楽天ブックスネットワーク、PCへの不正アクセスを確認で楽天ブックス配送先情報3万3,333件を保存、情報漏洩は確認されず

楽天ブックスネットワーク株式会社は2026年8月21日、同社が使用する一部のPC端末に対して、社外の第三者による不正アクセスがあったと公表しました。

不正アクセスを検知したのは4月5日で、同社は対象PCをネットワークから隔離し、外部専門機関とともに調査を開始しました。調査の結果、対象PC内には同社従業員や取引先担当者の情報に加え、楽天グループ株式会社が運営する「楽天ブックス」の配送業務に関連する顧客情報3万3,333件が保存されていたことが判明しています。

ただし、楽天ブックスネットワークは、これまでの調査でこれらの情報が漏えいした事実は確認されていないとしています。楽天ブックスのシステム自体が不正アクセスを受けたとも公表されていません。

顧客情報は2022年5月18日から19日、2023年12月19日から21日までの楽天ブックス注文データに含まれていた配送先情報で、氏名、郵便番号、住所、電話番号が対象です。クレジットカード番号などの金融情報は含まれていません。

楽天ブックスネットワークの不正アクセスのサマリー

• 【確認済み】楽天ブックスネットワークは2026年4月5日、一部のPC端末に対する社外の第三者からの不正アクセスを検知しました。
• 【確認済み】検知後、対象PCをネットワークから隔離し、外部専門機関とともに調査を開始しました。
• 【確認済み】対象PCには「楽天ブックス」の配送業務に関連する顧客情報3万3,333件が保存されていました。
• 【確認済み】顧客情報は氏名、郵便番号、住所、電話番号です。
• 【確認済み】対象は2022年5月18日～19日、2023年12月19日～21日の楽天ブックス注文データに含まれていた配送先情報です。
• 【確認済み】クレジットカード番号などの金融情報は含まれていません。
• 【確認済み】対象PCには取引先担当者の連絡先情報2,101件、楽天ブックスネットワーク従業員情報339件も保存されていました。
• 【確認済み】8月21日時点までの調査では、これらの情報が漏えいした事実は確認されていません。
• 【確認済み】本件に起因すると考えられる二次被害も確認されていません。
• 【確認済み】個人情報保護委員会への報告を実施しています。
• 【確認できず】不正アクセスの侵入経路、原因、攻撃手法は公表されていません。
• 【確認できず】ランサムウェアやマルウェアの使用、攻撃者・脅威アクター、IOCは公表されていません。
• 【確認できず】警察への相談・被害申告については公表資料から確認できませんでした。
• 【確認できず】楽天ブックスの配送先データが対象PCへ保存されていた理由や保存期間のルールは公表されていません。

項目	内容
公表日	2026年8月21日
不正アクセス検知日	2026年4月5日
対象組織	楽天ブックスネットワーク株式会社
インシデント	一部PC端末への社外第三者による不正アクセス
対象端末	同社が使用する一部PC端末
侵入経路	確認できませんでした
原因	確認できませんでした
楽天ブックス顧客情報	33,333件
取引先担当者情報	2,101件
従業員情報	339件
情報漏えい	8月21日時点で漏えいした事実は確認されていません
クレジットカード情報	対象に含まれていません
二次被害	8月21日時点で確認されていません
対応	対象PCのネットワーク隔離、外部専門機関による調査、セキュリティ対策強化など
個人情報保護委員会への報告	実施済み
対象者への通知	顧客、取引先担当者、従業員へメールで通知
警察への相談・申告	公表資料では確認できませんでした

4月5日に一部PCへの不正アクセスを検知

楽天ブックスネットワークによると、2026年4月5日、同社が使用する一部のPC端末で社外の第三者による不正アクセスを検知しました。

同社は直ちに対象PCをネットワークから隔離し、外部専門機関とともに調査を開始しています。

8月21日の公表では、不正アクセスの具体的な侵入経路や原因は明らかにされていません。

リモートアクセス機能の悪用、認証情報の窃取、脆弱性の悪用、マルウェア感染など、PC端末への不正アクセスには複数の手法がありますが、本件でどの手法が使われたかは確認できません。

また、ランサムウェアによる暗号化や身代金要求、マルウェアの検知、特定の攻撃グループによる犯行声明なども公表されていません。

そのため、本件をランサムウェア攻撃や特定の脅威アクターによる攻撃と位置づける根拠はありません。

楽天ブックスの配送先情報3万3,333件がPC内に保存

調査の結果、不正アクセスを受けた一部PC端末内には、楽天グループが運営する「楽天ブックス」の配送業務に関連する顧客情報3万3,333件が保存されていたことが判明しました。

