适用对象：在Rakuten Travel海外酒店预订页面上预订或登录过的人、Rakuten Travel面向外国语言用户的多语言预订网站的用户，以及使用该网站管理界面的住宿设施工作人员。本文基于乐天集团（Rakuten Group, Inc.）的官方通知，不涉及攻击手法。
事件仍在发展：本文将随机构发布更多信息而更新
截至2026年10月27日尚不清楚
- 入侵的原因和途径
- 所涉登录和预订的期间
- 260万条与4万条记录的重叠情况及人数
- 个别通知的方式和时间
- 是否有赔偿
乐天集团在10月26日的通知中表示，将依次单独联系受影响的用户和预订者并提醒注意。通知未给出后续更新的时间表。本站于10月27日重新查看了该通知，未发现变化。
用户今天应该做什么
判断您是否可能在范围内
事件1（最多约260万条记录）涉及乐天集团子公司管理和运营的Rakuten Travel部分海外酒店预订页面。公司列出的地区如下：
- 在范围内：欧洲、美国和加拿大以及亚洲-大洋洲的部分国家和地区
- 不包括：韩国、台湾、香港、新加坡和澳门
- 部分不包括：泰国、越南、菲律宾、印度尼西亚和美国（夏威夷、关岛、洛杉矶等）的部分地区
在这些页面上登录过的人，即使没有预订，也可能在范围内。所涉期间尚未公布。通知只点名了部分海外酒店预订页面和多语言预订网站，公司表示在其他网站上未发现类似活动。
登录过面向外国语言用户的多语言预订网站的用户（事件2），以及使用其管理界面的住宿设施工作人员，也在范围内。
不要使用声称来自Rakuten Travel的消息中的链接
公司表示将单独联系受影响者，但通知未说明联系方式（电子邮件或应用内通知）。虚假消息往往会与真实通知在同一时期出现。
如果电子邮件、短信或电话称您的预订需要确认、付款失败或需要更新银行卡信息，请不要使用其中的链接或电话号码。请在Rakuten Travel应用或您自己收藏的官方网站上核实预订和通知。
预订详情或卡号数字准确并不能作为证明
受影响信息包括设施名称、预订金额、同行人姓名，以及发卡机构识别号码、卡号末四位、持卡人姓名和有效期。虚假消息可能准确说出所有这些信息。
如果对方要求您提供完整卡号、安全码、密码或一次性验证码，无论消息的其他内容多么准确，都不要提供。
查看您的银行卡账单
公司表示，仅凭受影响的支付信息无法用于支付（购物或旅行预订）或预借现金，也没有要求任何人重新办卡。即便如此，如果您曾用银行卡支付海外酒店费用，请查看账单中是否有不认识的扣款。
如果您曾在虚假网站上输入卡号，或发现不认识的扣款，请拨打银行卡背面印有的号码联系发卡机构。
住宿设施工作人员：通过您的书签进入管理界面
在事件2中，最多约4万条在多语言预订网站管理界面中登记的住宿设施工作人员记录的账户名和电子邮件地址受影响。如果收到要求您登录或确认合同的电子邮件，请不要使用其中的链接，而是从您平常使用的书签打开管理界面。如有疑问，请使用通知页面上列出的住宿设施合作伙伴专用表单。
1. 声称来自Rakuten Travel或酒店的电子邮件／短信／电话
姓名、设施、金额、卡号末四位都准确：不要在这里下判断
↓
2. 忽略其中的链接和号码，自己打开应用或书签
核实预订、通知和付款状态
↓
3a. 在应用中无法核实的要求
完整卡号、安全码或密码：不要提供
3b. 应用中显示了相同的通知
在应用或官方网站内完成操作
事件经过（据乐天集团）
以下内容基于乐天集团于2026年10月26日在Rakuten Travel网站上发布的通知。该通知涉及两起不同的事件。由于记录数按事件和项目分别给出，本站未将其相加。
2026年9月10日
在子公司Rakuten Travel Xchange管理和运营的部分海外酒店预订页面上发现异常（事件1）。9月15日
查明事件1的原因。9月16日
事件1的系统修复完成。随后的内部调查确认了受影响的信息。10月20日
发现多语言预订网站可能遭未经授权访问，并于当天查明原因（事件2）。10月21日
事件2的系统修复完成。10月26日
在Rakuten Travel网站上发布通知。公司表示已向日本个人信息保护委员会及相关海外机构报告。
- 运营方
- 由乐天集团子公司Rakuten Travel Xchange管理和运营的部分页面
- 已登录客户
- 最多约260万条记录的姓名、电子邮件地址、电话号码和内部ID
- 已预订客户
- 最多约4万条记录的姓名、电子邮件地址、电话号码、居住国家/地区、内部ID、预订详情（设施名称、预订金额等）及同行人的姓名和居住国家/地区
- 支付信息
- 其中最多约3.6万条预订者记录：发卡机构识别号码和卡号末四位、持卡人姓名、有效期和卡组织
- 不包括（据公司）
- 完整卡号和安全码、密码、护照等身份证件以及地址（预订者项目的注释）
- 运营方
- 乐天集团
- 已登录客户
