楽天トラベル海外ホテル予約ページなどに不正アクセス

概要

• 楽天トラベルの海外ホテル予約の一部ページ（子会社が運営）と多言語予約サイトの2か所に、別々の時期に不正アクセスがあった。
• 海外ホテル予約側ではログイン利用者最大約260万件の連絡先と、予約者のカード情報の一部（番号の先頭と下4桁、名義、有効期限）が対象になった。
• どちらもすでに改修済みで、楽天は個別に通知している。原因は公表されていない。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

発表内容の整理

事実（楽天トラベル）

• 事象①の対象エリアは、ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部。韓国、台湾、香港、シンガポール、マカオと、タイ・ベトナム・フィリピン・インドネシア・米国（ハワイ、グアム、ロサンゼルスほか）の一部地域は除く。
• 楽天は「今回の不正アクセスの対象となった情報のみでは、決済やキャッシングなどの不正利用は出来ません」としている。
• 当該サイト以外で同様の事象は確認されていないという。
• 対応として、アクセス経路の遮断、システム改修、公表と個別通知、当局への報告を挙げている。

事実（報道）

• 報道各社も、ログイン利用者最大約260万件、多言語サイト最大約86万件、宿泊施設従業員最大約4万件と報じている（ITmedia NEWS、トラベルボイス）。

考察

事象①は改修完了から公表までおよそ40日あいている。楽天は「その後の社内調査の結果」対象情報を確認したとしており、影響範囲の特定に時間がかかったとみられるが、経緯は説明されていない（考察）。

2つの事象は検知時期も管理主体も違う。原因は「特定した」とあるだけで中身は書かれていないため、共通の不備によるものかは判断できない（考察）。

事象②で宿泊施設の従業員の管理画面アカウント名とメールアドレスが対象になった点は、施設側にとっても注意が必要だ。予約サイトの管理画面を装ったフィッシングは、宿泊業界で以前から使われている手口で、正規のアカウント名を知られていると見分けにくくなる（考察）。

関係しそうな既知の手口

考察

カード番号の全桁やセキュリティコードは含まれないため、このデータだけで決済に使うのは難しい。一方、氏名、電話番号、予約した施設名や金額、カードの一部情報がそろっていると、「予約の確認」「カードの再認証」をかたるメールやSMS、電話の材料になる。実際の予約内容を知っている連絡は信じやすいため、利用者は予約情報を挙げてくる連絡ほど注意したほうがよい（考察）。

利用者・運用者がいまできること

• 楽天トラベルで海外ホテル（対象エリア）を予約・ログインしたことがある人は、楽天からの個別通知を確認する。予約内容やカード情報の確認を求めるメール・SMSのリンクは開かず、楽天トラベルのアプリや公式サイトから直接確認する。
• カードの利用明細に身に覚えのない請求がないか確認する。
• 宿泊施設の担当者は、楽天トラベルの管理画面を装ったログイン誘導に注意し、管理画面へのアクセスはブックマークなど決まった経路から行う。

参考リンク

• 楽天トラベル「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」（2026年10月26日）
• ITmedia NEWS「「楽天トラベル」に不正アクセス　顧客情報最大約260万件など流出か　予約者約3.6万件のクレカ情報も」
• トラベルボイス「楽天トラベルで不正アクセス、海外ホテル予約で最大260万件、多言語サイトで最大86万件、宿泊施設の従業員情報も最大約4万件」