この記事のポイント
- 対象
- 楽天トラベルの海外ホテル予約ページの一部、楽天トラベルの多言語予約サイト
- 影響
- 二つのサイトで利用者・予約者・宿泊施設従業員の情報が不正アクセスの対象となった。一部予約者の支払情報を含むがカード番号全桁とセキュリティコードは含まれない。各最大件数は重複のない人数として合算できない。
- 推奨対応
- 対象ページの利用・予約履歴と個別通知を確認し、公式発表の事象別窓口へ問い合わせる。宿泊施設は管理画面の情報区分も確認し、不審な連絡へ追加の予約情報やカード情報を渡さない。
- 公表日
目次
楽天グループは2026年10月26日、「楽天トラベル」の海外ホテル予約サイトの一部ページと、多言語予約サイトに第三者による不正アクセスがあったと公表しました。予約者だけでなく、対象ページへログインした利用者や、多言語サイトの管理画面に入力された宿泊施設従業員の情報も対象です。
楽天は対象者へ順次個別連絡と注意喚起を行うとしています。利用者は、どちらのサイトを使ったか、予約とログインのどちらが該当するかを確認し、公式発表の問い合わせ先を利用してください。公表時点で二次被害や他サービスへの影響は確認されていません。本記事は10月29日に公式本文を確認した事件ニュースです。
スポンサーリンク
海外ホテル予約ページと多言語サイトは別の事象
楽天トラベルの公式発表は、事象①を子会社Rakuten Travel Xchangeが管理・運営する海外ホテル予約ページの一部、事象②を楽天グループが管理・運営する多言語予約サイトとして分けています。すべての楽天サービスや、楽天トラベルの全ページで同じ影響があったという発表ではありません。
事象①では9月10日に異常を検知し、15日に原因を特定、16日にシステム改修を完了しました。その後の社内調査で顧客情報が不正アクセスの対象になったことを確認しています。事象②は10月20日に不正アクセスの可能性を検知し、同日中に原因を特定、21日に改修を完了したという経緯です。
これらは検知日と対応日であり、攻撃開始日を示すものではありません。公式発表は原因を特定したとしていますが、利用されたや、攻撃者、二つの事象の技術的な関係は具体的に説明していません。同じ原因による一連の攻撃だったと推測してはいけません。
事象①は予約者とログイン利用者で項目が異なる
対象ページから予約した最大約4万件については、氏名、メールアドレス、電話番号、居住国、社内用識別番号、施設名や予約金額などの予約情報に加え、同伴者の氏名と居住国が対象です。そのうち最大約3万6千件には支払情報も含まれます。3万6千件は4万件の内数であり、別に追加する件数ではありません。
支払情報とは、クレジットカードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分です。カード番号の全桁やセキュリティコードは含まれません。また、対象情報にはパスワード、パスポートなどの身分証明書情報、住所も含まれないとしています。
楽天は、今回対象となった支払情報のみでは決済やキャッシングなどの不正利用はできないと説明しています。これは対象情報の範囲に関する同社の説明です。不審な連絡への警戒や、個別通知の確認まで不要になるという意味ではありません。
予約者とは別の集計として、同じ一部ページにログインした利用者の情報が最大約260万件あります。こちらは氏名、メールアドレス、電話番号、社内用識別番号です。ログイン利用者の全件に予約内容や支払情報が含まれていたわけではなく、予約を完了しなかった人も公式通知の確認対象になり得ます。
スポンサーリンク
対象地域の例外と宿泊施設側への影響
事象①の対象は欧州、米国・カナダ、アジア・オセアニアの一部の国・地域です。ただし韓国、台湾、香港、シンガポール、マカオなどは除外され、タイ、ベトナム、フィリピン、インドネシア、米国の一部地域にも除外があります。旅行先の国名だけで決めず、公式発表の除外条件と利用したページ、個別通知を照合してください。
事象②の多言語予約サイトでは、ログイン利用者のメールアドレスと社内用識別番号が最大約86万件、管理画面で入力された宿泊施設従業員のアカウント名、メールアドレス、社内用識別番号が最大約4万件対象です。利用者向けの連絡先に加え、宿泊施設関係者向けの専用問い合わせ先も用意されています。
公表された数字は、それぞれのページや情報区分についての最大件数です。利用者、予約者、同伴者、従業員が混在しており、単純な合計を重複のない被害人数として扱うことはできません。対象者の全員にすべての項目が該当すると読まないことも重要です。
個別通知と事象別の問い合わせ先を確認
楽天はアクセス経路の遮断、システム改修、公式サイトへの告知と個別通知、日本の個人情報保護委員会および国外の関係当局への報告を実施したとしています。対象サイト以外で同様の事象を確認していないという説明は、今回の調査・監視の確認範囲に基づくものです。
本サイトの提案として、利用者は予約履歴や利用したページを手元で整理し、公式発表から該当する問い合わせ先を確認してください。事象①の海外ホテル予約、事象②の多言語予約、事象②の宿泊施設管理画面では窓口が分かれます。不審なメールに返信して予約情報や追加のカード情報を渡す形で確認しないことを勧めます。
宿泊施設側では、管理画面の情報区分が対象に含まれることを担当部署へ共有し、施設が受けた個別連絡と公式窓口を照合することを提案します。この記事は従業員アカウントへの不正ログインやパスワード漏えいを独自に確認したものではありません。公表にない被害や、一律のパスワード初期化を公式の依頼として付け加えないでください。
出典・一次情報
本記事は以下の公開情報をもとに作成しています。最新の状況は各リンク先で確認してください。
