楽待への不正アクセス（リスト型攻撃により最大3,450人分の個人情報閲覧・取得）
公表日
不動産投資サイト「楽待」において第三者による不正ログインが発生し、会員や加盟店を通じて最大3,450人分の個人情報が閲覧・取得された可能性があります。
対象者は？
「楽待」を利用する一般会員（最大160名）および、不正ログインを受けた加盟店（4社）に対して物件の問い合わせや売却査定・一括見積もりを依頼した顧客（最大3,450名）。クレジットカード情報や本人確認書類（運転免許証・源泉徴収票など）の流出はありません。
対象と判明した利用者に対しては、2026年10月19日より運営会社から順次メールで個別に連絡が行われています。
いますぐできること
- 「楽待」に登録しているパスワードと同じものを他サービスでも使い回している場合は、速やかに他サービスのパスワードを変更してください。
- 不動産投資や売却査定に関連する不審な電話、メール、SMSなどの連絡に注意し、身に覚えのない要求には応じないようにしてください。
何が起きたのか
2026年10月9日から11日にかけて、不動産投資サイト「楽待」の会員向けログイン画面および加盟店向け管理画面に対して第三者による不正ログインが行われました。その結果、一般会員最大160名と加盟店7社のアカウントが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けました。さらに、不正ログインされた加盟店のうち4社のアカウントを経由して、問い合わせや見積もりを依頼した顧客の個人情報（氏名、連絡先、資産情報など）が最大3,450名分閲覧・取得されました。
なぜ起きたのか・なぜ広がったのか
他サービスなどから不正に取得されたメールアドレスとパスワードの組み合わせを悪用した「リスト型攻撃」が行われたと推測されています。楽待のサーバーやデータベースへの直接の侵入は確認されていませんが、加盟店向け管理画面で顧客の問い合わせ一覧などを閲覧・ダウンロードできる状態だったため、加盟店アカウントを経由して顧客情報へ影響が広がりました。
いまの状況2026-10-19 時点
運営会社は2026年10月15日に不正なアクセス元からの通信を遮断し、対象アカウントのパスワードを無効化しました。また、加盟店管理画面に登録メールアドレスへの認証コード入力を必須化する強化策を実施しました。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。と警察への相談を行い、対象者へ順次メールで連絡を進めています。公表時点で認証情報の改ざんや二次被害は確認されていません。
企業として考えたいこと
自社が提供する事業者向け・加盟店向けの管理画面で、多要素認証の導入や、顧客情報の一括ダウンロードに対する制限・監視が行われているでしょうか？
技術的な要約
楽待株式会社が運営する不動産投資サイト「楽待」において、2026年10月9日から10月11日にかけて第三者による不正ログインが発生した。調査の結果、自社サーバーやデータベースへの侵入は確認されておらず、外部から不正取得された認証情報を用いたリスト型攻撃と推測されている。この不正ログインにより、一般会員最大160名および加盟店7社のアカウントが対象となり、加盟店アカウントを経由して最大3,450名分の個人情報が閲覧・取得された。同社は2026年10月15日に不正通信の遮断やパスワード無効化、加盟店管理画面の認証強化を実施し、個人情報保護委員会への報告および警察への相談を行った。
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認第三者が外部から取得したメールアドレスとパスワードの組み合わせを用いたリスト型攻撃と推測。サーバーやデータベースへの侵入は確認されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし
- データ
- 確定上限 3,450確定 —人氏名メール電話住所生年月日その他不正ログインされた加盟店4社から問い合わせや売却査定・一括見積もりを依頼した顧客の個人情報が最大3,450名分閲覧・取得された（うち1社で問い合わせ一覧のダウンロードを確認）。その他、会員最大160名分および加盟店7社のアカウント情報（資産情報、職業、物件情報、メッセージ等）も対象。クレジットカード情報や証明書類（免許証・源泉徴収票等）の流出はない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-10-09
- 2026-10-11
- 2026-10-15
- 2026-10-15
- 2026-10-15
- 2026-10-19
- 2026-10-19
- 2026-10-19不正ログインの対象と判明した利用者に対し、順次メールでの個別連絡を開始1
技術解説
不正ログインの発生と漏えい被害の経緯 事実
