楽天トラベルの海外ホテル予約ページと多言語予約サイトに不正アクセス——ログイン利用者最大約260万件などが対象、一部は支払情報も

楽天グループは2026年10月26日、旅行予約サービス「楽天トラベル」で2件の不正アクセスがあったと発表した。対象は、海外ホテル予約サイトの一部ページと、多言語予約サイトである。海外ホテル予約サイトの一部ページは、子会社のRakuten Travel Xchangeが管理・運営している。

不正アクセスの対象となった情報には、ログインした利用者最大約260万件の氏名やメールアドレスなどが含まれる。予約者のうち最大約3万6千件は、クレジットカードの下4桁などの支払情報も対象となった。同社は、対象の情報だけでは決済などの不正利用はできないと説明している。

1件目は子会社が運営する海外ホテル予約ページ

1件目は、Rakuten Travel Xchangeが管理・運営する海外ホテル予約ページで起きた。2026年9月10日に異常を検知し、9月15日に原因を特定した。9月16日にはシステムの改修を終えている。その後の社内調査で、利用者の情報が不正アクセスの対象になったことを確認した。

対象となった海外ホテル予約ページの地域は、ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国・地域である。韓国、台湾、香港、シンガポール、マカオは除かれる。タイ、ベトナム、フィリピン、インドネシア、米国（ハワイ、グアム、ロサンゼルスなど）の一部地域も対象外とされている。

1件目で対象となった情報は2種類ある。1つは、このページから予約した最大約4万件の利用者の情報だ。氏名、メールアドレス、電話番号、居住国、社内用の識別番号、施設名や予約金額などの予約情報が含まれる。同伴者の氏名と居住国も対象である。

このうち最大約3万6千件は、支払情報も対象になった。支払情報とは、カードの発行者識別番号と下4桁、名義、有効期限、国際ブランドの区分である。カード番号の全桁とセキュリティコードは含まれていない。パスワードやパスポートなどの身分証明書の情報、住所も含まれないという。

もう1つは、このページにログインした最大約260万件の利用者の情報だ。内容は、氏名、メールアドレス、電話番号、社内用の識別番号である。

2件目は、楽天トラベルの多言語予約サイトで起きた。2026年10月20日に不正アクセスの可能性を検知し、同日に原因を特定した。翌10月21日にシステムの改修を終えている。

対象となったのは、多言語予約サイトにログインした最大約86万件の利用者のメールアドレスと社内用の識別番号である。加えて、多言語予約サイトの管理画面で入力された最大約4万件の宿泊施設従業員の情報も対象となった。アカウント名、メールアドレス、社内用の識別番号が含まれる。

楽天グループによると、セキュリティ専門チームが監視した結果、対象のサイト以外では同様の事象は確認されていない。本件が原因とみられる二次被害や、ほかのサービスへの影響も、現時点では確認されていないという。

同社は、アクセス経路の遮断とシステムの改修を実施した。対象者には順次、個別に連絡して注意を呼びかける。個人情報保護委員会と国外の関係当局にも報告した。不正アクセスの手口や、2件の間の関連の有無は、お知らせでは示されていない。

今回は、子会社が運営するページと、多言語向けのサイトが対象となった。本体とは別の会社や部署が運営するサイトは、監視や改修の体制が手薄になりやすい。グループ会社や委託先が運営するWebサイトも含めて、管理状況を棚卸ししておきたい。

漏えいした情報には、氏名や電話番号、予約内容が含まれる。こうした情報は、本物らしく見せかけたフィッシングメールに悪用されるおそれがある。出張の手配で楽天トラベルの海外ホテル予約を使っていた企業は、社員に不審な連絡への注意を呼びかけるとよい。

楽天グループは、楽天トラベルの海外ホテル予約サイトの一部ページと多言語予約サイトで、2件の不正アクセスがあったと発表した。ログイン利用者最大約260万件の氏名などが対象となり、予約者最大約3万6千件はカードの下4桁などの支払情報も含まれる。

同社は、対象の情報だけでは決済などの不正利用はできないとしている。企業は、グループ会社や委託先が運営するサイトの管理状況を見直すとともに、社員にフィッシングへの注意を促しておきたい。