楽天モバイル、支払い証明書が第三者に閲覧の可能性 自社診断で発見

楽天モバイルは2026年10月13日、「my 楽天モバイル」からダウンロードできる支払い証明書が、第三者に閲覧される可能性があったと公表しました。自社が実施した脆弱性診断テストで見つかったもので、すでに2026年6月20日に改修を終えています。

外部からの攻撃で情報が盗まれた、という発表ではありません。会社の点検で弱点が見つかり、直したうえで公表した、という内容です。この記事は、楽天モバイルの公表をもとに、起きたことと、自社の会員向けサービスで同じ不備がないかの点検を整理します。

何が起きたか

楽天モバイルの公表によると、第三者が特定のプログラムなどを使い、通常のサービス利用では行わない特殊な操作を意図的に行うことで、他人の支払い証明書を閲覧できる可能性がありました。

楽天モバイルは、楽天モバイルを装った不審な連絡に注意するよう、利用者に呼びかけています。報道では、現在の契約者だけでなく、過去に契約していた人も通知の対象とされています。

会社の対応

• 確認できる範囲の記録を調査し、第三者による閲覧や二次被害は確認されていないとしています
• すでに関係当局へ報告しています
• システムの定期点検やチェック体制の強化などで、再発防止に努めるとしています
• 本件の問い合わせ先として、電話 0800-600-6660(年中無休 9時から17時)を案内しています

自社の点検で見つけて直し、そのうえで公表する、という対応です。個人情報が実際に外部へ出たかどうかと、弱点があったかどうかは、分けて受け取る必要があります。

情シスの目線: 認可の不備は自社でも起こり得る

今回の「特殊な操作で他人の書類が見える」という問題は、Webサービスやアプリでよくある「認可の不備」にあたります。利用者を確認(認証)した後に、どのデータを見せてよいか(認可)の確認が足りないと、他人のデータが見えてしまいます。

たとえば、会員向けに請求書・明細・証明書をダウンロードさせる画面で、URLやリクエストの中の番号(利用者IDや書類の番号)を書き換えるだけで、他人の書類が取得できてしまう、という形です。番号が連番など推測しやすいと、大量に取得されるおそれもあります。

自社や委託先が、会員向けに書類をダウンロードさせる仕組みを持つなら、点検の対象です。公開アプリを手がかりにサーバを狙う攻撃もあり、公開アプリからサーバを狙う「A2B攻撃」の記事で、API側の認可の点検をまとめています。

影響する人・会社、しない人・会社

• 影響する: 「my 楽天モバイル」で支払い証明書をダウンロードできる利用者。現在の契約者と、過去に契約していた人が対象と報じられています。
• 影響する: 社員が楽天モバイルを使っている会社。楽天モバイルや楽天をかたる不審な連絡が、社員に届くおそれがあります。
• 影響しない(この件では): クレジットカードなどの金融情報と通話履歴。公表では、これらは含まれないとされています。
• 参考になる: 会員向けに書類や明細をダウンロードさせる仕組みを持つ会社。自社の認可の点検の機会になります。

会社・情シスが今日やること

1. 社員に注意喚起する。 楽天モバイルや楽天をかたる、不審なメール・SMS・電話に注意するよう伝えます。氏名・住所・電話番号・料金が知られていると、本物らしい文面の連絡が作られやすくなります。
2. 対象かどうかの確かめ方を伝える。 楽天モバイルからのお知らせやメールは、リンクをすぐ開かず、公式サイトや「my 楽天モバイル」から確かめるよう案内します。不明点は、本件の問い合わせ窓口(0800-600-6660)で確かめます。
3. 自社の会員向けサービスを点検する。 請求書・明細・証明書などをダウンロードさせる画面で、URLやリクエストの識別子を変えて、他人の書類にアクセスできないかを、開発担当か委託先に確かめます。
4. 脆弱性診断の予定を確かめる。 今回は自社の診断で見つかりました。自社のWebサービスやアプリで、定期的な脆弱性診断を行っているか、直近でいつ行ったかを確かめます。
5. 公表と報告の手順を確かめる。 個人データの漏えいのおそれがあるときの、個人情報保護委員会への報告と利用者への案内の手順を、1枚にまとめておきます。流れは個人情報保護委員会の資料にあります。

書かれていないこと

• 脆弱性の技術的な詳細(どの画面の、どのような不備か)
• 実際に第三者が閲覧した事実の有無(公表は「可能性」で、確認はされていないとしています)
• 対象となる利用者の件数
• 改修前に、どれだけの期間、閲覧の可能性がある状態だったか

2026年10月13日時点の内容です。