ハッカーが楽天会員1億100万件の個人情報の販売を主張 – 真正性は未確認

2026年10月4日、サイバー犯罪フォーラム上で「SELLING Rakuten Japan 101M」と題し、楽天の会員情報とするデータ約1億100万件を販売する投稿が確認されました。

販売者はデータを「rakuten.co.jp database」と説明し、総レコード数を「101M」、販売価格を700ドルと記載しています。

投稿にはサンプルとして、氏名、メールアドレス、電話番号、住所、生年月日、会員ランク、楽天ポイント残高、最終ログイン日時などを含む複数行のデータが掲載されています。

セキュリティ対策Labがサンプル18件について楽天の公開情報と照合したところ、少なくとも楽天PointClubの会員ランクと「過去6カ月のランク対象ポイント数・獲得回数」の関係について、公開されているランク判定条件との明確な矛盾は確認できませんでした。

一方、2026年10月4日15時時点で、楽天グループから「1億100万件の会員情報が漏洩した」とする公式発表は確認されていません。

販売者がデータを楽天のシステムから直接窃取したことを示す証拠もなく、第三者サービス、過去に流通したデータ、複数ソースを統合したデータ、加工・生成されたデータである可能性も残ります。

現段階では「楽天から1億100万件が漏洩した」と断定できません。ただし、サンプルには楽天の公開仕様と整合する項目が複数含まれ、2026年9月から10月の最終ログイン日時を示すレコードも掲載されているため、真正性が確認されるまで楽天利用者は楽天を装ったフィッシングや不審なログインに注意した方がよい状況です。