Para: cualquier persona que reservó o inició sesión en las páginas de reservas de hoteles en el extranjero de Rakuten Travel, los usuarios del sitio de reservas multilingüe en idiomas extranjeros de Rakuten Travel y el personal de alojamientos que usa la pantalla de administración de ese sitio. Este artículo se basa en el aviso oficial de Rakuten Group, Inc. y no aborda técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A 27 de octubre de 2026Aún no se sabe
- Causa y vía de la intrusión
- Periodo de inicios de sesión y reservas abarcado
- Solapamiento entre los 2,6 millones y los 40.000 registros, y número de personas
- Cómo y cuándo se envían los avisos individuales
- Si habrá compensación
En su aviso del 26 de octubre, Rakuten Group afirma que contactará individualmente con los usuarios y los clientes que reservaron afectados, de forma progresiva, con advertencias. No da ningún calendario para nuevas actualizaciones. Volvimos a consultar el aviso el 27 de octubre y no encontramos cambios.
Qué deben hacer hoy los usuarios
Averigüe si podría estar afectado
El incidente 1 (hasta unos 2,6 millones de registros) afecta a algunas de las páginas de reservas de hoteles en el extranjero de Rakuten Travel que gestiona y opera una filial de Rakuten Group. Las zonas que indica la empresa son:
- Incluidas: algunos países y regiones de Europa, Estados Unidos y Canadá, y Asia-Oceanía
- Excluidas: Corea del Sur, Taiwán, Hong Kong, Singapur y Macao
- Excluidas en parte: partes de Tailandia, Vietnam, Filipinas, Indonesia y Estados Unidos (Hawái, Guam, Los Ángeles y otras)
Las personas que iniciaron sesión en esas páginas, aunque no reservaran, pueden estar afectadas. No se ha anunciado el periodo abarcado. El aviso solo menciona una parte de las páginas de reservas de hoteles en el extranjero y el sitio de reservas multilingüe, y la empresa afirma no haber encontrado actividad similar en ningún otro sitio.
Los usuarios que iniciaron sesión en el sitio de reservas multilingüe en idiomas extranjeros (incidente 2) y el personal de alojamientos que usa su pantalla de administración también están afectados.
No use enlaces de mensajes que digan proceder de Rakuten Travel
La empresa afirma que contactará individualmente con las personas afectadas, pero el aviso no dice cómo (correo o aviso en la app). Los mensajes falsos suelen aparecer en las mismas fechas que los avisos auténticos.
Si un correo, un mensaje de texto o una llamada le dice que debe confirmar su reserva, que un pago falló o que debe actualizar los datos de su tarjeta, no use sus enlaces ni sus números de teléfono. Compruebe sus reservas y avisos en la app de Rakuten Travel o en un sitio oficial que usted mismo haya guardado en marcadores.
Que acierte los datos de la reserva o los dígitos de la tarjeta no es prueba
La información afectada incluye nombres de establecimientos, importes de reservas, nombres de acompañantes y el número de identificación del emisor de la tarjeta, los últimos cuatro dígitos, el nombre del titular y la fecha de caducidad. Un mensaje falso podría indicar todo esto correctamente.
Si le piden un número de tarjeta completo, un código de seguridad, una contraseña o un código de un solo uso, no lo facilite, por muy exacto que sea el resto del mensaje.
Revise el extracto de su tarjeta
La empresa afirma que la información de pago afectada por sí sola no puede usarse para pagos (compras o reservas de viajes) ni para disposiciones de efectivo, y no pide a nadie que solicite una nueva tarjeta. Aun así, si pagó un hotel en el extranjero con tarjeta, revise su extracto en busca de cargos que no reconozca.
Si introdujo su número de tarjeta en un sitio falso o encuentra un cargo desconocido, llame a su emisor al número impreso en el reverso de la tarjeta.
Deje de reutilizar contraseñas y active la verificación en dos pasos
La nota del apartado de quienes reservaron dice que no se incluyen contraseñas, y las contraseñas tampoco figuran entre los datos de los clientes que iniciaron sesión (hasta unos 2,6 millones de registros). La empresa no ha pedido a los usuarios que cambien sus contraseñas.
Aun así, un nombre y una dirección de correo facilitan atraer a las personas a una página de inicio de sesión falsa. Si usa la misma contraseña en otros sitios, sepárelas (cómo elegir un gestor de contraseñas) y active la verificación en dos pasos donde esté disponible.
Personal de alojamientos: acceda a la pantalla de administración desde su marcador
En el incidente 2, se vieron afectados los nombres de cuenta y las direcciones de correo de hasta unos 40.000 registros de personal de alojamientos introducidos en la pantalla de administración del sitio de reservas multilingüe. Si recibe un correo que le pide iniciar sesión o confirmar su contrato, no use su enlace; abra la pantalla de administración desde su marcador habitual. Para consultas, use el formulario para alojamientos asociados indicado en la página del aviso.
