楽天で「パスワード使い回し」を狙った不正ログインの報告が増加（今夜10分、確認してください）
- 楽天（サービスそのもの）が破られた、という発表ではありません。「身に覚えのないログイン」「パスワードが初期化された」という報告が増えているとされていますが、原因を「他サービスからの流出パスワードの悪用」とする説明の一次確認は、2026-10-29時点でまだ取れていません（未確定）。
- 確定しているのは、楽天証券が2025年7月に不正アクセス被害の50%補償方針を決めていること、楽天トラベルの子会社運営サイトで最大約354万件の不正アクセスが2026-10-26に公表されたこと（楽天会員のログインパスワードは対象に含まれないと説明）。
- 未確定の部分があっても、対策として一番効くのは同じです。楽天のパスワードが他のサービスと同じなら今夜変える。あわせてパスキーとメールの二要素認証を設定すると、さらに強くなります。
時系列
- 2025-07-25
楽天証券が、不正アクセス被害の50%＋見舞金1万円の補償方針を決定（今回新たに決まったものではない）。
出典: 楽天証券「フィッシング詐欺等による不正アクセス被害に関する補償方針について」(2025-07-25・2026-02-18更新) - 2026-02-18
楽天証券が補償方針を更新。
出典: 楽天証券「フィッシング詐欺等による不正アクセス被害に関する補償方針について」(2025-07-25・2026-02-18更新) - 2026-10-26
楽天トラベルの子会社が運営する海外ホテル予約サイト・多言語予約サイトで不正アクセスが公表される。合計最大約354万件の個人情報（氏名・メール・電話・予約情報など）が対象。楽天会員のログインパスワードは含まれないと楽天は説明。
出典: INTERNET Watch「楽天トラベルで2件の不正アクセス、合計最大約350万件の個人情報が対象に」(2026-10-26) - 2026-10-26 21:49 JST
筆者が、楽天会員向けの対応手順（ログイン履歴確認・パスワード変更・パスキー登録・二要素認証）をnoteに公開。
出典: 遠藤太一 note「楽天のアカウントを持っている人は、今夜10分だけ確認してください」(2026-10-26) - 2026-10-26 21:52 JST
同内容をXに投稿。189万件表示・7,600件超のいいねの反応（2026-10-29時点）。
出典: 遠藤太一（@endoh_taichi）のXポスト (2026-10-26)
分かっていること（確定）
楽天証券は、フィッシング詐欺等による不正アクセス被害について、被害額の50%＋見舞金1万円を補償する方針を2025年7月25日に決定し、2026年2月18日に更新している。「元々持っていた株式等を勝手に売却された損失」はこの補償の対象外。
出典: 楽天証券「フィッシング詐欺等による不正アクセス被害に関する補償方針について」(2025-07-25・2026-02-18更新)楽天トラベルの子会社が運営する海外ホテル予約サイト・多言語予約サイトで不正アクセスが発生し、2026年10月26日に公表された。対象は合計最大約354万件の個人情報（氏名・メールアドレス・電話番号・予約情報など）。楽天は、楽天会員のログインパスワードはこの対象に含まれないと説明している。
出典: INTERNET Watch「楽天トラベルで2件の不正アクセス、合計最大約350万件の個人情報が対象に」(2026-10-26)楽天のメールアドレスによる二要素認証は、一度有効にすると利用者自身では解除できず、解除には楽天サポートへの連絡が必要。
出典: 楽天ヘルプ「メールアドレスによる二要素認証（2FA）｜認証コードの入力が必要となる状況」楽天証券はパスキー（FIDO2）認証に対応しており、楽天会員ID（楽天市場・楽天ペイ等）とは別アカウントのため、別途設定が必要。
出典: 楽天証券「パスキー認証（FIDO2）操作ガイド」
まだ分からないこと（未確定）
- 「楽天の会員サービスで『身に覚えのないログイン』『パスワードが初期化された』という報告が増えている」「原因は他サービスから漏れたID・パスワードの使い回しを狙った不正ログイン試行（クレデンシャルスタッフィング）」という説明は、X上の報道要約・利用者報告にもとづくもので、楽天グループ公式の発表ページは筆者が直接確認できていない。確認できたら更新する。
- 実際にどの程度の件数・規模の不正ログイン試行が起きているかを示す公式な数字は、2026-10-29時点で確認できていない。
自分に関係ある？
- 医療
- 楽天のアカウントと病院のシステムは別物ですが、職員が業務用システムで同じパスワードを使い回していれば、院内システムも同じ型の攻撃（クレデンシャルスタッフィング）の対象になります。
- 教育
- 教職員・生徒が複数のサービスで同じパスワードを使い回している例は多く、同じ攻撃の対象になります。パスキー・二要素認証の設定は、学校の共有アカウントにも有効です。
- IT
- 自社サービスへのクレデンシャルスタッフィング対策（ログイン失敗の監視・レート制限・漏えいパスワードとの突き合わせ・MFA必須化）を見直す実例として参考になります。
