楽天トラベルに不正アクセス｜海外ホテル予約で最大約260万件など

楽天グループは2026年10月26日、「楽天トラベル」の海外ホテル予約サイトの一部ページと、多言語予約サイトの2か所で、第三者による不正アクセスがあったと公表しました（楽天トラベルの2026年10月26日の発表）。 海外ホテル予約サイトでは、ログインした利用者の最大約260万件の氏名・メールアドレス・電話番号などが対象で、予約者の一部は支払いの情報の一部も含まれます。 楽天トラベルで海外のホテルを予約した人、多言語のサイトを使った人、管理画面を使う宿泊施設の従業員に関係します。

公表された内容

海外ホテル予約サイトの一部ページ

• 運営：子会社の Rakuten Travel Xchange が管理・運営する一部のページ
• 時期：2026年9月10日に異常を検知し、9月15日に原因を特定、9月16日にシステムの改修を終えたとしています。原因の詳しい内容は公表されていません
• 対象の件数と情報（2026年10月26日の発表）
  • ログインした利用者 最大約260万件：氏名・メールアドレス・電話番号・社内用の識別番号
  • そのページから予約した人 最大約4万件：上の情報に加え、居住国・予約の情報（施設名・予約金額など）・同伴者の氏名と居住国
  • うち最大約3万6千件：カードの発行者識別番号と下4桁・名義・有効期限・国際ブランドの区分
• 含まれない情報：カード番号の全桁・セキュリティコード・パスワード・パスポートなどの身分証の情報・住所
• 対象の地域：ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国と地域（韓国・台湾・香港・シンガポール・マカオなどは対象外としています）

多言語予約サイト

• 運営：楽天トラベルが管理・運営
• 時期：2026年10月20日に不正アクセスの可能性を検知し、同日に原因を特定、10月21日に改修を終えたとしています
• 対象の件数と情報：ログインした利用者 最大約86万件のメールアドレス・社内用の識別番号、管理画面に入力された宿泊施設の従業員のアカウント 最大約4万件のアカウント名・メールアドレス・社内用の識別番号

二次被害と対応

• 発表の時点で、この件による二次被害や、ほかのサービスへの影響は確認されていないとしています。対象の情報だけでは、買い物や旅行の予約などの決済に不正に使うことはできないと説明しています
• 対象の人へ順に個別に連絡するとしています
• 個人情報保護委員会と、国外の関係する当局に報告したとしています
• アクセスの経路を遮断してシステムを改修し、セキュリティ対策を強化するとしています（2つのサイトに共通の対応として発表）

中小企業が今日からできること

• 予約・会員のページで、ログインした人の情報がどこまで見えるかを確かめる：自社のサイトや予約システムで、ほかの人の情報を表示できてしまう画面や API がないかを、作った会社に確かめてもらう
• カードの情報を持たない形にする：予約や支払いの画面は決済代行の会社の画面に任せ、自社のシステムにはカードの下4桁なども残さない
• 海外向けのサイトや子会社の運営するサイトも一覧に入れる：本体と別に動いているサイトは見落としやすい。運営の担当と、異常に気づく仕組み（ログの監視）があるかを確かめる
• 取引先の管理画面のアカウントを見直す：宿泊施設などが使う管理画面のアカウントは、退職者の分を消し、二要素認証を設定する
• 社員に注意を呼びかける：出張の予約で楽天トラベルを使った社員がいれば、楽天トラベルを名乗るメール・SMS・電話のリンクを開かず、公式のアプリやサイトから確かめるよう伝える