

「委託先」とは、ある会社が業務の一部を任せている別の会社のことです。今回は、楽天証券が特典の申込などの業務にNTTデータのサービスを使い、NTTデータがさらにそのサービスの一部に委託先のシステムを使っていました。客から見ると、楽天証券で社債を買っただけでも、その情報が特典の手続きのために外部の会社のシステムでも取り扱われていた、という形です。

楽天証券は、発表の中で次のことを明記しています。

・楽天証券のシステムが不正アクセスを受けたものではない
・ログインのID、パスワード、取引に必要な各種情報は含まれていないとの報告を受けている
・本件に起因すると考えられる不正アクセスまたは不正取引は確認されていない

このため、今回の件で楽天証券の口座そのものが危険にさらされたと考える根拠は、2026年10月31日時点の発表にはありません。一方で、侵入経路はまだ調査中なので、調べが進んで新しいことが分かれば発表の内容が変わる可能性はあります。続報が出たときに見られるよう、楽天証券のサイトの「お知らせ」を時々確かめるのが確実です。

2025年の証券口座の乗っ取りとは別の事案

「楽天証券不正アクセス」と検索すると、2025年に証券各社で相次いだ、証券口座の乗っ取りの話が多く出てきます。これは、証券会社を装った偽のメールや偽のサイトで盗まれたIDとパスワードを使い、第三者が客の口座に入り込んで、本人の知らない売買をしたという種類の被害でした。

今回の件は、それとは別の事案です。違いを表にすると次のようになります。

比べる点	2025年の証券口座の乗っ取り	今回の件（2026年10月31日公表）
入り込まれた場所	客一人ひとりの証券口座	NTTデータの委託先のデジタル証券プラットフォーム
盗まれたもの	偽のサイトなどで入力させられたIDとパスワード	プラットフォーム内の情報（項目の内訳は示されていない）
楽天証券のIDとパスワード	盗まれて悪用された	含まれていないとの報告を受けている
不正な売買	起きた	確認されていないと発表
対象	偽のサイトに入力してしまった人	デジタル特典付き社債3銘柄を買った一部の客

2025年の件の被害の件数や金額はこの記事では扱いません。大事なのは、今回の件は口座の乗っ取りの話ではなく、特典の手続きのために外部で取り扱われていた情報の話だという点です。ただし、2025年の件と共通する点もあります。どちらも、証券会社を装った偽の連絡が入口になりうるという点です。今回の件で持ち出された可能性のある情報が偽の連絡に使われると、2025年と同じ乗っ取りの手口につながるおそれがあります。そのため、楽天証券も発表の中で、不審なメール、SMS、電話への注意を呼びかけています。

楽天証券の対応

楽天証券の発表に書かれている対応は、次のとおりです。

対応	発表に書かれていること
調査	NTTデータとNTTデータの委託先を含む関係各所と連携し、不正アクセスの原因、影響範囲、外部に漏えいした可能性のある情報などを詳しく調べている
客への連絡	影響が確認された客に、個別に連絡する
対応の方針	状況に応じて適切かつ真摯に対応を進める
今後	引き続き原因究明と影響範囲の調査を進め、再発防止に向けた対応を徹底する
お詫び	客をはじめ関係者に心配をかけていることを詫びている
客へのお願い	楽天証券や関係会社を装った不審なメール、SMS、電話に注意し、URLへのアクセスや個人情報の入力をしない
ログインの守り	パスキー認証によるログインの必須化を進めており、未設定なら設定を勧めている

補償やお詫びの品について、2026年10月31日時点の発表には何も書かれていません。この記事でも、補償があるかどうかは推測しません。過去の漏えいで会社がお詫びの金やポイントを出した例と、利用者がどう考えればよいかは、情報漏洩の補償はもらえるのか｜お詫び金・ポイントの例と利用者が確かめること 2026で整理しています。今回の件で補償が出るかどうかは、楽天証券の続報を見て確かめてください。

個人情報保護委員会（個人情報の扱いを監督する国の機関）への報告について、楽天証券の発表には書かれていません。報告をしたかどうかもこの記事では推測しません。

自分が対象かを確かめる方法

自分が対象かどうかを確かめる手順を、順番に書きます。

手順1：3銘柄を楽天証券で買ったかを確かめる

最初に確かめるのは、楽天証券で次の3銘柄のどれかを買ったかどうかです。

・カゴメ株式会社第1回無担保社債（2023年2月21日発行）
・西日本旅客鉄道株式会社第80回無担保社債（2024年6月19日発行）
・近鉄グループホールディングス株式会社第135回無担保社債（2026年7月24日発行、100万円以上購入した人）

