支払い証明書が第三者に見られるおそれ、楽天モバイルが告知

支払い証明書が、楽天モバイルで第三者に閲覧される可能性があった。2026年10月13日付の公式お知らせで、そう案内されました。「うちの会社は関係ないでしょ」と流すのは、ちょっともったいないです。情シスの目で見ると、自社サービスの点検にそのまま使える材料が詰まった話なんですよ。

結論：支払い証明書の件は、個人利用でも法人利用でも公式お知らせを読む

支払い証明書の件について、先に結論です。

• 対象は「my 楽天モバイル」からダウンロードできる支払い証明書
• 改修は2026年6月20日（土）に完了済み。告知は2026年10月13日
• 現時点で、第三者による閲覧も二次被害も確認されていないと案内されている
• 楽天モバイルを装った不審な連絡には注意が必要

出典は楽天モバイル公式お知らせの「【重要】支払い証明書の第三者閲覧の可能性について」です。

この記事は、公式お知らせに書かれている内容だけを土台にしています。書かれていないことは「公表されていません」と明記して、推測で埋めないようにしました。

支払い証明書の件：公式お知らせで分かること

項目	公式お知らせの内容
対象	「my 楽天モバイル」からダウンロードできる支払い証明書
発見の経緯	楽天モバイル自身が実施した脆弱性診断テストで判明
起こりうること	特定のプログラム等を使い、通常の利用では行わない特殊な操作を意図的に行うと、他人の支払い証明書が閲覧できる可能性があった
閲覧のおそれがある情報	氏名、住所、電話番号、データ利用量、利用料金、その他の明細情報など
含まれない情報	クレジットカード等の金融情報、通話履歴
改修	2026年6月20日（土）にシステム改修などを完了
現時点の状況	確認できた記録の範囲では、第三者による閲覧も二次被害も確認されていない。関係当局には報告済み
問い合わせ窓口	0800-600-6660（年中無休 9:00〜17:00）

ポイントは、自社の診断で見つけて、改修してから告知した流れです。ただし問題がいつから存在したかは公表されていません。告知が改修の約4か月後だった点は、あとで触れます。

支払い証明書の対象は誰？過去の契約者も対象になる報道

支払い証明書の対象者について、公式お知らせの本文には、過去に契約していた人が対象かどうかは書かれていません。一方、ASCII.jp の報道では、過去に契約していた人も通知対象で、利用者にはメールで通知されたと伝えられています。これは公式の記述ではない二次情報なので、ご自身が対象かどうかは、届いたメールと公式お知らせで確認してください。

なお、対象者数や件数は、公式お知らせにも上記の報道にも書かれていません。現時点では分からない、というのが正確なところです。

支払い証明書の脆弱性の種類は公表されていない

支払い証明書の件で、ここは書き分けておきたい点です。公式お知らせは「特殊な操作で閲覧される可能性があった」と述べるだけで、脆弱性の技術的な種類（たとえば認可の不備なのか別の原因なのか）には触れていません。公式は種類に触れていないため、この記事でも断定しません。

分かっているのは「他人の支払い証明書が見える可能性があった」という結果だけです。原因を知りたい気持ちはぐっとこらえて、結果から学べることを拾いましょう。

支払い証明書の件を、情シスが自社の点検に活かす視点

ここからは、支払い証明書の件で公式お知らせに書かれた内容を手がかりにした、僕なりの整理です。楽天モバイルが何をしたかではなく、自社サービスや社内システムで同じ種類の問題がないかを見直すきっかけとして読んでください。

視点	点検のしかた（自社向けの提案）
ダウンロード機能の点検	帳票・証明書・明細のダウンロード機能は、本人以外が取得できないか、診断の対象に入れる
診断の範囲	画面の操作だけでなく、通常の利用では行わない操作も想定したテストになっているか
過去の利用者のデータ	解約済みの顧客や退職者のデータも、保持している間は保護の対象に含める
公表の判断基準	修正完了から告知までの手順と判断者を、事前に決めておく
利用者への注意喚起	公式を装った不審な連絡への注意を、告知にあわせて案内する

特に「帳票のダウンロード機能」は盲点になりやすいです。ログイン画面や管理画面には診断が入っても、PDF や CSV を出す機能は後回しになりがち。支払い証明書の件は、そこを見直す良いきっかけになります。

現場で起きそうなこと（仮定の話です）

ここは実際にあった話ではなく、ありがちな場面を想像した例です。

たとえば、社内向けの申請システムで「証明書をダウンロード」ボタンを付けたとします。画面上は自分の分しか表示されません。ところが、診断の対象は画面の見た目だけで、ダウンロード機能の裏側は確認されないまま運用に入ってしまう。見た目がきれいに盛り付けられていても、厨房の裏でラベルが付け違っていたら意味がない、という話ですね。

こういう抜けは、自社で診断をやったときに見つかるのが理想です。今回の件は、楽天モバイル自身の脆弱性診断で判明したと公式お知らせは述べています(原因の種類は公表されていません)。見つけたことそのものは、評価してよい点だと思います。

告知まで約4か月：支払い証明書の件でインシデント公表のタイミングを考える

支払い証明書の件では、改修完了は2026年6月20日、告知は2026年10月13日。約4か月の間があります。この間に何があったのかは、公式お知らせには書かれていません。理由は公表されていないので、遅いとも適切とも、ここでは言いません。

ただ、情シスの立場で考えると、次の2点は自社の手順に置き換えて考える価値があります。

• 修正が終わった時点と、利用者へ告知する時点を、どう判断して分けるか
• 閲覧の記録を確認する期間と、「確認されていない」と言える根拠を、どうそろえるか

公式お知らせには「確認できた記録の範囲では」という前置きが付いています。ログがどこまで残っていたかで言える範囲が決まる、という点は、自社のログ保存期間を見直すきっかけにもなりますね。

支払い証明書の件で利用者が気をつけること

支払い証明書の件で公式お知らせが呼びかけているのは、楽天モバイルを装った不審な連絡への注意です。メールやSMSのリンクを安易に開かない、気になる連絡は公式の窓口で確認する、という基本動作が大切です。

やること	補足
届いたメールの確認	差出人やリンク先を確認し、不安なら公式お知らせと見比べる
窓口への相談	0800-600-6660（年中無休 9:00〜17:00）
個別の操作	パスワード変更などの個別の操作依頼は、公式お知らせでは確認できていません

個別の操作が案内されていない以上、こちらから「パスワードを変えましょう」と言い切ることはしません。今後、公式から追加の案内が出たら、そちらに従ってください。

まとめ：支払い証明書の件から持ち帰ること

• 支払い証明書が第三者に閲覧される可能性があったが、2026年6月20日に改修済み
• 現時点で、閲覧も二次被害も確認されていない（公式お知らせの案内）
• 脆弱性の種類、対象者数は公表されていない
• 情シスは、帳票ダウンロード機能の診断と、公表手順の見直しに活かせる

関連する記事は、Tech カテゴリーの一覧にもまとめています。あわせてどうぞ。

参考リンク – 楽天モバイル公式お知らせ（2026年10月13日付） – ASCII.jp の報道（二次情報。公式の発表ではありません）

ITもごはんも、腹八分目が長続きのコツ！