対象となる情報は次の4項目です。

• 氏名
• 郵便番号
• 住所
• 電話番号

対象データは、2022年5月18日から19日までと、2023年12月19日から21日までの楽天ブックス注文データに含まれていた配送先情報です。

クレジットカード番号などの金融情報は含まれていません。

今回不正アクセスを受けたのは楽天ブックスネットワークのPC端末であり、楽天ブックスのECサイトや楽天グループのシステム自体への不正アクセスが確認されたとは発表されていません。

「楽天ブックスの顧客情報が対象PCに保存されていた」ことと、「楽天ブックスのシステムが侵害された」ことは分けて考える必要があります。

取引先2,101件、従業員339件の情報も保存

対象PCには楽天ブックスの配送先情報だけでなく、取引先担当者と楽天ブックスネットワーク従業員の情報も保存されていました。

対象	件数	保存されていた情報
楽天ブックス利用者の一部	33,333件	氏名、郵便番号、住所、電話番号
取引先担当者	2,101件	氏名、メールアドレス、電話番号
楽天ブックスネットワーク従業員	339件	氏名、業務用メールアドレス、電話番号、生年月日

3区分の件数を単純に合算すると3万5,773件になりますが、楽天ブックスネットワークは合計件数を公表していません。

対象者間の重複有無も公表資料から確認できないため、本記事では3万5,773件を「漏えい件数」や「対象人数」として扱いません。

「PCに保存されていた」と「漏えいした」は別

今回の公表で特に注意したいのが、3万3,333件という数字の扱いです。

楽天ブックスネットワークが確認したのは、不正アクセスを受けたPC端末内に3万3,333件の楽天ブックス配送先情報が保存されていたという事実です。

同社は「これまでの調査では上記の各情報が漏えいしたという事実は確認されておりません」と説明しています。

したがって、

「楽天ブックスの個人情報3万3,333件が漏えいした」

と表現するのは現時点では不正確です。

また、公表資料では第三者が個々のファイルを実際に閲覧したのか、コピーしたのか、外部へ送信したのかについて具体的な調査結果は示されていません。

情報漏えいが確認されていないことと、不正アクセスを受けた端末に個人情報が存在していたことを分けて整理する必要があります。

2022年・2023年の注文データが2026年の対象PCに残存

情報システム部門の観点で注目したいのが、対象となった配送先情報の保存時期です。

対象データは2022年5月と2023年12月の注文情報です。

不正アクセスが検知されたのは2026年4月5日であるため、少なくともその時点で、過去の注文に由来する配送先情報が一部PC端末内に保存されていました。

楽天ブックスネットワークは、これらのデータがPCへ保存されていた業務上の理由、保存開始時期、保存期限、削除ルールについて公表していません。

そのため、「不要なデータを放置していた」と断定することはできません。

一方、端末が侵害された場合の影響範囲を抑えるには、PCへ保存する個人情報を必要最小限にし、業務上の必要性がなくなったデータを適切に削除するデータライフサイクル管理が重要になります。

今回の事案は、サーバーやクラウドだけでなく、従業員が利用するエンドポイントにどの程度の過去データが残っているかを確認する必要性を示しています。

クレジットカード番号などの金融情報は含まれず

楽天ブックスネットワークは、対象となった楽天ブックスの顧客情報について、クレジットカード番号などの金融情報は含まれていないと明記しています。

そのため、今回の公表内容からクレジットカード情報の漏えいリスクを示す根拠はありません。

一方、氏名、住所、電話番号といった配送先情報は、本人になりすました電話やSMS、宅配・通販サービスを装ったフィッシングなどに悪用される可能性があります。

ただし、こうした二次被害が実際に確認されているわけではありません。

楽天ブックスネットワークも、8月21日時点では本件に起因すると考えられる二次被害は確認されていないとしています。

楽天や楽天ブックスを装う電話・メール・SMSに注意

楽天ブックスネットワークは、対象者に対し、同社や楽天グループを装った不審な電話、メール、SMSなどに注意するよう呼びかけています。

仮に配送先情報や連絡先情報が第三者へ取得されていた場合、今後想定されるリスクには次のようなものがあります。

• 楽天や楽天ブックスを装ったフィッシングメール
• 配送業者や宅配通知を装ったSMS
• 注文・返品・返金を装った電話
• 氏名や住所を把握したうえで行われるソーシャルエンジニアリング
• 取引先担当者を装ったなりすましメール
• 従業員情報を利用した標的型メール