社債は満期まで持っていれば口座の保有商品に表示されているはずなので、楽天証券に公式アプリかブックマークからログインし、保有している商品の一覧で債券の欄を見ます。すでに売った場合や、取引の記録を見たい場合は、取引の履歴や、買ったときに届いた取引報告書で確かめられます。取引報告書とは、売買が成立したときに証券会社が客に交付する、何をいくらで買ったかの書類です。

3銘柄のどれも買っていなければ、楽天証券の発表の対象には入っていません。その場合も、楽天証券を装う偽の連絡には引き続き注意が必要ですが、今回の件で特別な手続きをする必要はありません。

手順2：特典を申し込んだかを思い出す

次に、その社債の特典を申し込んだかどうかを思い出します。楽天証券の発表では、外部サービスは「特典申込など」に使われていたと書かれています。特典を申し込んだときに、どの情報を入力したかを思い出しておくと、後で項目が知らされたときに照らし合わせられます。ただし、発表は対象を「3銘柄をご購入された一部のお客様」と書いており、特典を申し込んだ人だけが対象だとは書いていません。特典を申し込んでいないから対象ではない、と自分で決めないようにします。

手順3：楽天証券からの個別の連絡を待つ

楽天証券は、影響が確認された客に個別に連絡すると書いています。どのような方法（メール、郵便、ログイン後の画面など）で連絡するかは、2026年10月31日時点の発表には書かれていません。連絡の形が書かれていない以上、届いた連絡が本物かどうかは、連絡に書かれたリンクからではなく、自分で楽天証券の公式アプリやブックマークから開いたサイトで確かめるのが安全です。

「個別に連絡します」という発表を逆手にとって、楽天証券を名乗り「情報漏えいの対象になりました」「本人確認のため」と称してリンクを開かせる偽の連絡が出てくるおそれがあります。本物の連絡かどうか迷ったときは、そのメールやSMSからではなく、楽天証券の公式サイトを自分で開き、お知らせやログイン後の画面に同じ内容があるかを見ます。

対象かもしれない人がすること

対象の銘柄を買った人が、今の段階でしておくとよいことを、要るものだけに絞って書きます。楽天証券のIDとパスワードは含まれていないと報告されているので、パスワードの変更は今回の件の対応として求められてはいません。それでも、守りを固めておく意味がある項目を整理します。

すること	理由
楽天証券を名乗る連絡のリンクを開かない	持ち出された可能性のある情報が偽の連絡に使われるおそれがあるため
楽天証券にはブックマークか公式アプリから入る	偽のサイトに誘導されないため
パスキーを設定する	楽天証券が必須化を進めており、偽のサイトで盗まれにくいため
楽天証券からの個別の連絡を待ち、届いたら公式サイトで照らし合わせる	自分の情報が対象か、どの項目かを知るため
取引の履歴を時々見る	万が一、身に覚えのない取引があればすぐ気づけるため

ほかのサービスと同じパスワードを楽天証券で使っている人は、この機会に楽天証券のパスワードを使い回していないものに変えておくと、別のサービスから漏れたパスワードで入られる危険を減らせます。これは今回の件そのものへの対応ではなく、日ごろの守りの見直しです。パスワードの変える順番や使い回しの見直し方は、パスワードが漏洩したらどうなる｜変更の順番と使い回しの見直し方 2026で手順をまとめています。

身に覚えのない取引や、自分の知らないログインの通知があったときは、偽の連絡に書かれた番号ではなく、楽天証券の公式サイトに載っている問い合わせ先に自分で連絡します。

楽天証券を装う連絡の見分け方

楽天証券の発表は、楽天証券や関係会社を装った不審なメール、SMS、電話に十分注意するよう呼びかけています。「関係会社」には、NTTデータや、社債を発行した会社を名乗る連絡も入りうると考えておきます。

偽の連絡によく使われる切り出し方を挙げます。

・「情報漏えいの対象となったお客様へ。本人確認のため、こちらからログインしてください」
・「お詫びのポイントを付与します。受け取りにはこちらのリンクから手続きしてください」
・「特典の再申込が必要です。下記のURLから情報を入力してください」
・「不正なアクセスを検知したため、口座を一時的に停止しました」
・電話で「楽天証券のセキュリティ担当です。口座を守るため、認証コードを教えてください」

