対象：楽天トラベルの海外ホテル予約ページで予約した人・ログインした人、外国語の多言語予約サイトの利用者、多言語予約サイトの管理画面を使う宿泊施設の従業員。本記事は楽天グループ株式会社の公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月27日時点まだ分かっていないこと
- 原因・侵入の経路
- 対象となったログイン・予約の期間
- 260万件・4万件の重なりと人数
- 個別連絡の方法と進み具合
- 補償の有無
楽天グループは10月26日の発表で、対象となる利用者・予約者に「順次、個別のご連絡と注意喚起」を行うとしています。続報の予定や時期は書かれていません。10月27日に発表ページを再確認しましたが、内容の変更はありませんでした。
利用者が今日やること
自分が対象になり得るかを知る
事象①（最大約260万件）の対象は、楽天トラベルの海外ホテル予約ページのうち、楽天グループの子会社が管理・運営する一部のページです。同社が示した対象エリアは次のとおりです。
- 対象：ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部対象国・地域
- 除外：韓国、台湾、香港、シンガポール、マカオ
- 一部地域を除外：タイ、ベトナム、フィリピン、インドネシア、米国（ハワイ、グアム、ロサンゼルス他）
これらのページにログインした人（予約していなくても）が対象になり得ます。いつのログイン・予約が対象かは公表されていません。発表に書かれた対象は海外ホテル予約ページの一部と多言語予約サイトで、同社は、当該サイト以外では同様の事象は確認されていないとしています。
外国語の多言語予約サイト（事象②）にログインした人と、その管理画面を使う宿泊施設の従業員も対象です。
楽天トラベルを名乗る連絡のリンクは使わない
同社は対象者に個別に連絡するとしていますが、連絡の方法（メールか、アプリのお知らせか）は発表に書かれていません。本物の連絡が来る時期に合わせて、偽の連絡も出やすくなります。
メール・SMS・電話で「予約の確認」「支払いに失敗しました」「カード情報を更新してください」と言われても、本文のリンクや番号は使わず、楽天トラベルのアプリか自分でブックマークした公式サイトから予約とお知らせを確かめます。
予約内容やカードの下4桁が正しくても、本物の証拠にしない
今回対象になった情報には、予約した施設名・予約金額、同伴者の氏名、カードの発行者識別番号・下4桁・名義・有効期限が含まれます。偽の連絡がこれらを正しく書いてくることはあり得ます。
カード番号の全桁、セキュリティコード、パスワード、ワンタイムパスワードの入力を求められたら、中身が正確でも応じません。
カードの利用明細を確認する
同社は、対象の支払情報だけでは決済（お買い物・旅行予約）やキャッシングなどの不正利用はできないとしており、カードの再発行は求めていません。それでも、海外ホテルの予約にカードを使った人は、利用明細に身に覚えのない請求がないか確認しておきます。
偽のサイトにカード番号を入力してしまった場合や、不審な請求を見つけた場合は、カードの裏面に書かれた番号でカード会社に連絡します。
パスワードの使い回しをやめ、2段階認証を使う
発表では、予約者の項目の注記でパスワードは含まれないとされ、ログインした人（最大約260万件）の項目にもパスワードは挙げられていません。同社はパスワードの変更を求めていません。
ただ、メールアドレスと氏名が分かれば、ログインを装う偽ページへの誘導は作りやすくなります。同じパスワードを他のサービスでも使っているなら分けておき（パスワードマネージャーの選び方）、使えるサービスでは2段階認証を有効にします。
宿泊施設の従業員：管理画面にはブックマークから入る
事象②では、多言語予約サイトの管理画面で入力された最大約4万件の宿泊施設従業員のアカウント名・メールアドレスが対象です。管理画面のログインや契約の確認を求めるメールが届いても、リンクからは入らず、普段使っているブックマークから入ります。不明な点は、発表ページにある宿泊施設の関係者向けの問い合わせフォームで確かめます。
① 楽天トラベル・宿を名乗るメール／SMS／電話
氏名・施設名・予約金額・カード下4桁が正しい → ここでは判断しない
↓
② リンク・番号は使わず、アプリかブックマークから自分で開く
予約の内容・お知らせ・支払い状況を確認
↓
③-A アプリで確かめられない要求
カード番号の全桁・セキュリティコード・パスワードの入力 → 応じない
③-B アプリにも同じ案内がある
手続きはアプリ・公式サイトの中で行う
何が起きたのか（楽天グループの発表より）
以下は、楽天グループ株式会社が2026年10月26日に楽天トラベルのサイトに掲載したお知らせにもとづく内容です。発表は2つの別の事象を1本にまとめています。件数は事象ごと・項目ごとに分かれているため、当サイトでは足し合わせていません。
2026年9月10日
海外ホテル予約サイトのうち、子会社のRakuten Travel Xchangeが管理・運営する一部のページで異常を検知（事象①）9月15日
事象①の原因を特定9月16日
事象①のシステム改修を完了。その後の社内調査で、対象となった情報を確認10月20日
多言語予約サイトへの不正アクセスの可能性を検知し、同日に原因を特定（事象②）10月21日
事象②のシステム改修を完了10月26日
楽天トラベルのサイトでお知らせを公表。個人情報保護委員会と国外の関係当局に報告済みとした
- 運営
- 楽天グループの子会社Rakuten Travel Xchangeが管理・運営する一部のページ
- ログインした人
- 最大約260万件の氏名、メールアドレス、電話番号、社内用の識別番号
- 予約した人
- 最大約4万件の氏名、メールアドレス、電話番号、居住国、社内用の識別番号、予約情報（施設名、予約金額等）、同伴者の氏名・居住国
- 支払情報
- 予約した人のうち最大約3万6千件。カードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分
