楽待に不正ログイン、最大3,450人分の個人情報を閲覧・取得―年収・自己資金・保有不動産情報も対象

不動産投資サイト「楽待」を運営する楽待株式会社は2026年10月19日、第三者による不正ログインが発生し、最大3,450名分の個人情報が閲覧・取得されたと公表しました。不正ログインが発生したのは10月9日から11日までの間で、一般会員最大160アカウントと加盟店7社のアカウントが対象です。加盟店の管理画面を通じて、物件の問い合わせや売却査定などを依頼した顧客の情報にも被害が及びました。

同社は、外部から入手されたメールアドレスとパスワードを悪用する「リスト型攻撃」が原因と推測しています。対象者の情報には、入力状況に応じて年収、自己資金、保有不動産といった資産情報も含まれます。

楽待の不正ログインと個人情報漏えいのサマリー

• 2026年10月19日、楽待株式会社が不正ログインと個人情報の閲覧・取得を公表しました。
• 不正ログインは10月9日から11日にかけて発生。一般会員は最大160アカウント、加盟店は7社が対象です。
• 7社のうち4社の加盟店アカウントから、問い合わせなどを行った顧客の個人情報が閲覧・取得されました。
• 顧客情報の影響範囲は最大3,450名分で、加盟店1社では問い合わせ一覧データのダウンロードが確認されています。
• 氏名、連絡先、年齢、職業のほか、登録・入力されていた場合は年収、自己資金、保有不動産、査定依頼物件の情報などが対象です。
• 同社は他サービスなどから取得された認証情報を使ったリスト型攻撃と推測しています。
• 10月15日にアクセス元の遮断と対象アカウントのパスワード無効化を実施し、加盟店管理画面に認証コードによる確認を追加しました。
• 10月19日時点で、対策後の新たな不正ログインや漏えい情報の不正利用などの二次被害は確認されていません。

不正ログインは会員最大160アカウントと加盟店7社で発生

同社の調査では、一般会員向けのログイン画面と加盟店向け管理画面の双方で不正ログインが確認されました。一般会員のアカウントでは、その会員が登録していたプロフィールやメッセージなどが閲覧・取得された可能性があります。

一方、加盟店では、不正ログインを受けた7社のうち4社で顧客に関する情報が閲覧・取得されています。これらは加盟店に物件の問い合わせ、売却査定、一括見積もりなどを依頼した人の情報です。1社では問い合わせ一覧のダウンロードも確認されました。

「最大3,450名分」は加盟店アカウントから閲覧・取得された顧客情報の対象人数の上限です。一般会員の最大160アカウントや加盟店7社という数字とは集計対象が異なります。楽待は各区分の人数に重複があると説明しており、単純に合算して漏えい人数を算出することはできません。

閲覧・取得された情報には年収、自己資金、保有不動産も

対象となる情報はアカウントの種類、閲覧された画面、利用者が入力した内容によって異なります。

年収や自己資金、保有不動産などは、利用者が登録・入力していた場合に限ります。全員について、これらの情報が取得されたという意味ではありません。

同社によると、クレジットカード情報は楽待では保有していません。また、運転免許証や源泉徴収票といった証明書類は取得されていないことを確認しています。

原因はリスト型攻撃と推測、サーバーやデータベースへの侵入は確認されず

楽待は、攻撃者が他のサービスなどから入手したメールアドレスとパスワードの組み合わせを使い、不正ログインを試みたと推測しています。これは、異なるサービスで同じパスワードを使い回している利用者を狙う「リスト型攻撃」と呼ばれる手口です。

リスト型攻撃では、攻撃対象のサービスそのものから認証情報を盗み出さなくても、他所で流出した認証情報が一致するとログインに成功する場合があります。類似する事例として、セキュリティ対策Labではヨネックス公式オンラインショップへのリスト型攻撃も取り上げています。

今回の調査で楽待は、自社サーバーやデータベースに侵入された事実を確認していません。また、不正ログインに使われたメールアドレス・パスワードが楽待から新たに流出した形跡も確認されていないと説明しています。

10月15日に遮断とパスワード無効化、加盟店の認証を強化

同社は10月15日、不正なアクセス元からの通信を遮断するとともに、不正ログインされた可能性があると特定したアカウントのパスワードを無効化しました。10月19日時点で、対策後の新たな不正ログインは確認されていません。

加盟店向け管理画面では、従来のメールアドレスとパスワードによる認証に加え、登録メールアドレスへ送信される認証コードの入力を求める方式へ変更しました。

また、個人情報保護委員会へ報告し、警察へ相談したとしています。対象者には10月19日から順次メールで連絡しますが、特定できない人や連絡先が確認できない人については、今回の公表を通知に代えるとしています。

資産情報の悪用による投資詐欺やなりすましに注意

今回の対象データには連絡先だけでなく、利用者が登録した資産情報、投資対象として関心を持つ物件、問い合わせや査定の内容が含まれる場合があります。このため、一般的な迷惑メールにとどまらず、本人の投資状況を把握しているように装った勧誘や詐欺連絡に利用されるリスクがあります。

想定されるのは、不動産会社や楽待の担当者を名乗る電話・メールによる偽の物件案内、査定手続きや契約更新を口実とした追加情報の取得、送金先変更の指示、偽サイトへの誘導などです。自宅住所や物件情報、資産状況を組み合わせた、より個別性の高い接触に悪用される可能性もあります。

これらは流出情報の性質から考えられる二次被害のリスクであり、今回の事件で該当する詐欺や脅迫が実際に起きたことを示すものではありません。楽待も10月19日時点で漏えい情報の不正利用などの二次被害を確認していないとしています。

会員・加盟店が確認する対策

対象として特定され、楽待から連絡を受けた会員・加盟店は、案内に従ってパスワードを再設定してください。同じパスワードを別のサイトで使っていた場合は、そちらも異なるパスワードへ変更します。登録メールアドレスのアカウントについても、多要素認証の利用状況を確認すると被害拡大の抑止につながります。

加盟店の担当者は、新たに追加されたメール認証コードを第三者へ伝えないよう注意してください。不審な電話などで認証コードを求められても応じず、公式サイトから手続きの真偽を確認する必要があります。

物件の問い合わせや査定を行った利用者は、過去の相談内容や投資予定に言及する連絡であっても、相手を直ちに信用しないことが必要です。金銭の振込先変更、個人情報の再入力、本人確認書類の送付を求める場合は、過去から把握している正規の連絡先を使って確認してください。個人情報の種類別の対処は個人情報漏えい時のリスクと対策でも整理しています。

情報システム部門への示唆―加盟店アカウント経由の顧客情報取得を想定

今回の事案では、一般会員の不正ログインに加え、加盟店アカウントから第三者の顧客情報が参照されました。加盟店の管理画面は業務上、一般会員画面より多くの個人情報にアクセスできる場合があります。認証情報が1組悪用された場合の影響を、管理画面の権限設計とデータ出力機能の両面から評価する必要があります。

企業の担当部門が確認したいのは、加盟店・代理店・取引先向けアカウントへの多要素認証の適用範囲、ログイン失敗や異常なアクセス元の検知、顧客一覧を大量に閲覧・ダウンロードした際のログ取得、アカウント単位の閲覧範囲とダウンロード権限です。パスワードの再設定だけでなく、正常な認証情報でログインされた後の操作も検知・調査できる状態を維持することが課題となります。

出典

• 不正ログインの発生と個人情報の漏えいに関するご報告（2026年10月19日）―楽待株式会社