대상: 라쿠텐 트래블 해외 호텔 예약 페이지에서 예약하거나 로그인한 사람, 라쿠텐 트래블의 외국어 다국어 예약 사이트 이용자, 그 사이트의 관리 화면을 사용하는 숙박 시설 담당자. 이 글은 라쿠텐 그룹 주식회사의 공식 안내를 바탕으로 하며, 공격 기법은 다루지 않습니다.
진행 중: 조직이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 27일 기준아직 알려지지 않음
- 원인과 침입 경로
- 대상이 되는 로그인·예약 기간
- 260만 건과 4만 건의 중복 및 인원 수
- 개별 연락의 방법과 시기
- 보상 여부
라쿠텐 그룹은 10월 26일 안내에서 대상 이용자와 예약자에게 순차적으로 개별 연락하여 주의를 당부하겠다고 밝혔습니다. 추가 업데이트 일정은 밝히지 않았습니다. 10월 27일 안내문을 다시 확인했으며 변경 사항은 없었습니다.
이용자가 오늘 해야 할 일
대상에 해당할 수 있는지 확인하세요
사안 1(최대 약 260만 건)은 라쿠텐 그룹 자회사가 관리·운영하는 라쿠텐 트래블 해외 호텔 예약 페이지 일부와 관련됩니다. 회사가 밝힌 지역은 다음과 같습니다.
- 대상: 유럽, 미국·캐나다, 아시아·오세아니아의 일부 국가와 지역
- 제외: 한국, 대만, 홍콩, 싱가포르, 마카오
- 일부 제외: 태국, 베트남, 필리핀, 인도네시아, 미국(하와이, 괌, 로스앤젤레스 등)의 일부
해당 페이지에 로그인한 사람은 예약하지 않았더라도 대상일 수 있습니다. 대상 기간은 발표되지 않았습니다. 안내문은 해외 호텔 예약 페이지 일부와 다국어 예약 사이트만 언급하며, 회사는 다른 사이트에서 유사한 활동을 발견하지 못했다고 밝혔습니다.
외국어 다국어 예약 사이트(사안 2)에 로그인한 이용자와 그 관리 화면을 사용하는 숙박 시설 담당자도 대상입니다.
라쿠텐 트래블을 사칭하는 메시지의 링크를 사용하지 마세요
회사는 대상자에게 개별 연락하겠다고 밝혔지만, 안내문은 그 방법(이메일 또는 앱 내 알림)을 밝히지 않습니다. 가짜 메시지는 진짜 안내와 같은 시기에 나타나는 경향이 있습니다.
이메일, 문자, 전화로 예약 확인이 필요하다, 결제에 실패했다, 카드 정보를 갱신해야 한다는 연락을 받으면 그 링크나 전화번호를 사용하지 마세요. 예약과 알림은 라쿠텐 트래블 앱이나 직접 즐겨찾기에 등록한 공식 사이트에서 확인하세요.
예약 내용이나 카드 숫자가 맞아도 증거가 아닙니다
대상 정보에는 숙박 시설 이름, 예약 금액, 동반자 이름, 카드 발급사 식별 번호, 끝 네 자리, 카드 명의인 이름, 유효 기간이 포함됩니다. 가짜 메시지가 이 모든 것을 정확하게 적을 수 있습니다.
카드 번호 전체, 보안 코드, 비밀번호, 일회용 인증 번호를 요구받으면, 나머지 내용이 아무리 정확해도 알려주지 마세요.
카드 이용 내역을 확인하세요
회사는 대상이 된 결제 정보만으로는 결제(쇼핑이나 여행 예약)나 현금 서비스에 사용할 수 없다고 밝혔으며, 카드 재발급을 요청하지 않습니다. 그래도 해외 호텔 요금을 카드로 결제했다면, 이용 내역에 기억에 없는 청구가 없는지 확인하세요.
가짜 사이트에 카드 번호를 입력했거나 모르는 청구를 발견했다면 카드 뒷면에 적힌 번호로 카드 발급사에 전화하세요.
비밀번호 재사용을 멈추고 2단계 인증을 켜세요
예약자 항목의 주석에는 비밀번호가 포함되지 않았다고 되어 있으며, 로그인 이용자(최대 약 260만 건)의 항목에도 비밀번호는 없습니다. 회사는 비밀번호 변경을 요청하지 않았습니다.
그래도 이름과 이메일 주소가 있으면 가짜 로그인 페이지로 유도하기가 쉬워집니다. 같은 비밀번호를 다른 곳에서도 쓰고 있다면 분리하고(비밀번호 관리자 선택하기), 가능한 곳에서는 2단계 인증을 켜세요.
숙박 시설 담당자: 관리 화면은 즐겨찾기에서 여세요
사안 2에서는 다국어 예약 사이트 관리 화면에 입력된 숙박 시설 담당자 최대 약 4만 건의 계정 이름과 이메일 주소가 대상이 되었습니다. 로그인이나 계약 확인을 요구하는 이메일을 받으면 그 링크를 사용하지 말고, 평소 쓰는 즐겨찾기에서 관리 화면을 여세요. 문의는 안내 페이지에 있는 숙박 시설 파트너용 양식을 이용하세요.
