何が起きた？

楽天ドライブは2026年10月6日、一部システムが第三者から不正アクセスを受け、利用者がクラウド上に保存していたデータが取得・閲覧されたことを発表した。

特に大きいのが、2026年1月29日から9月17日にかけて、1万5382アカウントについて「楽天ドライブ上に保存されたデータ」が対象になったことである。楽天は対象データについて「写真・文書等を含む」と説明している。

別の事象では、687アカウントのアカウント名や表示名など、313アカウントの暗号化されたパスワードなども対象となった。

今回の問題は、氏名やメールアドレスといった会員情報だけが漏れた事件ではない。利用者がクラウドに預けていたファイルそのものまで第三者からアクセスされた点にある。

簡単にいうと

楽天ドライブは、インターネット上に自分専用のデータ保管庫を持つようなサービスである。

そこには仕事の文書だけでなく、スマートフォンで撮影した写真や動画、家族の写真、個人的な書類など、利用者によってさまざまなデータを保存できる。

今回は、その「保管庫の中身」に第三者がアクセスしたことが確認された。

そのため、対象となった利用者がプライベートな写真などを保存していた場合、それらが第三者に閲覧されたり取得された可能性は否定できない。

ただし、楽天は「プライベート写真が実際に流出した」と発表しているわけではない。どの利用者のどのファイルが取得・閲覧されたのかは公表されておらず、ここは分けて考える必要がある。

プライベート写真まで見られた可能性は？

可能性はある。

楽天自身が今回の対象を「写真・文書等を含む保存データ」としているためである。

重要なのは、1万5382という数字がファイル数ではなく、対象となったアカウント数だという点である。

1つのアカウントに写真が数枚しか入っていなかった可能性もあれば、大量の写真や文書が保存されていた可能性もある。現時点では、実際に何ファイル、どの程度の容量のデータが取得・閲覧されたのかは明らかになっていない。

また楽天の発表は「取得・閲覧されたことを確認」としているが、すべての対象ファイルがコピーされたのか、一部が画面上などで閲覧されただけなのかについても詳細を公表していない。

したがって、「1万5382人分の全ファイルが流出した」と断定することはできない。一方で、「会員情報だけなので保存した写真は関係ない」と考えることもできない状況である。

暗号化されていたのになぜ見られた？

ここには大きな疑問が残る。

楽天ドライブは従来、アップロードされたファイルを暗号化して保存し、AES-256と呼ばれる方式を採用していると説明している。公式のセキュリティ説明では、サーバーがハッキングされた場合などでもファイルの中身を保護する仕組みとして紹介していた。

しかし今回、楽天は保存された写真や文書などについて「取得・閲覧された」と発表した。

これはAES-256そのものが破られたことを意味するわけではない。

クラウドサービスでは、正規の利用者が写真や文書を見るため、サービス側が保存データを復号して表示できる仕組みが必要になる。攻撃者が単に暗号化された保存領域を盗むのではなく、サービス内部の権限や正規の処理経路を悪用できれば、保存時の暗号化だけでは防げない場合がある。

今回、攻撃者は楽天ドライブの一部システムで使われていた「管理用アカウント」の認証情報を不正に取得して侵入したとされている。

ただし、この管理権限を使って具体的にどのように保存ファイルへアクセスしたのか、暗号化されたデータをどの段階で閲覧できたのかについて、楽天は詳しい仕組みを公表していない。

7月には「保存データへの不正アクセスは確認されていない」としていた

今回の発表でもう一つ注目されるのが、2026年7月に起きた別の問題との時系列である。

7月30日、楽天ドライブのアプリから「YOUR RAKUTEN DRIVE HACKED」などと表示される不審なプッシュ通知が送られる事象が発生した。

楽天はその後、この問題について「楽天ドライブに保存されたデータへの第三者による不正アクセスは現在確認されていない」と説明していた。

ところが今回判明した保存データへの不正アクセス期間は、1月29日から9月17日である。7月30日はこの期間内に含まれている。

ただし、7月の不審通知と今回の保存データへの不正アクセスが同じ攻撃者や同じ侵入経路によるものなのかは公表されていない。

当時の調査では保存データへのアクセスを確認できず、その後の調査によって新たに判明した可能性もある。現時点では両者を同一事件と断定することはできない。

何がまだ分かっていない？

今回の発表で最大の問題は、保存ファイルが対象になったことは分かったものの、その範囲がほとんど明らかになっていないことである。

楽天は、対象となった1万5382アカウントにはメールなどで個別に通知するとしている。一方で、どのファイルが対象になったのか、ファイルの総数や容量、全ファイルなのか一部なのか、実際に外部へコピーされたファイルがどの程度あるのかといった詳細は公表していない。