✅ 立場別・今やること
個人
- 楽天会員ID（楽天市場・楽天ペイ・楽天カード等で共通）を使っているなら、my.rakuten.co.jp を自分でアドレス欄に打って開き、ログイン履歴に見覚えのない端末がないか確認する。メールや SMS のリンクからは開かない。
- 楽天のパスワードを他のサービスと使い回しているなら、今夜のうちに楽天だけ別のパスワードに変える。使い回していなければこの手順は不要。
- 「アカウントとセキュリティ」からパスキーを登録し、あわせてメールアドレスによる二要素認証を有効にする（二要素認証は自分では解除できないため、登録メールが今使っているものか先に確認する）。
- 楽天証券を使っているなら、パスキー登録・取引制限（投資信託の買付以外を停止）・通知の全オンを別途設定する。
学校の担当
- 校務システム・LMS 等で教職員・生徒がパスワードを使い回していないか、注意喚起する。
- 設定できるサービスでは多要素認証・パスキーを有効にする。
病院の担当
- 院内システム・ベンダー提供サービスで職員のパスワード使い回しがないか注意喚起する。
- 外部サービス（院内連絡・勤怠等）で多要素認証が設定可能なら有効化する。
開発者・運用者
- ログイン失敗率の急増・同一 IP からの多数 ID 試行など、クレデンシャルスタッフィングの兆候を監視する。
- 漏えいパスワードリストとの突き合わせやレート制限を検討する。
- MFA・パスキーを選択肢として提供し、可能なら必須化する。
よくある誤解と訂正
よくある言い方: 「楽天（サービス自体）が破られた、という話。」
楽天は、他サービスから漏れたID・パスワードの使い回しを狙われている、と説明されています（ただし楽天公式の直接発表は筆者未確認・未確定）。楽天そのものが破られたという発表ではありません。
出典: 遠藤太一 note「楽天のアカウントを持っている人は、今夜10分だけ確認してください」(2026-10-26)よくある言い方: 「心配なら楽天を解約・利用停止すればいい。」
今回の問題は「パスワードの使い回し」であって、楽天を使っているかどうかではありません。使い回しをやめてパスキー・二要素認証を設定すれば、楽天を使い続けても対策になります。
出典: 遠藤太一 note「楽天のアカウントを持っている人は、今夜10分だけ確認してください」(2026-10-26)よくある言い方: 「「楽天です、不正ログインを検知しました、再設定はこちらから」というメールのリンクから対応すればいい。」
これが一番危険です。本物の通知に見えても、リンクは踏まずに、自分でアプリを開くかブックマークから my.rakuten.co.jp に入って確認してください。
出典: 遠藤太一 note「楽天のアカウントを持っている人は、今夜10分だけ確認してください」(2026-10-26)よくある言い方: 「楽天トラベルの不正アクセスのニュースを見た＝自分の楽天会員パスワードも危ない。」
楽天トラベルの件（海外ホテル予約サイト・多言語サイト）と楽天会員のログインパスワードは別件です。楽天は会員パスワードは対象に含まれないと説明しています。海外ホテルサイト・多言語サイトを使っていなければ、この件自体は対象外です。
出典: INTERNET Watch「楽天トラベルで2件の不正アクセス、合計最大約350万件の個人情報が対象に」(2026-10-26)🔰 用語
- クレデンシャルスタッフィング
- どこかのサービスから漏れたID・パスワードの組み合わせを、別のサービスで片っ端から試す攻撃。同じパスワードを使い回している人だけが被害に遭う。
- パスキー
- パスワードの代わりに、指紋やFace IDでログインできる仕組み。偽サイトにパスワードを入力してしまう事故が起きなくなる。
- 二要素認証（2FA）
- パスワードに加えて、メールやSMSで届く確認コードなど、もう1つの確認を求める仕組み。
- 試し打ち
- 漏れたID・パスワードの組み合わせを、ログイン画面に次々と入力して成功するものを探す行為。
一次情報
- 楽天ヘルプ「メールアドレスによる二要素認証（2FA）｜認証コードの入力が必要となる状況」
- INTERNET Watch「楽天トラベルで2件の不正アクセス、合計最大約350万件の個人情報が対象に」(2026-10-26)
- 楽天証券「フィッシング詐欺等による不正アクセス被害に関する補償方針について」(2025-07-25・2026-02-18更新)
- 楽天証券「パスキー認証（FIDO2）操作ガイド」
- 日本経済新聞「証券口座乗っ取り、SBI・楽天・松井は原則2分の1補償」(2025-07)
- 遠藤太一 note「楽天のアカウントを持っている人は、今夜10分だけ確認してください」(2026-10-26)
- 遠藤太一（@endoh_taichi）のXポスト (2026-10-26)
この情報は一次情報の要約で、法的助言ではありません。所属組織のルールと担当者の指示を優先してください。
🧭 つぎはどこへ？
ぜんぶ無料・ログイン不要。気が向いたところからどうぞ。