この記事のポイント
- いつ：楽天グループが2026年10月26日、「楽天トラベル」に関する不正アクセス2件を公式お知らせで公表。検知は事象①が9月10日、事象②が10月20日
- 対象（事象①）：海外ホテル予約ページで、ログインした利用者が最大約260万件、予約した利用者が最大約4万件。予約者には同伴者の氏名・居住国も含まれ、支払情報の対象は最大約3万6千件
- 対象（事象②）：多言語予約サイトでログイン利用者が最大約86万件。別に宿泊施設従業員の情報が最大約4万件（事象①の予約者約4万件とは別）
- 対象外：カード番号の全桁・セキュリティコード・パスワードは対象外と報じられている。公表時点で二次被害は確認されていない
- 国内予約：報じられている範囲では、国内の通常予約が対象とされた形跡は見当たらない。ただし公式原文の文言は未確認
- 確認の注意：「合計350万件／354万件」は報道側の単純合算で、媒体により値が割れている。対象の国・地域と問い合わせ先は公式お知らせで確認する
260万件と86万件は別の事象 — 海外ホテル予約ページと多言語予約サイトを分けて読む
同じ「楽天トラベルの不正アクセス」でも、対象のサイトも漏れた情報の中身も2件で違います。自分が関わるのはどちらかを先に切り分けると、その後の確認がしやすくなります。
事象①：海外ホテル予約ページ
対象は、楽天グループ子会社のRakuten Travel Xchangeが運営する海外ホテル予約サイトの一部ページです（Travel Voice）。対象エリアはヨーロッパ、アメリカ・カナダ、アジア・オセアニアの「一部の国・地域」と報じられています。
国内の利用者について、報じられている範囲では、国内の通常予約が対象とされた形跡は見当たりません。「対象のサイト以外では同様の事象を確認していない」という発表の引用も伝えられています（painfo）。ただし公式原文の文言は確認できていないため、影響がないとまでは断定できません。
事象②：多言語予約サイト
こちらはログインした利用者の最大約86万件が対象で、項目はメールアドレスと社内用の識別番号です。社内用の識別番号については、報じられている範囲では何を指す番号かの説明が見当たりません。事象②ではこれとは別に、管理画面に入力された宿泊施設従業員の情報が最大約4万件あり、アカウント名・メールアドレス・社内用の識別番号が含まれます。従業員分は宿泊施設側の話で、一般の利用者向けではありません。
ログインしただけで最大約260万件、予約した人は約4万件 — 同伴者の氏名と居住国まで含まれる
事象①の件数の差は、報道の整理では「予約を完了したか」で分かれています。INTERNET Watchやmarkenoteによると、内訳は次のとおりです。
| 区分（事象①） | 最大件数 | 対象の項目 |
|---|---|---|
| ログインした利用者 | 約260万件 | 氏名、メールアドレス、電話番号、社内用の識別番号 |
| 予約した利用者 | 約4万件 | 氏名、メールアドレス、電話番号、居住国、社内用の識別番号、予約情報（宿泊施設名・予約金額など）、同伴者の氏名と居住国 |
| 予約者のうち支払情報も対象 | 約3万6千件 | 予約者の項目のほか、クレジットカードの発行者識別番号・下4桁・名義・有効期限・国際ブランド区分 |
注意したいのは同伴者です。自分で予約していなくても、誰かの予約に同伴者として名前が入っていれば、氏名と居住国が対象に含まれる可能性があります。区分で公表項目が分かれた例としては、ローソンIDの事案もあります。
支払情報が出たのは最大約3万6千件で、カード番号の全桁は含まれないと報じられている
支払情報の対象は、予約者のうち最大約3万6千件です（markenote）。「発行者識別番号」は、一般にカード番号の先頭部分にあたり、どの会社が発行したカードかを見分ける番号と説明されます。「国際ブランド区分」は、一般にVisaやMastercardなどのブランドの種別を指します。
対象外と報じられている情報