1. 라쿠텐 트래블이나 숙박 시설을 사칭하는 이메일 / 문자 / 전화
이름, 숙박 시설, 금액, 카드 끝 네 자리가 맞음: 여기서 판단하지 않기
↓
2. 링크와 번호는 무시하고, 앱이나 즐겨찾기를 직접 열기
예약, 알림, 결제 상태 확인
↓
3a. 앱에서 확인할 수 없는 요구
카드 번호 전체, 보안 코드, 비밀번호: 알려주지 않기
3b. 앱에도 같은 알림이 있음
앱이나 공식 사이트 안에서 처리하기
무슨 일이 있었나(라쿠텐 그룹 발표 기준)
아래는 라쿠텐 그룹 주식회사가 2026년 10월 26일 라쿠텐 트래블 사이트에 게시한 안내를 바탕으로 합니다. 안내문은 별개의 두 사안을 다룹니다. 건수는 사안별·항목별로 제시되어 있으므로, 이 사이트는 이를 합산하지 않았습니다.
2026년 9월 10일
자회사 Rakuten Travel Xchange가 관리·운영하는 해외 호텔 예약 페이지 일부에서 이상이 감지되었습니다(사안 1).9월 15일
사안 1의 원인이 특정되었습니다.9월 16일
사안 1의 시스템 수정이 완료되었습니다. 이후 내부 조사로 대상 정보가 확인되었습니다.10월 20일
다국어 예약 사이트에 대한 무단 접근 가능성이 감지되었고, 같은 날 원인이 특정되었습니다(사안 2).10월 21일
사안 2의 시스템 수정이 완료되었습니다.10월 26일
라쿠텐 트래블 사이트에 안내가 게시되었습니다. 회사는 일본 개인정보보호위원회와 관련 해외 당국에 보고했다고 밝혔습니다.
- 운영 주체
- 라쿠텐 그룹 자회사 Rakuten Travel Xchange가 관리·운영하는 일부 페이지
- 로그인한 고객
- 최대 약 260만 건의 이름, 이메일 주소, 전화번호, 내부 ID
- 예약한 고객
- 최대 약 4만 건의 이름, 이메일 주소, 전화번호, 거주 국가, 내부 ID, 예약 내용(숙박 시설 이름, 예약 금액 등), 동반자의 이름과 거주 국가
- 결제 정보
- 예약자 중 최대 약 3만 6천 건: 카드 발급사 식별 번호와 끝 네 자리, 카드 명의인 이름, 유효 기간, 카드 브랜드
- 포함되지 않음(회사 기준)
- 카드 번호 전체와 보안 코드, 비밀번호, 여권 등 신분증, 주소(예약자 항목의 주석)
- 운영 주체
- 라쿠텐 그룹
- 로그인한 고객
- 최대 약 86만 건의 이메일 주소와 내부 ID
- 숙박 시설 담당자
- 관리 화면에 입력된 최대 약 4만 건의 계정 이름, 이메일 주소, 내부 ID
회사에 따르면, 보안 팀의 모니터링에서 다른 사이트의 유사한 활동은 발견되지 않았으며, 현재까지 이 사안으로 인한 2차 피해나 다른 서비스에 대한 영향은 확인되지 않았습니다. 회사가 밝힌 조치는 접근 경로 차단, 시스템 수정, 안내 게시와 고객 개별 통지, 당국 보고입니다.
알려진 것과 알려지지 않은 것
2026년 10월 27일 기준 상황입니다. 회사가 추가로 발표하면 이 표를 업데이트합니다.