- 含まれない（同社）
- クレジットカードの番号全桁・セキュリティコード、パスワード、パスポート等の身分証明書情報、住所（予約者の項目の注記）
- 運営
- 楽天グループが管理・運営
- ログインした人
- 最大約86万件のメールアドレス、社内用の識別番号
- 宿泊施設の従業員
- 管理画面で入力された最大約4万件のアカウント名、メールアドレス、社内用の識別番号
同社によれば、セキュリティの専門チームによるモニタリングでは当該サイト以外で同様の事象は確認されておらず、本件に起因すると考えられる二次被害やその他のサービスへの影響も、現時点では確認されていません。対応として、アクセス経路の遮断、システムの改修、サイトへの掲載と個別通知、当局への報告を挙げています。
分かっていること・分かっていないこと
2026年10月27日時点の状態です。続報が出たら、この表を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 不正アクセスがあったこと | 社外の第三者による不正アクセスを確認 | 確定（同社） |
| 氏名・メールアドレス・電話番号（ログインした人） | 最大約260万件 | 影響対象（同社） |
| 予約情報・居住国・同伴者の氏名（予約した人） | 最大約4万件 | 影響対象（同社） |
| カードの発行者識別番号・下4桁・名義・有効期限・国際ブランド区分 | 最大約3万6千件 | 影響対象（同社） |
| カード番号の全桁・セキュリティコード | 対象に含まれない | 含まれない（同社） |
| パスワード・身分証明書情報・住所 | 予約者の項目の注記で含まれないと明記。ログインした人の項目にも挙げられていない | 含まれない（同社） |
| メールアドレス（多言語予約サイト） | 最大約86万件 | 影響対象（同社） |
| 宿泊施設従業員のアカウント名・メールアドレス | 最大約4万件 | 影響対象（同社） |
| 情報が持ち出された件数 | 発表は「対象となった」と記載し、持ち出しの有無・件数は書いていない | 記載なし |
| 二次被害 | 現時点で確認されていない | 確認されていない（同社） |
| 対象となったログイン・予約の期間 | 記載なし | 記載なし |
| 260万件と4万件の重なり、人数 | 記載なし（件数で公表） | 記載なし |
| 原因・侵入の経路 | 原因を特定し改修したとするが、中身は記載なし | 記載なし |
| 補償 | 記載なし | 記載なし |
読み方の注意：件数は「人数」ではない
発表の数字はすべて「最大約〇件」です。同じ人が複数回ログイン・予約していれば、人数はこれより少ない可能性があり、260万件と4万件がどれだけ重なるかも書かれていません。同社の表現は「不正アクセスの対象となったことを確認」で、情報が外部に持ち出されたかどうかは書かれていません。
漏れた項目の組み合わせで何が起きうるか
以下は、今回対象になった項目の組み合わせから一般に起きうることで、本件で起きたと同社が公表しているものではありません。
- 氏名＋メールアドレス＋電話番号：楽天トラベルや宿泊先を名乗るメール・SMS・電話の宛先と呼びかけに使える
- 予約した施設名・予約金額・同伴者の氏名：「〇〇ホテルのご予約について」と具体的に書いた偽の連絡が作れる。予約サイトや宿を装って支払いを求める詐欺は、Booking.comや手間いらずの事案で実際に公表されている
- カードの下4桁・有効期限・名義：「末尾〇〇〇〇のカードの決済に失敗しました」と本物らしく書き、全桁やセキュリティコードを入力させる誘導に使える
- 宿泊施設従業員のアカウント名＋メールアドレス：管理画面のログインを装う偽ページへの誘導に使える
どれも、届いた連絡のリンクを使わず、自分で開いたアプリや公式サイトで確かめれば防げます。
運営者が見直すこと
原因は公表されていないため、ここでは漏れた項目から言えることだけを挙げます。
- 表示用のカード情報も、漏れれば詐欺の材料になる：カードの下4桁・有効期限・名義は、それだけでは決済に使えない一方、本物らしい偽の連絡を作る材料になります。「決済に使えないから低リスク」とせず、保存する範囲と期間、アクセスできる人を見直します。
- ログインしただけの利用者の情報も対象になり得る：今回、予約者（最大約4万件）よりログインした人（最大約260万件）の件数がはるかに大きくなっています。予約を伴わない利用者の情報を、どのシステムにどこまで持たせているかを棚卸しします。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない原因・期間・人数は推測していません。
- 楽天トラベル「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」（楽天グループ株式会社、2026年10月26日） — travel.rakuten.co.jp
- トラベルボイス（2026年10月26日：発表の内容を報道） — travelvoice.jp
- Impress Watch（2026年10月26日：発表の内容を報道） — watch.impress.co.jp
更新履歴
2026-10-27：初版。楽天グループ株式会社の10月26日の発表にもとづく（10月27日に発表ページを再確認、変更なし）。原因・期間・補償が公表されたら更新します。
次に読む
- 同じ型の詐欺：Booking.comの予約情報への不正アクセス ／ 手間いらず TEMAIRAZU不正アクセス
- 旅行予約サイトの事案：skyticket（アドベンチャー）への不正アクセス
- 同じグループの別の事案：楽天ドライブへの不正アクセス
- 詐欺メッセージへの備え：フィッシングとは
- アカウントを守る：多要素認証の選び方 ／ パスワードマネージャーの選び方
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）