4年前のデータがなぜ業務PCに？　楽天ブックスで3万3333件の個人情報を巻き込む不正アクセス

楽天ブックスネットワークが不正アクセス被害を公表した。閲覧された可能性がある顧客情報約3万件は、いずれも2022年と2023年の配送データだった。役目を終えたはずの古いデータがなぜ業務PCに残っていたのか、資産管理の観点から読み解く。

公開 2026年08月28日 07時00分

[キーマンズネット]

印刷する連載新着通知を受け取る

　楽天ブックスネットワークは2026年8月21日、社内で使う一部のPCが不正アクセスを受け、端末内に保存されていた個人情報が第三者に閲覧された可能性があると公表した。対象には、楽天ブックスの配送業務に関わる顧客情報3万3333件が含まれる。注目すべきは、その多くが2022年と2023年の特定の数日間の注文に伴う配送先情報、つまり数年前の古いデータだったことだ。

何が起きたか

　同社の説明によると、不正アクセスを検知したのは2026年4月5日。社外の第三者が一部のPCに不正アクセスした痕跡を確認し、直ちに対象端末をネットワークから隔離して、外部の専門機関とともに調査を進めてきた。公表はそこから約4カ月半後になる。

　調査の結果、対象PCには、従業員339件（氏名、業務用メールアドレス、電話番号、生年月日）と取引先担当者2101件（氏名、メールアドレス、電話番号）の情報に加え、楽天グループが運営する楽天ブックスの配送業務に関連する顧客情報3万3333件（氏名、郵便番号、住所、電話番号）が保存されていたことが判明した。同社は現時点で「各情報が漏えいしたという事実は確認されていない」としている。

被害範囲を広げた数年前のデータ

　ここで見落とせないのが、顧客情報の中身だ。3万件を超える配送先情報は、2022年5月18〜19日と2023年12月19〜21日という、特定の数日間の注文に含まれていたものだった。2026年8月から見れば、古いものは4年余り前、新しいものでも2年半以上前のデータになる。

　不正アクセスを受けたのはPCであって、この古いデータそのものが侵入を招いたわけではない。ただ、もし役目を終えた配送データが端末に残っていなければ、今回のインシデントで「閲覧された可能性がある」とされた個人情報が3万件規模まで膨らむことはなかったかもしれない。

手掛かりは「特定の数日分」だけ残っていたこと

　なぜ2〜4年前の配送データが業務PCに保存されたままだったのか、具体的な理由は今回の発表には含まれていない。ただ、残っていたのが2022年5月と2023年12月の特定の数日間の注文に限られる点は、1つの手掛かりになる。

　日常的に扱うデータであれば、もっと広い期間の注文が端末に残っていてもおかしくない。特定の期間だけが飛び石のように残っていたことは、通常の業務フローや削除の運用から外れたまま、そのデータが端末に取り残されていた可能性をうかがわせる。

　あくまでも推測の域を出ないが、管理から漏れたPCに、古いデータが眠っていた可能性がある。一般に、個人情報を含むデータは利用目的を終えた時点で消去または匿名化することが望ましいとされ、多くの企業は保存期間を定めている。だが、担当者の異動や端末の入れ替え、一時的な作業のために手元へ落としたファイルは、管理台帳や棚卸しの網から漏れやすい。そして、管理の視界から外れた端末やデータこそ、侵入を受けたときに想定外の被害を生む。

端末とデータ、2つの棚卸し

　セキュリティ対策では侵入をどう防ぐかに関心が集まりやすいが、今回の事案は別の側面も示している。

　1つは、どのデータをどこまで保持するかというデータ管理の観点だ。保存期間の設定や利用後の消去、そもそも個人情報を含む生データを個々の端末に置かせない運用が、いざというときの被害範囲を左右する。

　もう1つは、どの端末に何が入っているかというIT資産管理の観点だ。全社の端末に保存されたファイルを企業が把握できていれば、管理から外れた端末や不要なデータの滞留を早期に見つけて消去や隔離を進めやすい。逆に、端末内が中身の見えないブラックボックスであれば、侵入を受けたときに何が漏れうるのかを即座に把握することさえ難しくなる。今回のように、どの端末に古いデータが残っているかを把握しきれていない状態は、その端末が事実上の「管理外」に置かれていることと変わらない。

　攻撃対象領域（アタックサーフェス）という言葉があるが、それは外部に開いた入り口だけを指すのではない。端末に蓄積された不要なデータもまた、攻撃者が持ち出せる情報を増やすことにつながる。

　楽天ブックスネットワークは対象PCのネットワーク隔離、外部専門機関と連携した調査を実施し、再発防止策としてセキュリティ対策の強化を挙げている。

　セキュリティ対策では、いかに侵入を防ぐかに関心が集まりやすい。だが今回の事例では、閲覧された可能性がある個人情報の規模を押し上げたのは、業務PCに残っていた2～4年前の配送データだった。侵入自体ではなく、その端末に何が残っていたかが、被害の大きさを決めたといえる。

印刷する