Para: quem reservou ou fez login nas páginas de reservas de hotéis no exterior do Rakuten Travel, usuários do site de reservas multilíngue em idiomas estrangeiros do Rakuten Travel e funcionários de hospedagens que usam a tela de administração desse site. Este artigo se baseia no comunicado oficial da Rakuten Group, Inc. e não aborda técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
Em 27 de outubro de 2026Ainda não se sabe
- Causa e via da invasão
- Período de logins e reservas abrangido
- Sobreposição entre os 2,6 milhões e os 40.000 registros, e número de pessoas
- Como e quando os avisos individuais serão enviados
- Se haverá compensação
Em seu comunicado de 26 de outubro, a Rakuten Group diz que entrará em contato individualmente com os usuários e os clientes que reservaram afetados, aos poucos, com alertas. Não informa um cronograma para novas atualizações. Consultamos o comunicado novamente em 27 de outubro e não encontramos mudanças.
O que os usuários devem fazer hoje
Descubra se você pode estar entre os afetados
O incidente 1 (até cerca de 2,6 milhões de registros) envolve algumas das páginas de reservas de hotéis no exterior do Rakuten Travel que uma subsidiária da Rakuten Group gerencia e opera. As áreas que a empresa lista são:
- Incluídas: alguns países e regiões da Europa, dos EUA e Canadá e da Ásia-Oceania
- Excluídas: Coreia do Sul, Taiwan, Hong Kong, Singapura e Macau
- Excluídas em parte: partes da Tailândia, Vietnã, Filipinas, Indonésia e EUA (Havaí, Guam, Los Angeles e outras)
Quem fez login nessas páginas, mesmo sem reservar, pode estar entre os afetados. O período abrangido não foi anunciado. O comunicado menciona apenas parte das páginas de reservas de hotéis no exterior e o site de reservas multilíngue, e a empresa diz não ter encontrado atividade semelhante em nenhum outro site.
Usuários que fizeram login no site de reservas multilíngue em idiomas estrangeiros (incidente 2) e funcionários de hospedagens que usam sua tela de administração também estão entre os afetados.
Não use links de mensagens que dizem vir do Rakuten Travel
A empresa diz que entrará em contato individualmente com os afetados, mas o comunicado não diz como (e-mail ou aviso no app). Mensagens falsas costumam aparecer na mesma época que os avisos verdadeiros.
Se um e-mail, SMS ou ligação disser que sua reserva precisa ser confirmada, que um pagamento falhou ou que os dados do seu cartão precisam ser atualizados, não use os links nem os números de telefone dele. Confira suas reservas e avisos no app do Rakuten Travel ou em um site oficial que você mesmo salvou nos favoritos.
Acertar os dados da reserva ou os dígitos do cartão não é prova
As informações afetadas incluem nomes de hospedagens, valores de reservas, nomes de acompanhantes e o número de identificação do emissor do cartão, os últimos quatro dígitos, o nome do titular e a data de validade. Uma mensagem falsa poderia informar tudo isso corretamente.
Se pedirem o número completo do cartão, o código de segurança, uma senha ou um código de uso único, não informe, por mais exato que seja o resto da mensagem.
Confira a fatura do cartão
A empresa diz que as informações de pagamento afetadas, sozinhas, não podem ser usadas para pagamentos (compras ou reservas de viagem) nem saques, e não pede que ninguém solicite um novo cartão. Mesmo assim, se você pagou um hotel no exterior com cartão, confira a fatura em busca de cobranças que não reconheça.
Se você digitou o número do cartão em um site falso ou encontrou uma cobrança desconhecida, ligue para o emissor no número impresso no verso do cartão.
Pare de reutilizar senhas e ative a verificação em duas etapas
A nota do item sobre quem reservou diz que senhas não estão incluídas, e as senhas também não aparecem entre os dados dos clientes que fizeram login (até cerca de 2,6 milhões de registros). A empresa não pediu que os usuários troquem suas senhas.
Ainda assim, um nome e um endereço de e-mail facilitam atrair pessoas a uma página de login falsa. Se você usa a mesma senha em outros lugares, separe-as (como escolher um gerenciador de senhas) e ative a verificação em duas etapas onde houver.
Funcionários de hospedagens: acessem a tela de administração pelos favoritos
No incidente 2, foram afetados os nomes de conta e endereços de e-mail de até cerca de 40.000 registros de funcionários de hospedagens inseridos na tela de administração do site de reservas multilíngue. Se receber um e-mail pedindo que você faça login ou confirme seu contrato, não use o link; abra a tela de administração pelo seu favorito de sempre. Para dúvidas, use o formulário para hospedagens parceiras indicado na página do comunicado.
