楽天グループ株式会社は2026年10月26日、旅行予約サービス「楽天トラベル」の海外ホテル予約サイトの一部ページと、多言語予約サイトに対して第三者による不正アクセスがあったことを公表しました。
今回公表されたのは2つの事象で、楽天グループの子会社Rakuten Travel Xchangeが管理・運営する海外ホテル予約ページと、楽天グループが管理・運営する多言語予約サイトがそれぞれ対象となっています。
楽天グループによると、現時点で本件に起因すると考えられる二次被害や、その他の楽天サービスへの影響は確認されていません。
海外ホテル予約ページで最大約260万件の顧客情報が対象
1つ目の事象では、2026年9月10日、Rakuten Travel Xchangeが管理・運営する海外ホテル予約サイトの一部ページで異常を検知しました。
9月15日に原因を特定し、翌16日にはシステム改修を完了しています。
その後の調査で、対象ページにログインした最大約260万件の利用者について、氏名、メールアドレス、電話番号、社内用の識別番号が不正アクセスの対象となったことが確認されました。
予約者最大約4万件では予約情報も対象
海外ホテル予約ページから予約した最大約4万件の利用者については、氏名、メールアドレス、電話番号、居住国、社内用の識別番号に加え、施設名や予約金額などの予約情報、同伴者の氏名や居住国も対象となっています。
このうち最大約3万6千件では支払情報も対象となっており、クレジットカードの発行者識別番号、カード番号下4桁、カード名義、有効期限、国際ブランド区分が含まれています。
一方、クレジットカード番号の全桁やセキュリティコードは含まれていません。また、パスワード、パスポートなどの身分証明書情報、住所も今回の対象情報には含まれていないとしています。
楽天グループは、今回対象となった支払情報だけでは、買い物や旅行予約などの決済やキャッシングの不正利用はできないと説明しています。
対象は欧米やアジア・オセアニアの一部地域
海外ホテル予約ページで対象となるエリアは、ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国・地域です。
韓国、台湾、香港、シンガポール、マカオなどは対象外で、タイ、ベトナム、フィリピン、インドネシア、米国についても一部地域が対象外とされています。
多言語予約サイトでも最大約86万件
2つ目の事象では、2026年10月20日、「楽天トラベル」の多言語予約サイトに対する第三者による不正アクセスの可能性を検知しました。
楽天グループは同日に原因を特定し、翌10月21日にシステム改修を完了しています。
調査の結果、多言語予約サイトにログインした最大約86万件の利用者について、メールアドレスと社内用の識別番号が不正アクセスの対象となったことが確認されました。
さらに、多言語予約サイトの管理画面に入力された最大約4万件の宿泊施設従業員について、アカウント名、メールアドレス、社内用の識別番号も対象となっています。
楽天トラベルを装ったフィッシングに注意
今回対象となった情報には、氏名、メールアドレス、電話番号、実際に予約した宿泊施設名や予約金額、カード番号下4桁など、正規の予約内容と結び付く情報が含まれる可能性があります。
こうした情報が悪用された場合、「予約内容の確認」「支払い情報の更新」「予約キャンセル」「返金」などを理由に、実際の予約情報を記載したフィッシングメールやSMSが送られる可能性があります。
メール内に自分の氏名や予約したホテル名、予約金額などが記載されていたとしても、それだけで楽天トラベルからの正規の連絡とは判断できません。
不審なメールやSMSを受信した場合は、メッセージ内のリンクからログインせず、楽天トラベルの公式サイトや公式アプリから予約情報を直接確認してください。
特に、パスワード、クレジットカード番号全桁、セキュリティコードなどの入力を求められた場合は注意が必要です。
対象者には個別に連絡
楽天グループは、対象となる利用者や予約者に対し、順次個別に連絡と注意喚起を行うとしています。
また、アクセス経路の遮断やシステム改修を実施し、日本の個人情報保護委員会および国外の関係当局にも本件を報告しています。
現時点では、本件に起因する二次被害やその他の楽天サービスへの影響は確認されていませんが、今後も公式サイトから最新情報を確認することが重要です。