1. Correo / mensaje de texto / llamada que dice proceder de Rakuten Travel o de su hotel
Nombre, establecimiento, importe y últimos cuatro dígitos de la tarjeta correctos: no decida aquí
↓
2. Ignore sus enlaces y números; abra usted mismo la app o su marcador
Compruebe la reserva, los avisos y el estado del pago
↓
3a. Solicitud que no puede confirmar en la app
Número de tarjeta completo, código de seguridad o contraseña: no los facilite
3b. La app muestra el mismo aviso
Complételo dentro de la app o del sitio oficial
Qué ocurrió (según Rakuten Group)
Lo siguiente se basa en el aviso que Rakuten Group, Inc. publicó en el sitio de Rakuten Travel el 26 de octubre de 2026. El aviso abarca dos incidentes distintos. Las cifras se dan por incidente y por dato, por lo que este sitio no las ha sumado.
10 de septiembre de 2026
Se detectó una anomalía en algunas de las páginas de reservas de hoteles en el extranjero gestionadas y operadas por la filial Rakuten Travel Xchange (incidente 1).15 de septiembre
Se identificó la causa del incidente 1.16 de septiembre
Se completó la corrección del sistema del incidente 1. Una investigación interna posterior confirmó qué información se vio afectada.20 de octubre
Se detectó un posible acceso no autorizado al sitio de reservas multilingüe y se identificó la causa el mismo día (incidente 2).21 de octubre
Se completó la corrección del sistema del incidente 2.26 de octubre
Se publicó el aviso en el sitio de Rakuten Travel. La empresa dijo haber informado a la Comisión de Protección de Información Personal de Japón y a las autoridades extranjeras pertinentes.
- Operadas por
- Algunas páginas gestionadas y operadas por la filial de Rakuten Group Rakuten Travel Xchange
- Clientes que iniciaron sesión
- Nombres, direcciones de correo, números de teléfono e ID internos de hasta unos 2,6 millones de registros
- Clientes que reservaron
- Nombres, direcciones de correo, números de teléfono, país de residencia, ID internos, datos de la reserva (nombre del establecimiento, importe de la reserva, etc.) y nombres y países de residencia de los acompañantes de hasta unos 40.000 registros
- Información de pago
- Hasta unos 36.000 de los clientes que reservaron: número de identificación del emisor de la tarjeta y últimos cuatro dígitos, nombre del titular, fecha de caducidad y marca de la tarjeta
- No incluido (según la empresa)
- Números completos de tarjeta y códigos de seguridad, contraseñas, pasaportes y otros documentos de identidad, y direcciones postales (nota del apartado de quienes reservaron)
- Operado por
- Rakuten Group
- Clientes que iniciaron sesión
- Direcciones de correo e ID internos de hasta unos 860.000 registros
- Personal de alojamientos
- Nombres de cuenta, direcciones de correo e ID internos introducidos en la pantalla de administración, de hasta unos 40.000 registros
Según la empresa, la vigilancia de su equipo de seguridad no encontró actividad similar en otros sitios, y hasta ahora no se ha confirmado ningún daño secundario ni efecto en otros servicios atribuible al incidente. Las medidas que enumera son bloquear la vía de acceso, corregir los sistemas, publicar el aviso y notificar individualmente a los clientes, e informar a las autoridades.
Qué se sabe y qué no
Estado a 27 de octubre de 2026. Actualizaremos esta tabla a medida que la empresa publique más información.
