楽天トラベルの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月26日、楽天グループは、「楽天トラベル」の海外ホテル予約サイトの一部ページと多言語予約サイトで、第三者による不正アクセスがあったと公表しました（楽天トラベルの発表）。

• 海外ホテル予約サイトの一部ページ（子会社の Rakuten Travel Xchange が管理・運営）：2026年9月10日に異常を検知し、9月16日に改修を終えたとしています。ログインした利用者の最大約260万件の氏名・メールアドレス・電話番号・社内用の識別番号と、予約者の最大約4万件の予約の情報などが対象です。うち最大約3万6千件は、カードの発行者識別番号と下4桁・名義・有効期限なども対象です。カード番号の全桁・セキュリティコード・パスワード・住所は含まれないとしています
• 多言語予約サイト（楽天トラベルが管理・運営）：2026年10月20日に検知し、10月21日に改修を終えたとしています。ログインした利用者の最大約86万件のメールアドレスなどと、宿泊施設の従業員のアカウント最大約4万件のアカウント名・メールアドレスなどが対象です

原因の詳しい内容は公表されていません。発表の時点で、二次被害やほかのサービスへの影響は確認されていないとしています。

会社の対応

• 対象の人へ順に個別に連絡するとしている
• 個人情報保護委員会と、国外の関係する当局に報告した
• アクセスの経路を遮断し、システムを改修した（2つのサイトに共通の対応として発表）
• セキュリティ対策を強化し、再発の防止に取り組むとしている

この事例から中小企業が学べること

• 子会社や海外向けなど、本体と別に動いているサイトも一覧に入れ、監視の担当を決める
• 予約・会員のページで、ほかの人の情報が見えてしまう画面や API がないかを確かめる
• 支払いは決済代行の会社の画面に任せ、自社のシステムにカードの情報を残さない
• 取引先が使う管理画面のアカウントに二要素認証を設定し、使っていないアカウントを消す