| 항목 | 안내문 내용 | 상태 |
|---|---|---|
| 무단 접근 발생 | 외부 제3자의 무단 접근 확인 | 확인됨(회사) |
| 이름, 이메일 주소, 전화번호(로그인한 고객) | 최대 약 260만 건 | 대상(회사) |
| 예약 내용, 거주 국가, 동반자 이름(예약자) | 최대 약 4만 건 | 대상(회사) |
| 카드 발급사 식별 번호, 끝 네 자리, 카드 명의인 이름, 유효 기간, 카드 브랜드 | 최대 약 3만 6천 건 | 대상(회사) |
| 카드 번호 전체와 보안 코드 | 포함되지 않음 | 포함되지 않음(회사) |
| 비밀번호, 신분증, 주소 | 예약자 항목의 주석에 포함되지 않았다고 기재, 로그인한 고객 항목에도 없음 | 포함되지 않음(회사) |
| 이메일 주소(다국어 예약 사이트) | 최대 약 86만 건 | 대상(회사) |
| 숙박 시설 담당자 계정 이름과 이메일 주소 | 최대 약 4만 건 | 대상(회사) |
| 실제로 빠져나간 건수 | 안내문은 정보가 무단 접근의 "대상"이 되었다고 하며, 빠져나갔는지와 그 양은 밝히지 않음 | 밝혀지지 않음 |
| 2차 피해 | 현재까지 확인되지 않음 | 확인되지 않음(회사) |
| 대상이 되는 로그인·예약 기간 | 밝혀지지 않음 | 밝혀지지 않음 |
| 260만 건과 4만 건의 중복, 인원 수 | 밝혀지지 않음(건수는 기록 수) | 밝혀지지 않음 |
| 원인과 침입 경로 | 원인을 특정하고 수정했으나 설명하지 않음 | 밝혀지지 않음 |
| 보상 | 밝혀지지 않음 | 밝혀지지 않음 |
주의: 건수는 사람 수가 아니라 기록 수입니다
안내문의 모든 수치는 '최대 약 N건'입니다. 같은 사람이 여러 번 로그인하거나 예약했다면 실제 인원은 더 적을 수 있으며, 안내문은 260만 건과 4만 건이 얼마나 겹치는지 밝히지 않습니다. 회사의 표현은 정보가 '무단 접근의 대상이 되었음'을 확인했다는 것(번역)이며, 안내문은 데이터가 빠져나갔는지 밝히지 않습니다.
대상 항목의 조합이 어떻게 악용될 수 있나
아래는 이런 항목 조합이 일반적으로 악용될 수 있는 방식입니다. 회사는 이번 사안에서 이 중 어떤 일이 일어났다고도 밝히지 않았습니다.
- 이름 + 이메일 + 전화번호: 라쿠텐 트래블이나 숙박 시설을 사칭하는 가짜 이메일, 문자, 전화가 이름을 부르며 접근할 수 있게 합니다
- 숙박 시설 이름, 예약 금액, 동반자 이름: 그럴듯한 'OO 호텔 예약 건' 메시지를 가능하게 합니다. 예약 사이트나 숙박 시설을 사칭해 결제를 요구하는 사기는 Booking.com과 TEMAIRAZU 사례에서 공개적으로 보고되었습니다
- 카드 끝 네 자리, 유효 기간, 카드 명의인 이름: 카드 번호 전체나 보안 코드를 알아내기 위한 '끝자리 XXXX 카드 결제 실패' 같은 현실적인 메시지를 가능하게 합니다
- 숙박 시설 담당자 계정 이름 + 이메일: 담당자를 가짜 관리 화면 로그인 페이지로 유도하는 데 쓰일 수 있습니다
이 모든 것은 메시지의 링크를 사용하지 않고 직접 연 앱이나 공식 사이트에서 확인하는 것으로 막을 수 있습니다.
운영자가 점검할 점
원인은 공개되지 않았으므로, 이 섹션은 대상 항목에서 도출되는 점만 다룹니다.
- 표시용 카드 정보도 사기의 재료가 됩니다: 끝 네 자리, 유효 기간, 카드 명의인 이름만으로는 결제할 수 없지만, 가짜 메시지를 그럴듯하게 만듭니다. 결제에 쓸 수 없다는 이유로 위험이 낮다고 보지 말고, 얼마나 오래, 얼마나 많이 보관하는지, 누가 접근할 수 있는지 점검하세요.
- 로그인만 한 사람도 대상이 될 수 있습니다: 이번 사안에서는 로그인한 고객의 기록(최대 약 260만 건)이 예약자의 기록(최대 약 4만 건)보다 훨씬 많습니다. 예약한 적 없는 이용자의 데이터를 어떤 시스템이 얼마나 보유하는지 파악하세요.
출처(공개 자료)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 원인, 기간, 인원 수는 추측하지 않았습니다.
- 라쿠텐 트래블, "해외 호텔 예약 사이트 일부 페이지 및 다국어 예약 사이트에 관한 사과와 안내"(라쿠텐 그룹 주식회사, 2026년 10월 26일, 일본어) — travel.rakuten.co.jp
- 트래블 보이스(2026년 10월 26일: 안내에 관한 보도, 일본어) — travelvoice.jp
- Impress Watch(2026년 10월 26일: 안내에 관한 보도, 일본어) — watch.impress.co.jp
업데이트 기록
2026-10-27: 최초 버전. 라쿠텐 그룹 주식회사의 10월 26일 안내를 바탕으로 작성(10월 27일 재확인, 변경 없음). 원인, 기간, 보상이 발표되면 업데이트합니다.
다음으로 읽기
- 같은 유형의 사기: Booking.com 예약 정보 데이터 유출 / TEMAIRAZU 무단 접근
- 여행 예약 사이트 사례: skyticket(Adventure Inc.) 침해 사건
- 같은 그룹의 다른 사례: 라쿠텐 드라이브 무단 접근
- 사기 메시지: 피싱이란?
- 계정 보호: 다중 인증 선택하기 / 비밀번호 관리자 선택하기
- 2026년 기타 사고: 유출 및 사이버 공격 목록(일본 및 전 세계)