現時点では、この不正アクセスに起因する二次被害は確認されていないとしている。

しかし、二次被害が確認されていないことと、保存ファイルが取得されていないことは別の話である。楽天自身が、保存データについて「取得・閲覧されたことを確認」したと発表しているためである。

クラウドストレージでは、利用者によって保存している内容がまったく異なる。そのため今回の1万5382アカウントについては、単純な「個人情報○万件流出」という数字だけでは被害の重さを判断できない。

プライベートな写真や重要な文書を保存していた利用者にとっては、「自分のどのファイルが第三者に見られたのか」が最も知りたい情報である。今後、楽天がそこまで特定して利用者へ説明できるのかが大きな焦点となる。

情報源

• 楽天ドライブ「『楽天ドライブ』における不正アクセスの発生について」
• 楽天ドライブ「（更新）楽天ドライブからの不審な通知を開かないでください」
• 楽天ドライブ「ストレージと転送に対する強力なセキュリティ」
• INTERNET Watch「『楽天ドライブ』、不正アクセスにより約1.5万アカウントのデータなどが漏えい」

The post 楽天ドライブ1万5382アカウント、不正アクセスで「保存ファイル」まで取得・閲覧　プライベート写真も流出した可能性は？ first appeared on 世界一わかりやすいニュースAI解説.

何が起きた？

2026年10月6日、古川俊治デジタル相は記者会見で、企業や行政機関を狙った不正アクセスによる個人情報流出が相次いでいるとして、国民に自己防衛を呼び掛けた。

特に注目を集めたのが、「自分の情報は自分で守る」という趣旨の発言である。

古川氏は、サイバー攻撃について「企業や組織だけの問題ではない」としたうえで、国民一人一人の対策も被害防止につながると説明した。

具体的には、パスワードを使い回さない、多要素認証を利用する、不審なメールやSNSのメッセージに注意するという3つの対策を挙げた。

ただし今回問題になっているのは、個人が怪しいサイトにパスワードを入力したという話ではない。

企業側のシステムが攻撃され、そこに預けていた顧客情報が外部へ流出する事件が相次いでいるのである。

このため、「企業が漏らした情報を、利用者はどうやって自分で守ればいいのか」という疑問が生じている。

簡単にいうと

古川氏が挙げた対策自体は間違っていない。

しかし、これらは主に情報が漏れた後の二次被害を防ぐ方法である。

たとえば、ある会社からメールアドレスとパスワードが漏れても、別のサービスで違うパスワードを使っていれば、同じ情報を使った不正ログインを防ぎやすい。

多要素認証を設定していれば、攻撃者がIDとパスワードを手に入れてもログインを阻止できる可能性が高まる。

不審なメールに注意することも、漏れた氏名やメールアドレスを利用したフィッシング詐欺への対策になる。

だが、企業のデータベースに保存された住所や電話番号、運転免許証画像そのものを盗まれないようにすることは、利用者にはほぼできない。

そこには大きな違いがある。

「自分で守れる情報」と「自分では守れない情報」がある

たとえばタイムズカーでは2026年9月、Webシステムが外部から不正アクセスを受け、約660万アカウントの情報が第三者に取得された。

氏名、住所、生年月日、電話番号、メールアドレス、免許情報などが対象となり、約160万アカウントでは運転免許証画像などの本人確認書類の流出も確認された。

このケースで、利用者が非常に強いパスワードを設定していたとしても、自分の免許証画像が企業のサーバーから盗まれることを防ぐことはできない。

多要素認証も同じである。

多要素認証は「他人が自分のアカウントにログインする」のを防ぐ仕組みであり、企業内部の顧客データを保存したシステムそのものが侵入された場合に、利用者側からそのデータを守る仕組みではない。