どれも、リンクを開かせる、情報を入力させる、認証コードを聞き出す、のどれかに誘導します。楽天証券の発表も、メールなどに書かれたURLへのアクセスや個人情報の入力をしないよう求めています。

見分けるための考え方は、連絡の中身を見て本物か偽物かを当てることではなく、連絡に書かれた道を使わないことです。差出人の名前やメールアドレスは見た目を偽れますし、SMSは本物と同じ送信者名の流れに偽物が紛れ込むことがあります。本物そっくりの文面やロゴを見分けようとするより、「リンクは開かない、公式アプリかブックマークから自分で開く」と決めておくほうが確実です。

電話についても同じです。電話口で認証コードやパスワードを聞かれたら、その場では答えずに電話を切ります。認証コードとは、ログインや手続きのときにスマートフォンに届く、本人だと確かめるための数字です。このコードを人に伝えると、相手が自分になりすまして手続きを進められてしまいます。身に覚えのない認証コードが届いたときの考え方は、認証コードが勝手に届くのはなぜ｜放置してよいかと乗っ取りを防ぐ確認 2026で整理しています。

偽のメールを開いてしまった、リンク先に情報を入力してしまったという場合は、すぐに楽天証券の公式アプリかブックマークからログインし、パスワードを変え、取引の履歴に覚えのない取引がないかを確かめます。そのうえで、楽天証券の公式サイトに載っている問い合わせ先に、自分で連絡します。

パスキーを設定する

楽天証券は発表の中で、不正アクセスやフィッシング詐欺への耐性が高い「パスキー認証」によるログインの必須化を進めていると書き、パスキーを設定していない客に設定を勧めています。今回の件では楽天証券のIDとパスワードは含まれていないと報告されていますが、偽の連絡が増えるおそれがある時期だからこそ、ログインの守りを固めておく意味があります。

パスキーとは、パスワードの代わりに、スマートフォンやパソコンの顔認証、指紋認証、画面ロックの暗証番号を使ってログインする仕組みです。ログインに使う鍵は自分の端末の中に保存され、本物のサイトとだけ結び付けられます。そのため、偽のサイトに誘導されても、パスキーは偽のサイトでは使えず、パスワードのように入力して盗まれることがありません。フィッシング詐欺とは、本物そっくりの偽のメールやサイトで、IDやパスワードを入力させて盗む手口のことです。パスキーはこの手口に強いことが特徴です。

楽天証券のログイン画面には、2026年10月31日時点で「ID・パスワードでログイン」と並んで「パスキーでログイン」の入口があります。設定の手順は楽天証券のサイトの「パスキー認証について」の案内に沿って進めます。設定に使う画面は、偽のサイトを避けるため、必ず公式アプリかブックマークから開いたページを使います。

パスキーの仕組みや、iPhone、Android、Windowsでの設定のしかたを一から知りたい人は、パスキーとは｜仕組みをわかりやすく、iPhone・Android・Windowsでの設定方法 2026に詳しくまとめています。

問い合わせについて

2026年10月31日時点で、楽天証券の発表には、この件のための専用の問い合わせ窓口は書かれていません。電話番号や受付時間も発表には載っていません。この記事でも、楽天証券の通常の問い合わせ先をこの件の窓口として書くことはしません。

楽天証券は、影響が確認された客には個別に連絡すると書いています。今の段階では、その連絡を待つことが基本になります。専用の窓口が後から設けられた場合は、楽天証券のサイトの「お知らせ」に続報として載ると考えられるので、気になる人はそこを確かめます。

NTTデータの発表には、報道関係の問い合わせ先として広報部のメールアドレスが載っていますが、これは報道発表についての問い合わせ先で、楽天証券の客の個別の相談窓口としては書かれていません。楽天証券の客は、楽天証券からの連絡と楽天証券の発表を見て進めるのが確実です。

在宅で仕事をする人が気をつけたいこと

在宅で仕事をする人、フリーランスや個人事業主として働く人の中には、仕事で得たお金を楽天証券で運用している人もいます。こうした人にとって、証券口座のメールアドレスや電話番号は、仕事の連絡先と同じであることが少なくありません。仕事用と私用でメールアドレスを分けていない人は、楽天証券を装う偽のメールが仕事の受信箱に届き、取引先からの連絡と同じ流れで開いてしまうおそれがあります。

