楽天グループは10月26日、旅行予約サービス「楽天トラベル」の海外ホテル予約サイトの一部ページと多言語予約サイトが、第三者の不正アクセスを受けたと発表しました。2つの別々の事象で、海外ホテル予約ページでは最大約260万件のログイン利用者の氏名・メールアドレス・電話番号などが対象になり、そのうち予約者最大約3万6千件ではクレジットカードの一部情報も含まれます。
国内の宿や航空券の予約サイトは、今回の対象として挙げられていません。カード番号の全桁、セキュリティコード、パスワードは対象外で、楽天は今回の情報だけでは決済やキャッシングの不正利用はできないとしています。この記事では、公式発表をもとに2つの事象と利用者がやるべきことを整理します。
2つの事象の概要
| 項目 | 事象①：海外ホテル予約サイトの一部ページ | 事象②：多言語予約サイト |
|---|---|---|
| 運営 | 楽天グループの子会社 Rakuten Travel Xchange | 楽天グループ |
| 検知 | 2026年9月10日 | 2026年10月20日 |
| 原因の特定 | 9月15日 | 10月20日 |
| システム改修の完了 | 9月16日 | 10月21日 |
| 主な対象 | 予約者 最大約4万件（うち支払情報 最大約3万6千件）、ログイン利用者 最大約260万件 | ログイン利用者 最大約86万件、宿泊施設従業員 最大約4万件 |
楽天のセキュリティ専門チームによる監視では、この2つのサイト以外で同様の事象は確認されていません。二次被害や他のサービスへの影響も、現時点では確認されていないとしています。
事象①：海外ホテル予約サイトの一部ページ
楽天トラベルの海外ホテル予約サイトのうち、子会社のRakuten Travel Xchangeが管理・運営する一部のページで、9月10日に異常が検知されました。対象となる情報は次のとおりです。
| 対象 | 件数 | 情報 |
|---|---|---|
| 予約した人 | 最大約4万件 | 氏名、メールアドレス、電話番号、居住国、社内用の識別番号、予約情報（施設名、予約金額など）、同伴者の氏名・居住国 |
| うち支払情報 | 最大約3万6千件 | カードの発行者識別番号と下4桁、名義、有効期限、国際ブランドの区分 |
| ログインした人 | 最大約260万件 | 氏名、メールアドレス、電話番号、社内用の識別番号 |
カード番号の全桁、セキュリティコード、パスワード、パスポートなどの身分証明書の情報、住所は含まれていません。
対象エリア
ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国・地域の海外ホテル予約ページが対象です。韓国、台湾、香港、シンガポール、マカオと、タイ、ベトナム、フィリピン、インドネシア、米国（ハワイ、グアム、ロサンゼルスほか）の一部地域は対象外とされています。
事象②：多言語予約サイト
楽天トラベルの多言語予約サイト（英語、韓国語、中国語など）では、10月20日に不正アクセスの可能性が検知され、翌21日に改修が完了しました。
| 対象 | 件数 | 情報 |
|---|---|---|
| サイトにログインした人 | 最大約86万件 | メールアドレス、社内用の識別番号 |
| 管理画面を使った宿泊施設の従業員 | 最大約4万件 | アカウント名、メールアドレス、社内用の識別番号 |
利用者がやるべきこと
1. 楽天トラベルを名乗る連絡に注意する
楽天は、対象となる利用者に順次、個別の連絡と注意喚起を行うとしています。事象①では、予約した施設名や金額、カードの下4桁や有効期限まで対象になっています。「ご予約のホテルについて」「カード情報の再確認」など、実際の予約内容を引き合いに出した偽の連絡が届いても、そのまま信用しないことが大切です。確認は、メールのリンクではなく楽天トラベルのアプリや公式サイトから行ってください（この段落の後半は筆者の考えです）。
2. カードの利用明細を確認する
楽天は、今回の支払情報だけでは決済やキャッシングの不正利用はできないとしています。それでも、海外ホテルを予約した人は、念のためカードの利用明細に見覚えのない請求がないかを確認しておくと安心です（筆者の考えです）。
3. 問い合わせ先
- 事象①（海外ホテル予約サイト）：travel-support@faq.rakuten.co.jp
- 事象②（多言語予約サイト）：各言語のお問い合わせフォーム（英語など）
- 事象②の管理画面（宿泊施設の関係者向け）：専用フォーム
公表内容から読み取れること（考察）
ここからは、公式発表をもとにした筆者の考察で、推測を含みます。
事象①は9月10日に検知され、16日に改修が終わっていますが、公表は10月26日でした。社内調査で対象の情報と件数を確定させてから、10月に検知された事象②とあわせて公表した形です。海外のホテル予約ページでは、国外の当局への報告も必要になるため、確認に時間がかかったとみられます。
2つの事象は、運営する会社も検知の時期も異なります。ただ、どちらも楽天トラベルの「海外・多言語」向けのサイトで起きており、国内向けの本体とは別に作られたシステムが狙われた可能性があります。侵入経路や手口は公表されていません。
事象①で漏れた可能性のある「予約施設名・金額・カードの下4桁」の組み合わせは、旅行の予約者を狙ったフィッシングの材料になりやすい情報です。本物の予約内容と一致する連絡は見分けにくいため、旅行関連のメールやSMSには特に注意が必要です。
関連記事
まとめ
楽天トラベルの海外ホテル予約サイトの一部ページと多言語予約サイトで不正アクセスがあり、海外ホテル予約ページでは最大約260万件の氏名・連絡先、予約者最大約4万件の予約情報（うち約3万6千件はカードの一部情報）が対象になりました。多言語予約サイトでは最大約86万件のメールアドレスなどが対象です。
カード番号の全桁やパスワードは含まれていません。対象の利用者には個別に連絡が届く予定なので、予約内容を引き合いに出した偽の連絡に注意しつつ、カードの明細も確認しておきましょう。
出典
出典：楽天グループ「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ【楽天トラベル】」（2026年10月26日）
元記事URL：https://travel.rakuten.co.jp/info/announce/20261026.html
コメント