原因公表 不正アクセス情報の漏えい

不動産投資サイト「楽待」でリスト型攻撃による不正ログイン、最大3,450名分の個人情報が閲覧・取得

このページの公開： ／ 最終更新： ／ 書いた人：インシデントレーダー編集部

この事件のまとめ

何が
楽待株式会社の不動産投資サイト「楽待」で、不正アクセス・情報の漏えい。
いつ
2026年10月19日に公表（発生・発覚は2026年10月9日）。
原因
公表：ID・パスワードの悪用。
影響
加盟店経由で閲覧・取得された問い合わせ者など（ほかに不正ログインされた会員最大160名・加盟店7社。人数には重複があり合計ではない）の情報、最大3,450件（漏えい確認）。

原因

原因公表 ID・パスワードの悪用

公式の発表での原因
外部で入手したメールアドレスとパスワードの組み合わせを使うリスト型攻撃によるものと推測している。サーバーやデータベースへの侵入は確認されていない。
侵入の入り口
会員向けのログイン画面と、加盟店向け管理画面のログイン画面

影響

人数・件数
最大3,450件（加盟店経由で閲覧・取得された問い合わせ者など（ほかに不正ログインされた会員最大160名・加盟店7社。人数には重複があり合計ではない））
情報の種類
氏名、メールアドレス、電話番号、住所、年齢・生年月日、職業、年収・自己資金・保有不動産などの資産情報、問い合わせ内容、会社名・代表者名・スタッフ情報、物件情報、不動産会社とのメッセージ
漏えい
漏えい確認
サービスの停止など
公表なし。加盟店向け管理画面のログインにメール認証コードを追加した。
二次被害
パスワードなど認証情報の変更や、漏えいした情報の不正利用などの二次被害は、現時点では確認されていない。

使っている人がすること

公式の発表で、利用者に呼びかけていることです。

  • 対象となった会員・加盟店は、2026年10月19日から順次届くメールの案内に沿って新しいパスワードを設定する
  • 楽待と同じメールアドレス・パスワードを他のサービスでも使っている場合は、双方でパスワードを変更し、サービスごとに別のものにする
  • 加盟店は、管理画面のログイン時にメールで届く認証コードの入力が必要になる。受信できないときは問い合わせ窓口に連絡する
  • 楽待や不動産会社を名乗る身に覚えのないメール・電話・SMSには応じず、URLや添付ファイルを開かない
  • 個人情報の入力や金銭の支払いを求められても応じない。認証コードは正規のログイン画面以外に入力したり他人に伝えたりしない

運営する側が確かめること

この事件の原因の種類について、一般に言われている基本の確かめ項目です（この事件の会社の対策を推測したものではありません）。

ID・パスワードの悪用

  • ログインの失敗の回数に上限を設ける（同じアカウント・同じ接続元からの続けての失敗）
  • 新しいパスワードを、よく使われるもの・漏えいが知られているものと照らし合わせて断る
  • 管理者や、権限の大きいアカウントには 2段階認証を必須にする
  • ふだんと違うログイン（新しい端末・国）を記録し、本人に知らせる

根拠の資料：NIST SP 800-63B（認証の指針）／OWASP ASVS

経過

  1. この日から10月11日にかけて、第三者による不正ログインが発生した。 ［出典s1］

  2. 不正なアクセス元からの通信を遮断し、対象と特定したアカウントのパスワードを無効化した。 ［出典s1］

  3. 不正ログインと個人情報の漏えいを公表した。個人情報保護委員会へ報告し、警察に相談。対象者へメールで順次連絡を開始した。 ［出典s1］

出典（公式の発表）

  1. ［s1］楽待「不正ログインの発生と個人情報の漏えいに関するご報告」（2026年10月19日）

この内容は2026年10月22日に公式の発表を確かめたものです。誤りに気づいたら訂正の申し出からお知らせください。

同じ原因の事件

ID・パスワードの悪用の事件をすべて見る →