> JapanHacked_
[収束][深刻度：重大][設定不備]

楽天グループ：外部の営業管理クラウドの設定不備で、法人・個人事業主ら最大約148万件の情報が約5年間見られる状態に、海外からのアクセスを確認

楽天、楽天カード、楽天Edyが使う外部のクラウドの設定に不備があり、2016年1月から外から見られる状態だった。海外からのアクセスも確認した。

公表日

2020-12-25

関連組織数

3

漏洩件数（恐れを含む）

148.8万

1,487,771

停止期間

不明

何が起きたか

  1. この日から、グループが使う外部のクラウド型営業管理システムの設定に不備があり、外部の第三者が情報にアクセスできる状態になった。 [1] [4]

  2. 社外のセキュリティ専門家の指摘で、情報が外から見られる状態だったことが分かった。同じ日に社内の専門部署が対応を始めた。 [1] [4]

  3. システムの設定を直した。これ以降、外部の第三者からのアクセスは確認されていない。 [1]

  4. 公表した。 [1] [3]

影響

会社と情報
見られるおそれがあった件数
アクセスを確認
楽天：楽天市場への法人向け資料請求者と店舗情報（企業名、店舗名、住所、代表者名、担当者名、電話、FAX、メールアドレス、営業対応情報）
最大1,381,735
208
楽天カード：ビジネスローンの申込者（法人・事業主の名称と口座、代表者の氏名と住所と生年月日と運転免許証番号と個人口座、保証人、融資の希望など）
最大16,895
304
楽天Edy：故障した端末の残高移行サービス申込者（氏名、故障端末の電話番号、Edy番号など）
最大89,141
102
[1]

楽天カードの件数は、2021年1月26日の更新で15,415件から16,895件になった。対象の期間は、楽天とEdyが2016年1月15日から2020年11月24日と26日、楽天カードが2016年1月15日から11月26日まで。楽天カードの会員のカード情報は別のシステムで管理しており、影響はない。 [1] [3]

一部の情報に海外から第三者のアクセスがあった。情報が悪用されたなどの被害は確認されていない。個人情報保護委員会と各監督官庁に報告し、閲覧されたおそれのある法人・個人に知らせている。原因は、システムの提供元の設定の仕様をめぐるセキュリティ設定の不備で、提供元に詳しい情報を求めている。 [1]

経緯

  1. 発生 2016-01-15
  2. 検知 2020-11-24
  3. 公表 2020-12-25
  4. 1806日

攻撃・原因の概要

攻撃手法
[設定不備]
被害の種類
[情報漏洩]
侵入経路
不明・調査中

漏洩した（恐れのある）情報

[氏名][メールアドレス][電話番号][住所][生年月日][口座情報][勤務先・職歴]

関連組織

組織検索で表示

出典

  1. [1][公式発表]クラウド型営業管理システムへの社外の第三者によるアクセスについて楽天グループ · 2020-12-25
  2. [2][報道]楽天、クラウド設定にミス 5年間、外部閲覧可能に 148万件流出日本経済新聞 · 2020-12-27
  3. [3][報道]楽天グループのクラウド型営業管理システムに設定不備、社外からアクセス可能にScanNetSecurity · 2020-12-28 08:00
  4. [4][報道]クラウド設定ミスで顧客情報が流出 - 楽天グループ3社Security NEXT · 2020-12-28