サイバー犯罪フォーラムにおいて、「SELLING Rakuten Japan 101M」と題し、楽天会員のデータ約1億100万件を700ドルで販売するという投稿が確認されました。投稿者は「rakuten.co.jp database」であると主張しており、サンプルとして氏名、住所、電話番号、メールアドレス、生年月日、さらには楽天ポイントの残高や会員ランクといった詳細な情報が掲載されています。この大規模なデータ販売の主張は大きな波紋を呼んでいますが、現時点では販売されているデータの真正性については確認されていません。
楽天グループは本件に対し、「お問い合わせいただいたような情報漏えいが発生した事実は確認されていない」と回答しています。公開されたサンプルデータについても、該当するアカウント等は確認できないとしています。専門家の分析によれば、販売者が過去にも同様の虚偽投稿を行っていた点や、サンプルデータの構造が楽天の実際のデータベース仕様と単純すぎる点で異なっていることから、信憑性が低いとの見解も示されています。なお、別途発表された「楽天ドライブ」への不正アクセスについては、今回の件とは別の事象であるとされています。
今回の件は、現時点では「楽天から大規模な情報漏洩があった」と断定できる証拠はありません。しかし、サイバー攻撃の手口は巧妙化しており、情報の真偽が判明するまでは注意が必要です。楽天利用者は、楽天IDのパスワードを他のサービスと使い回していないか確認し、使い回している場合は速やかに変更することが推奨されます。また、楽天を装ったフィッシング詐欺や不審なメール、不審なログインには十分警戒してください。公式のセキュリティ案内に基づき、ログイン履歴の確認など自衛手段を講じることが重要です。