カード番号の全桁、セキュリティコード、ログインパスワードは対象に含まれないと報じられています（horimemoほか）。楽天は「対象情報のみでは決済やキャッシングの不正利用はできない」と説明しています（Travel Voiceの報道による）。
住所やパスポートなどの身分証明書情報も対象外と報じられていますが、1つの報道でしか確認できていません。なお、パスワードが対象外と報じられている一方で、公式がパスワードの変更を求めているかは確認できていません。
偽メール・SMS・電話への備え
本件に便乗した、アカウント停止やパスワード再設定を装う偽メールへの注意が呼びかけられています（issoh）。二次被害は、公表時点では確認されていないと報じられています（rocket-boys）。
氏名・メールアドレス・電話番号・予約内容が対象項目に並ぶため、連絡の手口は巧妙になるおそれがあると編集部は見ています。事象①では電話番号も対象項目に含まれるので、メールだけでなくSMSや電話での連絡も警戒の対象になります。
備えは3点です。メールやSMSのリンクは開かず、公式サイトやアプリから入り直します。連絡に書かれた電話番号には折り返さず、公式サイトか手元のカード裏面の番号から確認します。支払情報の区分（最大約3万6千件）では下4桁・名義・有効期限が本人確認を装う材料になりうるため、カードの利用明細も見ておきます。いずれも一般的な対策で、楽天が個別に求めているものではありません。
対象者には楽天から順次、個別に連絡が行われるとされています（Travel Voice）。連絡がまだ届いていないことだけで対象外と判断できる段階ではない、と編集部は見ています。
「350万件」「354万件」は公式の合計ではない。事象①は検知から公表まで46日
媒体によって合計値が割れています。INTERNET Watchは約350万件、rocket-boysは約354万件です。いずれも各事象の最大値を報道側が単純合算したもので、公式発表に合計の記載はないと報じられています。見るべきは事象別の内訳です。
時系列
下の日付は各報道に基づくもので、公式原文では確認していません。
| 事象① | 事象② | |
|---|---|---|
| 検知 | 9月10日 | 10月20日 |
| 原因の特定 | 9月15日 | 10月20日 |
| システム改修の完了 | 9月16日 | 10月21日 |
| 公表 | 10月26日 | 10月26日 |
| 検知から公表までの日数（編集部計算） | 46日 | 6日 |
事象①は検知から公表まで46日、事象②は6日でした。日数は編集部が各報道の日付から数えた値です。侵入経路や原因の技術的な詳細は公表されていません。
対象の国・地域と問い合わせ窓口は、公式お知らせで事象別に確認する
公式お知らせの全文は確認できていないため、次の3点は報道ベースの情報で、確定していません。
- 対象の国・地域：事象①の対象は「一部の国・地域」とされるだけで、具体的な線引きは未確認です。
- 問い合わせ先：事象別に案内されているとされますが、宛先は公式お知らせで確認してください。
- 国内予約の扱い：「国内予約は対象外」という文言が公式原文にあるかは未確認です。前述の引用から、国内の予約なら影響がないとまでは断定できません。
個人情報保護委員会と国外の関係当局には報告済みと報じられています。
対象の国・地域と問い合わせ窓口は、海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせで、自分が事象①と事象②のどちらに当たるかを見ながら確認してください。
まとめ
まず自分が事象①と②のどちらで、ログインのみか予約者かを表に照らして確かめ、次に公式お知らせで対象の国・地域と問い合わせ窓口を確認してください。見る数字は合計ではなく事象別の内訳で、侵入経路は未公表のため続報を待つ段階です。
編集後記
ログインしただけで最大約260万件が対象になるという点が、いちばん引っかかった印象です。予約者の約4万件に目が行きがちですが、同伴者として名前が入っていた人にも氏名と居住国が及びうる点は、見落としやすいなと思いました。私ならまず公式お知らせを自分で開いて確かめてしまいそうです。
— CODE. 編集部