1. E-mail / SMS / ligação que diz vir do Rakuten Travel ou do seu hotel
Nome, hospedagem, valor e últimos quatro dígitos do cartão corretos: não decida aqui
↓
2. Ignore os links e números dela; abra você mesmo o app ou o favorito
Confira a reserva, os avisos e o status do pagamento
↓
3a. Pedido que você não consegue confirmar no app
Número completo do cartão, código de segurança ou senha: não informe
3b. O app mostra o mesmo aviso
Conclua dentro do app ou do site oficial
O que aconteceu (segundo a Rakuten Group)
O que segue se baseia no comunicado que a Rakuten Group, Inc. publicou no site do Rakuten Travel em 26 de outubro de 2026. O comunicado abrange dois incidentes distintos. Os números são dados por incidente e por item, por isso este site não os somou.
10 de setembro de 2026
Uma anomalia foi detectada em algumas das páginas de reservas de hotéis no exterior gerenciadas e operadas pela subsidiária Rakuten Travel Xchange (incidente 1).15 de setembro
Causa do incidente 1 identificada.16 de setembro
Correção do sistema do incidente 1 concluída. Uma investigação interna posterior confirmou quais informações foram afetadas.20 de outubro
Possível acesso não autorizado ao site de reservas multilíngue detectado, e a causa identificada no mesmo dia (incidente 2).21 de outubro
Correção do sistema do incidente 2 concluída.26 de outubro
Comunicado publicado no site do Rakuten Travel. A empresa disse ter informado a Comissão de Proteção de Informações Pessoais do Japão e as autoridades estrangeiras pertinentes.
- Operadas por
- Algumas páginas gerenciadas e operadas pela subsidiária da Rakuten Group Rakuten Travel Xchange
- Clientes que fizeram login
- Nomes, endereços de e-mail, números de telefone e IDs internos de até cerca de 2,6 milhões de registros
- Clientes que reservaram
- Nomes, endereços de e-mail, números de telefone, país de residência, IDs internos, dados da reserva (nome da hospedagem, valor da reserva etc.) e nomes e países de residência dos acompanhantes de até cerca de 40.000 registros
- Informações de pagamento
- Até cerca de 36.000 dos clientes que reservaram: número de identificação do emissor do cartão e últimos quatro dígitos, nome do titular, data de validade e bandeira do cartão
- Não incluído (segundo a empresa)
- Números completos de cartão e códigos de segurança, senhas, passaportes e outros documentos de identidade, e endereços (nota do item sobre quem reservou)
- Operado por
- Rakuten Group
- Clientes que fizeram login
- Endereços de e-mail e IDs internos de até cerca de 860.000 registros
- Funcionários de hospedagens
- Nomes de conta, endereços de e-mail e IDs internos inseridos na tela de administração, de até cerca de 40.000 registros
Segundo a empresa, o monitoramento de sua equipe de segurança não encontrou atividade semelhante em outros sites, e até agora não foi confirmado nenhum dano secundário nem efeito em outros serviços atribuível ao incidente. As medidas que lista são bloquear a via de acesso, corrigir os sistemas, publicar o comunicado e notificar individualmente os clientes, e informar as autoridades.
O que se sabe e o que não se sabe
Situação em 27 de outubro de 2026. Atualizaremos esta tabela conforme a empresa publicar mais informações.