これらは現時点で確認された被害ではなく、対象情報の種類から今後想定される二次被害です。

個人情報保護委員会へ報告、対象者へメール通知

楽天ブックスネットワークは、本件について個人情報保護委員会へ報告しています。

また、同社サイトでの公表に加え、対象となる顧客、取引先担当者、従業員へメールで通知しています。

一方、警察への相談や被害申告については8月21日の公表資料に記載がなく、確認できませんでした。

同社は対象PCのネットワーク隔離、外部専門機関と連携した調査に加え、セキュリティ対策の強化など再発防止に向けた継続的な対応を進めるとしています。

具体的な再発防止策や技術的な原因については公表されていません。

楽天ブックスネットワークは出版物の取次販売を展開

楽天ブックスネットワークの公式サイトによると、同社は書籍・雑誌・教科書など出版物の取次販売を事業とし、関西・関東などに流通センターを設けています。

同社のサービスページでは、関西流通センターに30万点・200万冊を備え、書店向けの受注に対応していると説明しています。

今回の公表では、楽天ブックスの配送業務に関連する顧客情報が一部PCに保存されていたことが明らかになりました。

ただし、不正アクセスによって楽天ブックスの商品配送や販売サービスに障害が発生したとの発表はありません。

EC・物流では「配送に必要なデータ」がサプライチェーン上を移動する

ECサービスでは、注文を受け付けるシステムだけで個人情報の取り扱いが完結するとは限りません。

商品の保管、出荷、配送、返品、カスタマーサポートなどの業務を行うため、氏名、住所、電話番号などの情報がグループ会社や物流事業者などへ共有される場合があります。

そのため、ECサイト本体のセキュリティだけでなく、配送や物流を担う事業者の端末・システムにどの情報が渡り、どこに保存され、いつ削除されるかまで管理する必要があります。

セキュリティ対策Labでは、EC・通販分野における侵害事例について2025年に発生したECサイト/通販サイトへのサイバー攻撃の事例と対策でも整理しています。

また、物流事業者へのサイバー攻撃によって配送先情報が調査対象となった事例として、ワンピース公式オンラインショップが関通のランサムウェアとサイバー攻撃により個人情報漏洩の可能性を発表があります。

今回の楽天ブックスネットワークの事案は、これらと侵入経路や被害状況が同じという意味ではありません。一方、EC事業では配送先情報が複数の業務主体・端末を経由し得ることから、データの受け渡し先まで含めた管理が必要になります。

情報システム部門への示唆

今回の事案から確認したいポイントは、エンドポイント上のデータ管理です。

企業では、顧客情報は基幹システムやクラウドサービス内で厳格に管理していても、日常業務の中でCSV、Excel、PDF、帳票ファイルなどとしてPCへ一時保存される場合があります。

この「一時保存」が長期間残れば、PC1台への不正アクセスでも過去の顧客情報が影響調査の対象になります。

情報システム部門では、次の項目を確認する必要があります。

• 個人情報をPCローカルへ保存できる業務と保存できない業務を明確にする
• 業務上必要な場合でも保存先を管理された領域へ限定する
• ダウンロードしたCSV・Excel・帳票等の自動削除や保存期限を設定する
• DLPやEDRを利用して機微データの端末保存状況を把握する
• ローカル管理者権限や外部からのリモートアクセス経路を見直す
• 端末侵害時にファイルアクセス履歴や外部送信を調査できるログを保持する
• 過去データの保存理由を定期的に棚卸しする
• グループ会社・物流会社などへのデータ提供範囲と保持期間を確認する

セキュリティ対策Labでは、業務用PCそのものが不正アクセスを受けた事例として、ジェイアールバス関東、業務用PCへの不正アクセス調査が完了 個人情報流出の痕跡は確認されずも取り上げています。

端末侵害が発生した場合、重要なのは「PCを隔離したか」だけではありません。

その端末にどのデータが存在していたのか、誰の情報だったのか、過去何年分が残っていたのか、攻撃者が実際に閲覧・取得した形跡があるのかまで把握できることが重要です。

今回の楽天ブックスネットワークの公表では、漏えいした事実は確認されていません。

一方で、2022年と2023年の配送先情報3万3,333件が2026年に不正アクセスを受けたPC内に保存されていたことは確認されています。

ECや物流を扱う企業にとって、エンドポイントの侵害対策と同時に「そもそも端末に何のデータを、いつまで残すのか」を見直す契機となる事案です。

出典

• 当社における不正アクセスに関するお詫びとお知らせ – 楽天ブックスネットワーク株式会社
• 企業概要 – 楽天ブックスネットワーク株式会社
• サービス – 楽天ブックスネットワーク株式会社
• 2025年に発生したECサイト/通販サイトへのサイバー攻撃の事例と対策 – セキュリティ対策Lab
• ワンピース公式オンラインショップが関通のランサムウェアとサイバー攻撃により個人情報漏洩の可能性を発表 – セキュリティ対策Lab
• ジェイアールバス関東、業務用PCへの不正アクセス調査が完了 個人情報流出の痕跡は確認されず – セキュリティ対策Lab