2025年6月10日にサーバーの高負荷を検知して調べたところ、楽待システムのデータベースへの不正アクセスが見つかりました。攻撃者はWebサーバーの脆弱性を悪用してバックドアを設置し、データベースの情報を取得していました。会員の氏名・住所・電話番号・メールアドレス、暗号化されたパスワード、年収・資産情報などが漏えいした可能性があり、7月29日の続報では、メールアドレスのみ登録の会員約17万名、基本情報登録の会員約31万名、加盟店の法人約2万3千名、過去のサービス利用者約6万名が対象とされました。
事故の概要
- 漏れたもの
- 氏名
- 住所
- 電話番号
- メールアドレス
- パスワード（ハッシュ）
- 勤務先・所属
- その他
- 件数
- 不明2025年7月29日の続報で、メールアドレスのみ登録の会員約17万名、基本情報登録の会員約31万名、加盟店の法人約2万3千名、2025年6月10日以前の各サービス利用者約6万名。合計の記載なし
- 誰の情報か
- 利用者（会員・顧客）
- 状態
- 可能性あり
- 原因
- 不正アクセス
- ドメイン
- rakumachi.co.jp
経緯
- 検知6/10
- 初動対応—
- 公表6/12
- 調査結果7/29
- 再発防止策—
検知2025年6月10日
2025年6月10日（火）19時、楽待は自社のサーバーに高い負荷がかかっているのを社内で検知し、負荷をかけている処理を見つけて止めました。
原因を調べたところ、楽待システムのデータベースへの不正アクセスが確認され、個人情報が外部に漏れた可能性があると分かりました。
出典不正アクセスの発生及び個人情報漏えいの可能性に関するお知らせPDFrakumachi.co.jp
公表2025年6月12日
楽待は、サーバーへの不正アクセスが起き、個人情報が漏えいした可能性があると公表しました。6月10日19時にサーバーの高負荷を検知して処理を止め、原因を調べてデータベースへの不正アクセスを確認したものです。原因は特定済みで、対策も終えたとしています。
漏えいのおそれがあるのは、「不動産投資の楽待」の個人会員の氏名、住所、メールアドレス、パスワード、電話番号、登録があれば年収や資産の情報と、加盟店の法人会員の会社名、代表者名、担当者名、住所、メールアドレス、パスワード、物件情報などです。パスワードは暗号化して保存しており、カード情報は外部の決済サービスで扱うため含まれていません。件数やほかの情報は調査中です。
侵入経路の遮断を強め、外部の専門家と連携して対策本部を設け、警察への相談と個人情報保護委員会への報告を済ませました。不正流用は確認されていません。心当たりのない連絡は開かずに捨て、パスワードを変えるよう呼びかけ、法人会員には変更依頼のメールを送っています。
出典不正アクセスの発生及び個人情報漏えいの可能性に関するお知らせPDFrakumachi.co.jp
調査結果2025年7月29日
7月29日に続報を出し、6月10日の経緯を詳しく説明しました。19時ごろにサイトのエラーをきっかけにデータベースサーバーの異常な負荷を見つけ、不審なコマンドを止めて復旧したものの同じ事象が再び起き、複数のWebサーバーでも不審な動きが見つかったため、20時35分ごろに不正アクセスと認識しました。
その後、バックドアとみられるファイルの削除、侵入経路の遮断、悪用された脆弱性の改修、各種パスワードの変更を行ったとしています。
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
このサービスを使っていた方へ
- 1同じパスワードを使っているサービスも含めて、パスワードを変えてください。
- 2会社を名乗るメールが来ても、リンクは開かず公式サイトから確かめてください。
- 3知らない番号からの電話や SMS、届いた覚えのない郵便に気をつけてください。
- 4会社からの個別の連絡と問い合わせの窓口は、公式のお知らせで確かめてください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。