楽天トラベル、海外ホテル予約サイトと多言語予約サイトに不正アクセス 最大約260万件と約86万件

事案の概要データ

図解：この事故の構造

何が起きたのか

楽天グループは2026年10月26日、旅行予約サービス「楽天トラベル」の2つのサイトで第三者による不正アクセスがあったと公表しました。

事象①は、海外ホテル予約サイトのうち、子会社Rakuten Travel Xchangeが管理・運営する一部ページです。2026年9月10日に異常を検知し、9月15日に原因を特定、9月16日にシステム改修を完了しています。

対象は、そのページから予約した最大約4万件のお客様の氏名、メールアドレス、電話番号、居住国、社内用の識別番号、予約情報（施設名、予約金額等）、同伴者の氏名・居住国。このうち最大約3万6千件には支払情報が含まれます。さらに、同ページにログインした最大約260万件の氏名、メールアドレス、電話番号、社内用の識別番号も対象です。

事象②は、楽天トラベルの多言語予約サイトです。2026年10月20日に不正アクセスの可能性を検知し、同日に原因を特定、翌21日に改修を完了しました。

対象は、ログインした最大約86万件のメールアドレスと社内用の識別番号、および管理画面で入力された最大約4万件の宿泊施設従業員のアカウント名、メールアドレス、社内用の識別番号です。

「含まれていないもの」を書き切った公表文

この公表文で評価したいのは、支払情報の中身を具体的に書き、含まれないものも並べて示した点です。

公表文は、支払情報に含まれるものを「クレジットカードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分」と列挙しています。そして含まれないものを「クレジットカードの番号全桁・セキュリティコード」「パスワード、パスポート等の身分証明書情報、住所」と明記し、さらに「今回対象となる支払情報のみでは、決済（お買い物・旅行予約）やキャッシングなどの不正利用は出来ません」と結論まで書いています。

「カード情報が含まれます」としか書かれていない公表文を読んだ顧客は、カードを止めるべきか判断できません。問い合わせ窓口に電話が殺到し、不安が広がり、「とりあえず再発行」という無駄なコストが大量に発生します。

何が漏れたかと同じ重さで、何が漏れていないかを書く。 これは大企業だから書けるのではなく、調査でそこまで詰めたから書けることです。中小企業でも、事故の公表文を書くときはこの構えを真似してください。「分かっていること」「分かっていないこと」「調べて含まれていないと確認できたこと」を分けて書くだけで、読む人の行動が決まります。

1か所直した後に、別のサイトでもう1件

本件の構造でもう1つ見ておきたいのは、事象①の改修が終わった後に、事象②が起きていることです。

事象①は9月16日に改修完了。事象②の検知は10月20日。約1か月後に、同じ会社の別の予約サイトで不正アクセスの可能性が検知されました。

公表文は「当社のセキュリティ専門チームによるモニタリングの結果、当該サイト以外では同様の事象は確認されておりません」としています。つまり監視は効いていて、2件目も検知できた。これは機能している証拠です。

ただ、ここから学べることははっきりしています。1か所破られたら、同じ作りの他のシステムを全部点検する。 サイトが複数ある会社、同じ開発会社に複数のシステムを作ってもらっている会社、同じフレームワークやプラグインを使い回している会社は、原因が特定できた時点で「同じ原因が他にないか」を横に探す必要があります。

中小企業では、ホームページと予約フォームと通販サイトが別々の時期に別々の業者で作られていることがよくあります。1つで問題が見つかったら、残りも同じ目で見てください。「そっちは別の業者だから」は理由になりません。同じ時期に流行った作り方をしている可能性が高いからです。

宿泊施設の従業員 約4万件という被害

事象②では、顧客だけでなく宿泊施設従業員 最大約4万件のアカウント名とメールアドレスが対象になりました。これは管理画面に入力された情報です。

予約サイトの管理画面を使うのは、ホテルや旅館の現場の人です。つまり取引先（施設側）の担当者情報が漏れたということになります。

ここが怖いのは、アカウント名とメールアドレスの組み合わせが、そのまま不正ログインの入口リストになることです。パスワードは漏れていないとされていますが、「楽天トラベルの管理画面です、パスワードを再設定してください」というフィッシングメールを、正しいアカウント名を添えて送れるようになります。

自社が提供しているサービスに取引先向けの管理画面があるなら、覚えておいてください。取引先の担当者情報も、守るべき個人情報です。 そして取引先は、自社の顧客ほど注意喚起が届きにくい相手です。事故のときに連絡する手段を、顧客とは別に用意しておく必要があります。

対象の方が注意すること

楽天トラベルの海外ホテル予約（ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部）や多言語予約サイトを使った方は、次の点に注意してください。

カードの停止・再発行は、公表文のとおりなら不要。 番号の全桁とセキュリティコードは含まれていないと明記されています。ただし明細の確認は続けてください。

楽天トラベルを装うメールに注意。 予約情報（施設名、予約金額）まで知っている相手からの連絡は、本物に見えます。メール内のリンクから入らず、ブックマークや公式アプリから入ってください。

同伴者の情報も対象。 家族や同僚の名前と居住国も含まれます。自分だけの問題ではないため、一緒に旅行した方にも伝えてください。

宿泊施設の方は、管理画面のパスワード変更と多要素認証の設定を。 アカウント名が漏れているため、ログイン試行の対象になり得ます。

時系列で見る経過

• 2026年9月10日海外ホテル予約サイトの一部ページ（Rakuten Travel Xchange運営）で異常を検知
• 2026年9月15日事象①の原因を特定
• 2026年9月16日事象①のシステム改修を完了
• 2026年10月20日多言語予約サイトで第三者による不正アクセスの可能性を検知。同日に原因を特定
• 2026年10月21日事象②のシステム改修を完了
• 2026年10月26日2つの事象をまとめて公表。個人情報保護委員会および国外の各関係当局へ報告
• （継続）対象となる利用者へ順次、個別の連絡と注意喚起を実施

中小企業が学ぶべきポイント

1. 何が漏れたかと同じ重さで、何が漏れていないかを書く。顧客が行動を判断できるようになる。
2. 「カード情報」と書くだけでは不十分。全桁か下4桁か、セキュリティコードの有無まで書き分ける。
3. 1か所破られたら、同じ作りの他のシステムを横に全部点検する。別業者・別時期でも同じ原因があり得る。
4. 取引先向けの管理画面に入っている担当者情報も、守るべき個人情報。
5. 取引先への注意喚起は、顧客への案内とは別の経路を用意しておく。
6. 同伴者の氏名が漏れる事案では、本人以外にも影響が及ぶ。一緒に使った相手にも伝える。

出典・参考

• 海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ（楽天トラベル）
• 複数予約サイトで侵害、顧客情報が流出か - 楽天トラベル（Security NEXT）