- 最多约86万条记录的电子邮件地址和内部ID
- 住宿设施工作人员
- 在管理界面中登记的账户名、电子邮件地址和内部ID，最多约4万条记录
据公司称，其安全团队的监控未在其他网站上发现类似活动，迄今也未确认由本事件导致的次生损害或对其他服务的影响。公司列出的应对措施包括：阻断访问途径、修复系统、发布通知并单独通知客户，以及向主管机关报告。
已知与未知的信息
截至2026年10月27日的状态。公司发布更多信息后，我们将更新此表。
| 项目 | 通知内容 | 状态 |
|---|---|---|
| 是否发生未经授权访问 | 确认外部第三方进行了未经授权访问 | 已确认（公司） |
| 姓名、电子邮件地址、电话号码（已登录客户） | 最多约260万条记录 | 受影响（公司） |
| 预订详情、居住国家/地区、同行人姓名（预订者） | 最多约4万条记录 | 受影响（公司） |
| 发卡机构识别号码、卡号末四位、持卡人姓名、有效期、卡组织 | 最多约3.6万条记录 | 受影响（公司） |
| 完整卡号和安全码 | 不包括 | 不包括（公司） |
| 密码、身份证件、地址 | 预订者项目的注释说明不包括；已登录客户的项目中也未列出 | 不包括（公司） |
| 电子邮件地址（多语言预订网站） | 最多约86万条记录 | 受影响（公司） |
| 住宿设施工作人员的账户名和电子邮件地址 | 最多约4万条记录 | 受影响（公司） |
| 实际被取走的记录数 | 通知称信息“遭到”未经授权的访问，未说明是否被取走或取走了多少 | 未说明 |
| 次生损害 | 迄今未确认 | 未确认（公司） |
| 所涉登录和预订的期间 | 未说明 | 未说明 |
| 260万条与4万条记录的重叠情况；人数 | 未说明（数字为记录数） | 未说明 |
| 入侵的原因和途径 | 已查明原因并修复，但未作说明 | 未说明 |
| 赔偿 | 未说明 | 未说明 |
注意：数字是记录数，不是人数
通知中的所有数字都是“最多约N条”（件）。如果同一个人多次登录或预订，实际人数可能更少，通知也未说明260万条与4万条记录之间的重叠程度。公司的表述是已确认这些信息“遭到未经授权的访问”（译文）；通知未说明数据是否被带出。
受影响项目的组合可能被用于什么
以下是这类项目组合通常可能被用于的用途。公司并未表示本案中已发生其中任何情况。
- 姓名＋电子邮件＋电话号码：可让冒充Rakuten Travel或酒店的虚假电子邮件、短信或电话直呼您的姓名
- 设施名称、预订金额、同行人姓名：可编写出令人信服的“关于您在X酒店的预订”消息。冒充预订网站或酒店并要求付款的诈骗，已在Booking.com和Temairazu事件中被公开报道
- 卡号末四位、有效期、持卡人姓名：可编写出逼真的“尾号XXXX的银行卡付款失败”消息，用来骗取完整卡号或安全码
- 住宿设施工作人员的账户名＋电子邮件：可被用来把工作人员引到虚假的管理界面登录页
只要不使用消息中的链接，而在您自己打开的应用或官方网站上核实，这些手段都能被阻止。
运营方应检查的事项
原因尚未披露，因此本节只涉及从受影响项目中可以得出的要点。
- 仅用于显示的银行卡数据仍是诈骗素材：卡号末四位、有效期和持卡人姓名本身无法用于支付，但会让虚假消息更有说服力。不要因为无法扣款就视为低风险；请检查保存的数量、保存期限以及谁可以访问。
- 只登录过的人也可能在范围内：本案中，已登录客户的记录（最多约260万条）远多于预订者的记录（最多约4万条）。请清点哪些系统保存了从未预订的用户数据，以及保存了多少。
信息来源（公开记录）
本文事实基于以下公开信息。尚未披露的原因、期间和人数未作推测。
- Rakuten Travel，《关于海外酒店预订网站部分页面及多语言预订网站的致歉与通知》（乐天集团，2026年10月26日，日文）— travel.rakuten.co.jp
- Travel Voice（2026年10月26日：关于该通知的报道，日文）— travelvoice.jp
- Impress Watch（2026年10月26日：关于该通知的报道，日文）— watch.impress.co.jp
更新记录
2026-10-27：首版，基于乐天集团10月26日的通知（10月27日重新查看，无变化）。原因、期间或赔偿公布后将更新。
延伸阅读
- 同类诈骗模式：Booking.com预订数据泄露事件 / TEMAIRAZU不正访问事件
- 旅游预订网站案例：skyticket（Adventure Inc.）泄露事件
- 同一集团的另一起事件：Rakuten Drive遭未经授权访问
- 诈骗消息：什么是网络钓鱼？
- 保护您的账户：如何选择多因素认证 / 如何选择密码管理器
- 2026年其他事件：数据泄露和网络攻击一览（日本及全球）