| Elemento | Lo que dice el aviso | Estado |
|---|---|---|
| Se produjo un acceso no autorizado | Acceso no autorizado por parte de un tercero externo confirmado | Confirmado (empresa) |
| Nombres, direcciones de correo, números de teléfono (clientes que iniciaron sesión) | Hasta unos 2,6 millones de registros | Afectados (empresa) |
| Datos de la reserva, país de residencia, nombres de acompañantes (clientes que reservaron) | Hasta unos 40.000 registros | Afectados (empresa) |
| Número de identificación del emisor, últimos cuatro dígitos, nombre del titular, fecha de caducidad, marca de la tarjeta | Hasta unos 36.000 registros | Afectados (empresa) |
| Número de tarjeta completo y código de seguridad | No incluidos | No incluidos (empresa) |
| Contraseñas, documentos de identidad, direcciones postales | Indicados como no incluidos en la nota del apartado de quienes reservaron; tampoco figuran para los clientes que iniciaron sesión | No incluidos (empresa) |
| Direcciones de correo (sitio de reservas multilingüe) | Hasta unos 860.000 registros | Afectadas (empresa) |
| Nombres de cuenta y direcciones de correo del personal de alojamientos | Hasta unos 40.000 registros | Afectados (empresa) |
| Número de registros realmente sustraídos | El aviso dice que la información fue «objeto de» acceso no autorizado y no dice si se sustrajo ni cuánto | No indicado |
| Daños secundarios | Ninguno confirmado hasta ahora | No confirmados (empresa) |
| Periodo de inicios de sesión y reservas abarcado | No indicado | No indicado |
| Solapamiento entre los 2,6 millones y los 40.000 registros; número de personas | No indicado (las cifras son registros) | No indicado |
| Causa y vía de la intrusión | Causa identificada y corregida, pero no descrita | No indicado |
| Compensación | No indicada | No indicado |
Nota: las cifras son registros, no personas
Todas las cifras del aviso son «hasta unos N registros» (件). Si una misma persona inició sesión o reservó más de una vez, el número de personas puede ser menor, y el aviso no dice en qué medida se solapan los 2,6 millones y los 40.000 registros. La empresa dice haber confirmado que la información fue «objeto de acceso no autorizado» (traducción); el aviso no dice si se sacaron datos.
Para qué podría usarse la combinación de datos afectados
Lo siguiente es para qué podría usarse en general esta combinación de datos. La empresa no ha dicho que nada de esto haya ocurrido en este caso.
- Nombre + correo + número de teléfono: permite que un correo, mensaje de texto o llamada falsos que dicen proceder de Rakuten Travel o de su hotel se dirijan a usted por su nombre
- Nombre del establecimiento, importe de la reserva, nombres de acompañantes: permiten un mensaje convincente del tipo «sobre su reserva en el hotel X». Se han informado públicamente estafas que suplantan a sitios de reservas u hoteles y piden pagos en los casos de Booking.com y Temairazu
- Últimos cuatro dígitos de la tarjeta, fecha de caducidad, nombre del titular: permiten un mensaje realista del tipo «falló el pago con su tarjeta terminada en XXXX» para obtener el número completo o el código de seguridad
- Nombre de cuenta + correo del personal de alojamientos: pueden usarse para atraer al personal a una página de inicio de sesión de administración falsa
Todo esto se frena no usando los enlaces del mensaje y comprobando en una app o un sitio oficial que usted mismo abra.
Qué deben revisar los operadores
La causa no se ha revelado, así que esta sección solo trata lo que se desprende de los datos afectados.
- Los datos de tarjeta solo para mostrar siguen siendo material para estafas: los últimos cuatro dígitos, la fecha de caducidad y el nombre del titular no sirven por sí solos para pagar, pero hacen convincentes los mensajes falsos. No los trate como de bajo riesgo porque no se puedan cobrar; revise cuánto guarda, durante cuánto tiempo y quién puede acceder a ellos.
- Las personas que solo iniciaron sesión pueden estar afectadas: aquí, los registros de clientes que iniciaron sesión (hasta unos 2,6 millones) superan con creces a los de quienes reservaron (hasta unos 40.000). Haga inventario de qué sistemas guardan datos de usuarios que nunca reservaron, y cuántos.
Fuentes (registros públicos)
Los datos de este artículo se basan en la siguiente información pública. No hemos hecho suposiciones sobre la causa, el periodo ni el número de personas, que no se han revelado.
- Rakuten Travel, «Disculpas y aviso sobre algunas páginas del sitio de reservas de hoteles en el extranjero y el sitio de reservas multilingüe» (Rakuten Group, Inc., 26 de octubre de 2026, en japonés) — travel.rakuten.co.jp
- Travel Voice (26 de octubre de 2026: información sobre el aviso, en japonés) — travelvoice.jp
- Impress Watch (26 de octubre de 2026: información sobre el aviso, en japonés) — watch.impress.co.jp
Historial de actualizaciones
2026-10-27: Primera versión, basada en el aviso de Rakuten Group, Inc. del 26 de octubre (consultado de nuevo el 27 de octubre, sin cambios). Actualizaremos cuando se anuncien la causa, el periodo o una compensación.
Lectura recomendada
- El mismo patrón de estafa: La filtración de datos de reservas de Booking.com / Acceso no autorizado a TEMAIRAZU
- Un caso de sitio de reservas de viajes: la filtración de skyticket (Adventure Inc.)
- Otro caso del mismo grupo: Acceso no autorizado a Rakuten Drive
- Mensajes fraudulentos: ¿Qué es el phishing?
- Proteger sus cuentas: Cómo elegir la autenticación multifactor / Cómo elegir un gestor de contraseñas
- Otros incidentes de 2026: Lista de filtraciones y ciberataques (Japón y el mundo)