不動産投資サイト「楽待」への不正ログインで、加盟店に問い合わせた人など最大3,450名分の個人情報が閲覧・取得

事案の概要と確認状況

• 2026年10月9日〜11日に、会員向けのログイン画面と加盟店向け管理画面のログイン画面で第三者による不正ログインが発生。他のサービスなどから流出したメールアドレスとパスワードの組み合わせを使う「リスト型攻撃」と推測。サーバーやデータベースへの侵入は確認されていない
• 不正ログインにより、最大3,450名分の個人情報が閲覧・取得された。加盟店以外の人の情報が閲覧・取得されたのは加盟店4社のアカウントで、うち1社では問い合わせ一覧のダウンロードを確認

発覚から公表までの経緯

発生時期

2026年10月9日 〜 2026年10月11日／会員向け・加盟店向けのログイン画面で不正ログインがあった期間

1. 2026.10.19

   楽待株式会社が、10月9日〜11日の「楽待」への不正ログイン（リスト型攻撃と推測）で、加盟店に問い合わせた人など最大3,450名分の個人情報が閲覧・取得されたと公表。不正ログインされたのは会員最大160名と加盟店7社のアカウント。10月15日に不正なアクセス元を遮断してパスワードを無効化し、加盟店の管理画面のログインに認証コードを追加。個人情報保護委員会に報告し、警察に相談

   この公表資料を見る（新しいタブで開く）

規模と対象範囲

情報の種類と対象外の範囲

公表された情報の種類

• 不正ログインされた加盟店から閲覧・取得された情報（最大3,450名分）：加盟店に物件の問い合わせや売却査定・一括見積もりを依頼したときの氏名、メールアドレス、電話番号、住所、年齢、職業、年収・自己資金・保有不動産などの資産情報、問い合わせの内容、メッセージの件名・冒頭部分、査定・見積もりを依頼した物件の情報（入力・登録がある場合のみ）
• 会員のアカウント（最大160名）：氏名、住所、メールアドレス、電話番号、生年月日、職業、年収・自己資金・保有不動産などの資産情報（入力・登録がある場合のみ）、お気に入り物件、不動産会社とのメッセージ
• 加盟店のアカウント（7社）：会社名、代表者名、スタッフの氏名・メールアドレス・写真、請求先の宛名、住所、物件情報など
• 加盟店の取引先など：会社名、担当者名、電話番号など
• 閲覧された画面や取得されたデータ、登録・入力の内容により、対象となる情報は異なる

対象外・未確認と公表された範囲

• クレジットカード情報は楽待では保有していない
• 証明書類（免許証・源泉徴収票など）は取得されていないことを確認した
• 公表時点で、サーバーやデータベースへの侵入は確認されていない。ログインに使われたメールアドレス・パスワードが楽待から新たに流出した形跡も確認されていない
• 公表時点で、認証情報の変更や、漏えいした情報の不正利用などの二次被害は確認されていない