お問い合わせ
2025年8月19日、総務省は楽天モバイルの矢澤俊介社長を呼び、利用者IDやパスワード流出事案に関して電気通信事業法に基づく厳重注意を行いました。
この事件では、中高生グループが少なくとも約7,000回線分のIDやパスワードを不正入手していたことが確認されています。同社は事態を把握してから約3か月半にわたり報告を遅らせ、通信の秘密に関わる重要情報の管理や法令順守体制が機能していなかったと指摘されました。
総務省は10月末までに体制見直しの報告を求め、来年1月以降は少なくとも1年間、3か月ごとの報告義務を課しています。
出典：NHK
目次
楽天モバイルで発生した不正契約と情報漏洩の概要
楽天モバイルでは2023年11月から2025年2月にかけて、第三者による不正ログインが発生しました。中高生グループが生成AIを利用して作成したプログラムを使い、他人のIDやパスワードを用いて「my 楽天モバイル」にアクセスしました。
本人確認書類を回避してeSIM契約を繰り返す手口で、不正に契約された回線は7,002件、影響を受けた利用者は約4,609人に達しました。
通話履歴やSMS送受信履歴といった「通信の秘密」に関わる情報が外部から閲覧可能になった可能性があり、深刻な情報漏洩事件とされています。
出典：NHK
総務省による行政指導と再発防止要求
楽天モバイルは2025年2月27日までに情報漏洩を把握していましたが、総務省への正式な報告は同年6月17日となり、約3か月半の遅延が生じました。この遅延を受け、総務省は電気通信事業法に基づき厳重注意を実施しました。通信の秘密を守る法令を軽視した対応と判断され、体制の抜本的な見直しを命じられています。
- 2025年10月末までに改善策を文書で提出
- 2026年1月以降、少なくとも1年間は四半期ごとに進捗を報告
報告義務の遅れによる行政指導は極めて異例であり、法令順守体制の不備が強く問題視されています。
出典：NHK
情報漏洩時の報告義務と法律違反リスク
電気通信事業法第4条では、通信の秘密に関する漏えいを知った事業者は、遅滞なく総務大臣に報告する義務が定められています。さらに、重大な事故に該当する場合は30日以内に報告書を提出する必要があります。
規定を規定を守らなかったため、法律違反とされ、企業信用の低下や追加処分リスクが発生しました。
情報漏えいにおいて報告義務を怠ることは、企業の信用低下や追加処分リスクにもつながるため、正確かつ迅速な初動対応が求められています。
出典：電気通信事業法
企業が同様の事態に直面した場合の対応フロー
今回の楽天モバイルの事例は、情報漏洩発生時の「初動対応」と「法令順守体制の整備」の重要性を示しています。企業が同様の状況に直面した場合、以下の対応フローが推奨されます。
今回の楽天モバイルの事例から、企業が同様の状況に直面した場合に取るべき対応フローは以下の通りです。
- 初動調査：不正アクセス・漏えいの有無と範囲を即時調査
- フォレンジック調査の依頼：証拠データ保全と侵入経路の特定を行う（ログ改ざんを防ぐため）
- 被害者への通知：影響利用者への通知とサポート体制の構築
- 関係当局への報告：30日以内に総務省へ報告書を提出し、必要に応じて公表
- 再発防止策の策定と運用：本人確認・ID管理の強化、不正検知AIの導入など
情報漏洩が発生した場合に最も重要となるのは迅速な初動対応と証拠となるデータ保全です。フォレンジック調査を活用することで、侵入経路や被害範囲を正確に特定でき、再発防止に直結します。
個人情報漏洩した場合の報告義務
2022年4月に施行された「改正個人情報保護法」では、個人データの漏えい、あるいは漏えいが発生する可能性がある場合、報告と通知が法人に義務付けられました。違反した企業には最大1億円以下の罰金が科せられる可能性もあります。
情報漏えいが発生した際に、企業は個人情報保護委員会へ2回報告する必要があります。それぞれ報告内容と報告期限が定められているため、注意しましょう。
- 漏えい等の事実が発覚したら、3〜5日以内に個人情報保護委員会へ通報
- 発覚から30日以内に被害を調査して個人情報保護委員会へ報告
データ漏えいが発生した場合は、外部の調査専門業者に調査を依頼することが重要です。
特にフォレンジック調査会社は、デジタル機器のデータ保全やアクセス調査に関する専門技術を保有しています。この技術により漏えいの原因や影響範囲を的確に把握し、再発防止策を十分に講じることができます。また、調査報告書も作成してもらえるため、個人情報保護委員会へそのまま報告することも可能です。
フォレンジック調査とは
フォレンジック調査とは、サイバー攻撃、情報漏えい、データ改ざんなどのセキュリティ関連インシデントが発生した際に、その原因を特定し、被害の範囲や影響を明らかにするための詳細な調査手法です。
もともとフォレンジック調査は、犯罪や事件が起きた時、その現場から犯行の手掛かりとなる「鑑識」を指していました。特にデジタルデータからの証拠収集・分析は「デジタル鑑識」あるいは「デジタル・フォレンジック」とも呼ばれます。
インシデントが発生した場合、内容によっては特定の機関への報告義務が生じることがあります。自社のみで調査を行った場合、報告書の内容が認められないケースもあり、第三者機関による調査が一般的です。
私たちデジタルデータフォレンジック（DDF）は、官公庁、上場企業、捜査機関など、多様な組織のインシデント対応を行ってきた実績があります。
相談や見積もりは無料で、24時間365日体制でご依頼を受け付けています。早期対応が被害拡大防止の鍵となりますので、まずはお気軽にご相談ください。
＼相談から最短30分でWeb打ち合わせを開催／
DDFは累計ご相談件数3.9万件以上のフォレンジック調査サービスです
まとめ
今回の記事では、楽天モバイルにおける不正契約を通じた通信履歴の漏洩と、報告遅延によって総務省から厳重注意を受けた事案について解説しました。
情報漏洩のリスクや、個人情報漏洩時の報告義務と違反リスクへの具体的な対応については、関連解説記事でも詳しく紹介していますので、ぜひご参照ください。
関連記事
この記事を書いた人
デジタルデータフォレンジック
エンジニア