つまり、

企業から情報が流出することを防ぐ責任

と、

流出した情報を使った二次被害から自分を守ること

は別の問題なのである。

古川氏の説明は、この2つを十分に分けずに語ったため、「企業が漏らしても最後は本人の責任」と受け取られかねない形になった。

「自分の情報は自分で守って」は切り取りだった？

完全な切り取りだったとは言いにくい。

10月6日夜の時点で、デジタル庁は会見動画を公開しているものの、公式の会見要旨はまだ公開していない。

一方、会見内容を詳しく伝えた報道を確認すると、「自分の情報は自分で守る」という話は、記者から強引に引き出された一言ではない。

古川氏は会見冒頭から個人情報流出問題を取り上げ、パスワードの使い回し防止、多要素認証、フィッシングへの警戒を説明し、その流れで国民に「自分の情報は自分で守る」という意識を求めている。

その後の質疑では、政府として国家サイバー統括室を中心に関係省庁や企業と連携して対応するとも説明している。

したがって、「政府は何もしないから自分で守れ」と言ったわけではない。

しかし、問題の言葉そのものが前後を無視して作られたわけでもない。

なぜこれほど違和感のある発言になった？

最大の問題は、説明する順番である。

今回のような企業へのサイバー攻撃で最初に説明すべきなのは、企業が預かった個人情報をどう守るのか、政府が企業に何を求めるのかという部分である。

個人情報保護法でも、個人データを扱う企業には、漏えいや紛失などを防ぐための必要かつ適切な安全管理措置を講じることが求められている。

外部企業へ個人データの取扱いを委託する場合にも、委託元には委託先を適切に監督することが求められる。

経済産業省のサイバーセキュリティ経営ガイドラインも、サイバーセキュリティを経営者が主体的に取り組むべき経営上の問題として位置付けている。

つまり国の制度そのものが、企業側にも明確な責任があるという前提で作られている。

それなら大臣の説明も、

「まず企業が個人情報を守る責任を果たす。政府も企業の対策強化を進める。そのうえで、万一情報が漏れた場合の二次被害を防ぐため、国民にも協力してほしい」

という順番にすれば意味は大きく変わったはずである。

ところが実際には、「サイバー攻撃は企業だけの問題ではない」「自分の情報は自分で守る」という強い言葉が前面に出た。

正しい個人向け対策を説明していたとしても、企業側の責任より先に自己防衛を強調すれば、被害を受ける側に責任を移しているように聞こえる。

ここに今回の発言の大きなズレがある。

個人にできるのは「流出を防ぐこと」ではなく「被害を広げないこと」

結局、利用者ができることには限界がある。

パスワードをサービスごとに変える、多要素認証を設定する、漏えい発覚後はパスワードを変更する、不審なメールや電話を疑うといった対策には意味がある。

しかし、それらをすべて実行していても、企業が保管している氏名、住所、電話番号、生年月日、免許証画像などを企業のサーバーから盗まれることまでは防げない。

だからこそ、今回の発言は「自分で守れ」という言葉だけでは説明不足なのである。

国民に求められるのは、企業からの情報流出そのものを防ぐことではない。

企業と政府には「漏らさないための対策」が求められ、個人には「漏れてしまった後に被害を広げない対策」が求められる。

この違いを最初にはっきり示さなかったことが、「自分の情報は自分で守って」という発言への違和感につながっている。

今回露呈したのは、個人向けのセキュリティ対策が間違っていることではなく、誰が何を守る責任を持つのかを分けて伝える説明の弱さである。

情報源

• デジタル庁「古川大臣記者会見（令和8年10月6日）」
• 時事通信「『自分の情報は自分で守って』＝不正アクセス頻発でデジタル相」
• 事業構想オンライン「【10月6日古川俊治デジタル大臣会見要旨】相次ぐ情報流出に3つの対策　AI法見直しへ新WG」
• パーク２４「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）」
• パーク２４「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第3報）」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドラインに関するQ&A」
• 経済産業省「サイバーセキュリティ経営ガイドライン」

The post 古川デジタル相「自分の情報は自分で守って」　企業が漏らした個人情報を本人は守れるのか？ first appeared on 世界一わかりやすいニュースAI解説.