対策として、仕事の連絡と、証券口座や銀行などお金に関わるサービスの登録先のメールアドレスを分けておくと、偽の連絡に気づきやすくなります。お金に関わるサービスからのメールは、仕事の受信箱には届かないと決めておけば、仕事の受信箱に届いた「楽天証券」のメールはその時点で疑えます。

もう1つ、仕事で個人情報を預かる立場の人が知っておきたいことがあります。今回の件は、楽天証券が外部の会社に業務を任せ、その会社がさらに別の会社に任せた先で起きました。仕事で取引先の顧客リストや名簿を預かり、それを外部のクラウドサービスで管理している人も、同じ構造の中にいます。

個人情報保護委員会の漏えい等の対応とお役立ち資料によると、個人データの漏えい（そのおそれを含む）のうち、要配慮個人情報が含まれるもの、財産的被害が生じるおそれがあるもの、不正の目的をもって行われたおそれがあるもの、本人の数が1,000人を超えるものなどは、事業者に個人情報保護委員会への報告が義務付けられています。報告の期限は、まず速報を発覚日から3日から5日以内、次に確報を発覚日から30日以内とされ、不正な目的で行われたおそれがある場合の確報は発覚日から60日以内と案内されています。同じページには、委託先で起きた事例の記入例も用意されています。

仕事で預かった情報を外部のサービスで管理しているときに、そのサービスで漏えいが起きたら、自分や取引先が報告や本人への連絡をする立場になるかどうかは、契約の内容や情報の扱い方で変わります。個別の判断はこの記事では断定しないので、取引先との契約書の該当する条項を見るか、取引先の担当者や個人情報保護委員会の相談窓口に確かめてください。

社内や取引先と一緒に偽メールへの備えを固めたい場合は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドが参考になります。偽メールを見抜く力は、1人で気をつけるより、関わる人全員で同じ見分け方を持っているほうが強くなります。

委託先で起きる漏えいに備える習慣（運営者の視点）

フリーランスや在宅ワークの仲介を長く運営してきた立場から見ると、自分が登録したサービスの外側で起きる事故は、利用者からはほとんど見えません。今回も、楽天証券で社債を買った客の多くは、特典の手続きのために情報がNTTデータの委託先のシステムでも取り扱われていたことを、発表を読むまで知らなかったはずです。利用者にできることは、外側で起きる事故を防ぐことではなく、起きたときの影響を小さくしておくことです。

そのための習慣を、今回の件から引き出せる範囲で整理します。

特典やキャンペーンの申込で入力した情報は、何をどこに入力したかを簡単に記録しておく
お金に関わるサービスには、ほかで使っていないパスワードを使い、パスキーや二段階認証があれば設定する
お金に関わるサービスの登録用メールアドレスを、仕事や普段の連絡用と分ける
サービスからの連絡は、リンクを開かずに公式アプリかブックマークから自分で開いて確かめる
使わなくなったサービスや特典の会員登録は、退会して情報を削除してもらう

二段階認証は、パスワードに加えて、スマートフォンに届く確認コードなどもう1つの鍵を求める仕組みです。仕事で使うサービスにこの仕組みを入れる考え方と製品の違いは、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で比べています。

運営者として見てきた中でも、継続して仕事を任される人ほど、こうした小さな守りを習慣にしています。仲介の手数料が乗らない直接取引では、受け手の手取りが厚くなる一方で、取引先の情報や支払いのやり取りを自分で管理する比重も大きくなります。守りの知識を仕事に生かす道もあり、@SOHOのAI・マーケティング・セキュリティのお仕事では、在宅で受けられるセキュリティ関連の仕事の種類と探し方を紹介しています。

よくある質問

Q. 楽天証券の口座を持っている人は全員対象ですか？

対象ではありません。楽天証券の発表で対象とされているのは、楽天証券が販売したデジタル特典付き社債のうち、カゴメ第1回、西日本旅客鉄道第80回、近鉄グループホールディングス第135回（100万円以上購入）の3銘柄を買った一部の客、延べ362件です。この3銘柄を買っていなければ、口座を持っているだけでは対象に入りません。

Q. 楽天証券のパスワードを変える必要はありますか？

楽天証券の発表では、ログインに必要なID、パスワード、取引に必要な各種情報は漏えいした可能性がある情報に含まれていないとの報告を受けているとされています。今回の件の対応として変更は求められていませんが、ほかのサービスと同じパスワードを使っている場合は、使い回していないものに変え、パスキーを設定しておくと守りが固くなります。