2026年10月9日から10月11日にかけて、楽待株式会社が運営する不動産投資サイト「楽待」の会員向けログイン画面および加盟店向け管理画面に対して、第三者による不正ログインが発生した。同社の調査によると、自社サーバーやデータベースへの侵入は確認されておらず、外部から取得された認証情報を用いたリスト型攻撃と推測されている。この不正ログインにより、一般会員最大160名および加盟店7社のアカウントが不正アクセスを受けた。さらに、不正ログインされた加盟店7社のうち4社のアカウントを経由して、物件の問い合わせや売却査定・一括見積もりを依頼した顧客の個人情報が最大3,450名分閲覧・取得された。うち1社では問い合わせ一覧データのダウンロードが確認された。閲覧・取得された情報には氏名、連絡先のほか、登録状況に応じて年収や保有不動産等の資産情報が含まれる。クレジットカード情報は同社で非保有であり、運転免許証や源泉徴収票等の証明書類は取得されていないことが確認されている。
加盟店アカウントを中継点とする情報漏えいリスク 解釈
本事案における被害拡大の主因は、加盟店管理画面のアカウントが不正ログインされたことにある。一般会員のアカウント侵害では本人の登録情報閲覧にとどまるが、不動産会社などの加盟店アカウントは多数の見込み顧客から寄せられた問い合わせや査定依頼を一元的に管理・閲覧できる権限を有していた。そのため、不正ログインされた加盟店はわずか4社であったにもかかわらず、最大3,450名分という広範な顧客個人情報が閲覧・取得される事態に至った。特に1社では問い合わせ一覧のダウンロードまで実行されており、管理画面に一括エクスポート機能が存在していたことが大量データ取得を容易にしたと考えられる。BtoBtoC型プラットフォームにおいては、加盟店・事業者アカウントの侵害がエンドユーザーへの重大な情報漏えい直結リスクとなる構造的脆弱性が示されている。
認証防御設計と事後対応の評価 解釈
攻撃手法として推測されるリスト型攻撃（クレデンシャルスタッフィング）は、利用者が他サービスと同一のパスワードを使い回している場合に極めて高い成功率を持つ。楽待では事案発生まで加盟店管理画面を含めてメール認証コード等の多要素認証が必須化されていなかったとみられ、パスワード認証のみに依存していた点が防御上の弱点となった。一方で、同社は10月15日に不正アクセス元の遮断、対象アカウントのパスワード無効化、および加盟店管理画面への認証コード導入といった緊急対策を迅速に実施している。また、10月19日の公表時点で個人情報保護委員会への報告、警察への相談、対象利用者への個別連絡着手を公表しており、初動での封じ込めと二次被害防止に向けた対応は段階的に進められたと評価できる。
対応
- 封じ込め
- 2026年10月15日に不正アクセス元からの通信を遮断し、対象アカウントのパスワードを無効化した。また加盟店向け管理画面において、従来の認証に加え登録メールアドレス宛に届く認証コードの入力を求めるログイン認証強化を実施した。
- 公表の仕方
- 2026年10月19日に「不正ログインの発生と個人情報の漏えいに関するご報告」を公表し、対象と判明した利用者へ同日より順次メールで連絡を行った。
- 当局対応
- 個人情報保護委員会
- 警察
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 事業者・管理画面における多要素認証（MFA）の義務化 | 管理画面のログインフローにTOTPやメール／SMSによるワンタイムパスワード、WebAuthnなどの多要素認証（MFA）を実装し、パスワード漏洩時にも不正ログインを防止する。 |
| リスト型攻撃に対応したログインレート制限と検知機構の導入 | WAFやBot対策ソリューションを活用し、IPアドレスやユーザー単位でのレートリミット、CAPTCHAの導入、通常と異なる振る舞い（普段と異なる地域やデバイス）に対するログイン拒否や追加認証を自動適用する。 |
| 顧客情報一覧のダウンロード制限とログ監査体制の整備 | CSV等での一括ダウンロード機能に対して管理者承認や再認証を求めるとともに、一括エクスポート実行ログを監視し、短時間でのダウンロードや異常な取得を即座にアラート発報する仕組みを構築する。 |
| アカウント侵害時の迅速なパスワードリセットと利用者周知 | 不正ログインの痕跡を検知したアカウントに対して自動または手動でセッション切断およびパスワードリセットを実施し、利用者に対して同一パスワードの使い回し防止を啓発する案内を送信する。 |
自組織などでの確認項目
- 自社が運用する事業者・管理者向け管理画面において、多要素認証（MFA）は必須化されているか？
- 短時間での連続ログイン試行や分散IPからのログイン試行を検知し、自動的に遮断するレート制限やBot対策が導入されているか？
- 管理画面から顧客個人情報を一括ダウンロードする機能に対し、操作権限の制限や異常検知・アラート通知の仕組みが設けられているか？
未解明点
- 2026年10月9日から11日にかけての不正ログイン発生から、10月15日のアクセス元遮断およびパスワード無効化に至るまでの検知契機と調査のタイムラインの詳細
出典
- 1楽待株式会社2026-10-19公式本文確認済
- 2楽待株式会社2026-10-19公式本文確認済
- 3セキュリティ対策Lab2026-10-20報道本文確認済