| Item | O que diz o comunicado | Situação |
|---|---|---|
| Ocorreu acesso não autorizado | Acesso não autorizado por um terceiro externo confirmado | Confirmado (empresa) |
| Nomes, endereços de e-mail, números de telefone (clientes que fizeram login) | Até cerca de 2,6 milhões de registros | Afetados (empresa) |
| Dados da reserva, país de residência, nomes de acompanhantes (clientes que reservaram) | Até cerca de 40.000 registros | Afetados (empresa) |
| Número de identificação do emissor, últimos quatro dígitos, nome do titular, validade, bandeira do cartão | Até cerca de 36.000 registros | Afetados (empresa) |
| Número completo do cartão e código de segurança | Não incluídos | Não incluídos (empresa) |
| Senhas, documentos de identidade, endereços | Indicados como não incluídos na nota do item sobre quem reservou; também não aparecem para os clientes que fizeram login | Não incluídos (empresa) |
| Endereços de e-mail (site de reservas multilíngue) | Até cerca de 860.000 registros | Afetados (empresa) |
| Nomes de conta e endereços de e-mail de funcionários de hospedagens | Até cerca de 40.000 registros | Afetados (empresa) |
| Número de registros de fato levados | O comunicado diz que as informações foram “alvo de” acesso não autorizado e não diz se foram levadas nem quanto | Não informado |
| Danos secundários | Nenhum confirmado até agora | Não confirmados (empresa) |
| Período de logins e reservas abrangido | Não informado | Não informado |
| Sobreposição entre os 2,6 milhões e os 40.000 registros; número de pessoas | Não informado (os números são registros) | Não informado |
| Causa e via da invasão | Causa identificada e corrigida, mas não descrita | Não informado |
| Compensação | Não informada | Não informado |
Atenção: os números são registros, não pessoas
Todos os números do comunicado são “até cerca de N registros” (件). Se a mesma pessoa fez login ou reservou mais de uma vez, o número de pessoas pode ser menor, e o comunicado não diz o quanto os 2,6 milhões e os 40.000 registros se sobrepõem. A empresa diz ter confirmado que as informações foram “alvo de acesso não autorizado” (tradução); o comunicado não diz se dados foram retirados.
Para que a combinação de itens afetados poderia ser usada
O que segue é para que essa combinação de itens poderia ser usada, em geral. A empresa não disse que nada disso aconteceu neste caso.
- Nome + e-mail + número de telefone: permite que um e-mail, SMS ou ligação falsos que dizem vir do Rakuten Travel ou do seu hotel chamem você pelo nome
- Nome da hospedagem, valor da reserva, nomes de acompanhantes: permitem uma mensagem convincente do tipo “sobre sua reserva no hotel X”. Golpes que se passam por sites de reserva ou hotéis e pedem pagamento foram relatados publicamente nos casos da Booking.com e da Temairazu
- Últimos quatro dígitos do cartão, validade, nome do titular: permitem uma mensagem realista do tipo “o pagamento com seu cartão final XXXX falhou” para obter o número completo ou o código de segurança
- Nome de conta + e-mail de funcionários de hospedagens: podem ser usados para atrair funcionários a uma página de login de administração falsa
Tudo isso é barrado ao não usar os links da mensagem e conferir em um app ou site oficial que você mesmo abre.
O que os operadores devem revisar
A causa não foi divulgada, então esta seção trata apenas do que decorre dos itens afetados.
- Dados de cartão só para exibição ainda servem para golpes: os últimos quatro dígitos, a validade e o nome do titular não servem sozinhos para pagar, mas tornam as mensagens falsas convincentes. Não os trate como de baixo risco porque não podem ser cobrados; revise quanto você guarda, por quanto tempo e quem tem acesso.
- Quem só fez login pode estar entre os afetados: aqui, os registros de clientes que fizeram login (até cerca de 2,6 milhões) superam em muito os de quem reservou (até cerca de 40.000). Faça um levantamento de quais sistemas guardam dados de usuários que nunca reservaram, e quantos.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não fizemos suposições sobre a causa, o período ou o número de pessoas, que não foram divulgados.
- Rakuten Travel, “Pedido de desculpas e comunicado sobre algumas páginas do site de reservas de hotéis no exterior e o site de reservas multilíngue” (Rakuten Group, Inc., 26 de outubro de 2026, em japonês) — travel.rakuten.co.jp
- Travel Voice (26 de outubro de 2026: reportagem sobre o comunicado, em japonês) — travelvoice.jp
- Impress Watch (26 de outubro de 2026: reportagem sobre o comunicado, em japonês) — watch.impress.co.jp
Histórico de atualizações
2026-10-27: Primeira versão, com base no comunicado da Rakuten Group, Inc. de 26 de outubro (consultado novamente em 27 de outubro, sem mudanças). Atualizaremos quando a causa, o período ou uma compensação forem anunciados.
Leia a seguir
- O mesmo padrão de golpe: Vazamento de dados de reservas da Booking.com / Acesso não autorizado à TEMAIRAZU
- Um caso de site de reserva de viagem: o vazamento do skyticket (Adventure Inc.)
- Outro caso do mesmo grupo: Acesso não autorizado ao Rakuten Drive
- Mensagens de golpe: O que é phishing?
- Protegendo suas contas: Como escolher a autenticação multifator / Como escolher um gerenciador de senhas
- Outros incidentes de 2026: Lista de vazamentos e ciberataques (Japão e mundo)