楽待（らくまち）の不正アクセス事件から見る個人情報漏えいの実態と対策

不動産投資情報サイト「楽待」で大規模情報漏えい発生

2025年6月12日、不動産投資情報サイト「楽待（らくまち）」を運営する楽待株式会社が、サーバーへの不正アクセスによる個人情報漏えいを公表しました。この事件は、現代のサイバー攻撃の巧妙さと、個人・企業を問わずどこでも標的となり得る現実を改めて浮き彫りにしています。

フォレンジック調査の現場で多くの類似事案を見てきた経験から言えば、今回の楽待の事案は典型的なデータベース攻撃の手口と考えられます。攻撃者は6月10日19時頃にサーバーの高負荷を引き起こしながら、データベースに不正侵入を果たしました。

今回の事件で漏えいした可能性がある情報は以下の通りです：

個人会員情報：

法人会員情報：

特に注目すべきは年収・資産情報まで含まれていることです。不動産投資という性質上、利用者の詳細な財務情報が蓄積されており、これらが悪用された場合の被害は計り知れません。

現役のCSIRTメンバーとして数多くのインシデント対応を経験してきましたが、今回の楽待の事案には以下のような特徴が見られます：

1. サーバー高負荷による発覚
攻撃者がデータベースに大量のクエリを実行した結果、システムの負荷が急上昇。これにより異常が発覚しました。実際のフォレンジック調査では、このような「ノイジーな攻撃」は比較的発見しやすい部類に入ります。

2. データベース直接攻撃
ウェブアプリケーションの脆弱性を突いてデータベースに直接アクセスする手法と推測されます。SQLインジェクションや認証回避などが考えられます。

3. 暗号化されたパスワードも対象
パスワードが暗号化されていても漏えい対象となっており、攻撃者がシステム全体への深いアクセス権限を獲得していた可能性があります。

私が担当したフォレンジック調査の中で、特に印象深い事例をいくつか紹介します：

事例1：小規模ECサイト運営企業
従業員30名程度のEC事業者で、SQLインジェクション攻撃により顧客情報約5万件が漏えい。被害総額は損害賠償や信用失墜により約3億円に達しました。同社はアンチウイルスソフトを導入しておらず、攻撃の初期段階で検知できませんでした。

事例2：地方の不動産会社
今回の楽待と同様、不動産関連企業での事案。従業員のPCがマルウェアに感染し、社内ネットワーク経由で顧客データベースにアクセスされました。リモートワーク環境のVPN が適切に設定されていれば防げた可能性が高い事案でした。

事例3：個人事業主のコンサルタント
フリーランスのコンサルタントが、クライアント情報を保存したクラウドストレージに不正アクセスされた事案。個人レベルでもサイバー攻撃の標的となる現実を物語っています。

楽待の利用者は以下の対応を直ちに実施する必要があります：

即座に実施すべき対応：

個人・中小企業の長期的なセキュリティ対策：

今回のような事件から身を守るためには、多層防御の考え方が重要です。まず、エンドポイントレベルでの防御として、信頼性の高いアンチウイルスソフトの導入は必須です。従来の署名ベース検知では対応できない未知の脅威や、今回のような標的型攻撃にも対応できる製品を選択することが重要です。

また、リモートワークや外出先からのアクセスが多い現代では、通信経路の暗号化も欠かせません。VPN を活用することで、公衆Wi-Fiや不安定なネットワーク環境でも安全にデータ通信を行えます。特に、機密性の高い顧客情報や財務データを扱う場合、VPN による通信暗号化は基本的な防御策と言えるでしょう。

これまでの調査経験から、不動産関連の個人情報は攻撃者にとって特に価値が高いことがわかっています。理由は以下の通りです：

実際に、過去の事例では漏えいした不動産関連情報が、振り込め詐欺や投資詐欺のターゲットリスト作成に使用されたケースもありました。

今回の楽待の対応を見ると、以下の点で適切な初期対応がなされています：

良かった点：

ただし、より理想的な対応としては、事前の脅威検知システムによる早期発見や、定期的なセキュリティ監査の実施などが挙げられます。中小企業でも、適切なアンチウイルスソフトとVPN の組み合わせにより、相当レベルのセキュリティを確保することが可能です。

今回の楽待の事件は、どんな企業でもサイバー攻撃の標的となり得ることを改めて示しています。個人レベルでも、パスワード管理の徹底やアンチウイルスソフトの導入、VPN による通信暗号化など、基本的な対策を怠らないことが重要です。

特に、リモートワークが一般化した現在、従来のオフィス境界型セキュリティだけでは不十分です。個人のデバイスやネットワーク環境も含めた包括的な防御策が求められています。

サイバーセキュリティは「転ばぬ先の杖」です。被害に遭ってからでは遅いのです。今回の事件を教訓に、ぜひ自身や会社のセキュリティ体制を見直してみてください。