最終更新：10 月 26 日 23:18（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ 自分が対象かの確認方法 ／ カード情報が対象のとき ／ 宿泊施設 ／ 技術的な詳細 ／ 経緯
ひとことで言うと
楽天トラベルの海外ホテル予約の一部と外国語の予約サイトに入り込まれ、名前やメールアドレス、カードの一部の情報が対象に（10 月 26 日のお知らせ）
- 外から入り込まれたのは 2 か所。海外ホテル予約サイトの一部のページ（事象①）と、外国語で予約できる多言語予約サイト（事象②）。どちらも、もう直してある
- 海外ホテルを予約した人の名前・メールアドレスや、カードの番号の一部・有効期限などが対象。カード番号の全部とセキュリティコード、パスワードは含まれない
- 日本語のサイトで国内の宿を予約しただけの人は、お知らせの対象に挙がっていない。対象の人には、楽天から順に個別の連絡が届く
どうすればいい？
よくある疑問と答え
-
自分は対象？
海外ホテル予約でヨーロッパ・アメリカ・カナダ・アジアやオセアニアの一部のホテルを予約した人や、多言語予約サイトにログインした人が対象になりえます。最終的には、楽天からの個別の連絡で確かめます。
→ 使ったサイト別の早見表 - 国内の宿を予約しただけでも対象？ 日本語のサイトで国内の宿・ツアーを予約しただけなら、お知らせの対象には挙がっていません。2 つのサイトのほかでは、同じような事象は確認されていないとしています。
-
カードは勝手に使われてしまう？
楽天グループは、対象の情報だけでは、買い物や予約、キャッシングに不正に使うことはできないとしています。念のため、利用明細は見ておきましょう。
→ カード情報が対象のときにやること - パスワードは変えたほうがいい？ 海外ホテル予約の件（事象①）では、パスワードは対象に含まれていません。同じパスワードをほかのサービスでも使っているなら、そちらを変えておくと安心です（この記事での整理）。
-
気をつけることは？
楽天トラベルや楽天カード、カード会社を名乗るメール・SMS・電話のリンクを開かず、パスワードやカード番号を入れないでください。予約の確認は、ブックマークやアプリから楽天トラベルを開いて行います。
→ 利用者がやること -
楽天トラベルに宿を載せている施設は？
多言語予約サイトの管理画面を使った従業員のアカウント名・メールアドレスなどが対象です。ログインを求めるメールに気をつけます。
→ 宿泊施設がやること -
原因は？
原因は特定して直したとしていますが、中身はお知らせに書かれていません。分かっている点を、システム担当者向けに下にまとめています。
→ 技術的な詳細 -
予約サイトを運営している会社は？
カードの情報をどこまで預かっているかと、管理画面の守りを点検します。
→ 決済まわりの点検表
詳しくは：自分が対象かの確認方法 ／ カード情報が対象のときにやること ／ 宿泊施設がやること ／ 予約サイトの決済まわりの点検表
この記事では、楽天トラベルの情報漏洩（不正アクセスの対象となった個人情報）について、楽天グループが 2026 年 10 月 26 日に楽天トラベルのサイトに載せたお知らせだけをもとに、何が起きたのか、自分が対象かの確かめ方、利用者・宿泊施設・旅行や宿泊の予約サイトを運営する会社がやることを整理します。報道では件数を足し合わせた数字も見られますが、この記事ではお知らせのとおり、事象と情報の種類ごとに分けて示します。
何が起きたか
10 月 26 日のお知らせで分かっていることです。楽天グループによると、不正アクセスは 2 つの事象に分かれています。
1 つは、楽天トラベルの海外ホテル予約サイトのうち、子会社の Rakuten Travel Xchange が管理・運営する一部のページです（事象①）。もう 1 つは、楽天グループが管理・運営する多言語予約サイトです（事象②）。原因の中身と、いつの予約・ログインが対象かは、お知らせには書かれていません。
| 対象 | 件数と内容 |
|---|---|
| 事象① 海外ホテル予約ページの一部から予約した人 | 最大約 4 万件。氏名・メールアドレス・電話番号・居住国・社内用の識別番号・予約情報（施設名・予約金額など）と、同伴者の氏名・居住国。そのうち最大約 3 万 6 千件は支払情報も対象 |
| 事象①の支払情報 | クレジットカードの発行者識別番号（カード番号の先頭の、発行した会社を表す部分）と下 4 桁・名義・有効期限・国際ブランドの区分。カード番号の全桁とセキュリティコードは含まれない |
| 事象① 海外ホテル予約ページの一部でログインした人 | 最大約 260 万件。氏名・メールアドレス・電話番号・社内用の識別番号 |
| 事象② 多言語予約サイトにログインした人 | 最大約 86 万件。メールアドレス・社内用の識別番号 |
| 事象② 多言語予約サイトの管理画面を使った宿泊施設の従業員 | 最大約 4 万件。管理画面で入力されたアカウント名・メールアドレス・社内用の識別番号 |
| 事象①で含まれないもの | カード番号の全桁・セキュリティコード・パスワード・パスポートなどの身分証明書の情報・住所 |
事象①の海外ホテル予約ページの対象のエリアは、ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国・地域です。韓国・台湾・香港・シンガポール・マカオと、タイ・ベトナム・フィリピン・インドネシア・米国（ハワイ・グアム・ロサンゼルスなど）の一部の地域は除かれています。
楽天グループは、今回対象となった情報だけでは、決済（買い物・旅行の予約）やキャッシングなどの不正な利用はできないと説明しています。この件が原因と考えられる二次被害や、ほかのサービスへの影響も、今のところ確認されていないとしています。
自分が対象かの確認方法（早見表）
お知らせの内容を、使ったサイトと予約の中身ごとに並べ直しました（この記事での整理）。楽天グループは、対象の利用者・予約者に順に個別に連絡するとしています。海外ホテル予約ページのうち、どのページが Rakuten Travel Xchange の運営する「一部のページ」に当たるかは、利用者からは見分けにくいので、この表は目安として使い、最終的には個別の連絡を待ってください。
| 使ったサイト・予約 | お知らせでの扱いと、やること |
|---|---|
| 海外ホテル予約で、ヨーロッパ・アメリカ・カナダ・アジアやオセアニアの一部のホテルを予約した | 事象①の予約者に含まれる可能性がある。カードで払ったなら、カードの一部の情報も対象になりうる。個別の連絡を待ちつつ、カードの明細と、なりすましの連絡に気をつける |
| 海外ホテル予約のページでログインしたが、予約はしていない | 事象①のログインした人に含まれる可能性がある。対象は氏名・メールアドレス・電話番号・社内用の識別番号で、支払情報は含まれない。なりすましのメール・SMS・電話に気をつける |
| 海外ホテル予約で、韓国・台湾・香港・シンガポール・マカオのホテルを予約した | お知らせでは、事象①の対象のエリアから除かれている。タイ・ベトナム・フィリピン・インドネシア・米国は、一部の地域だけが除かれている |
| 楽天トラベルの多言語予約サイト（外国語の予約サイト）にログインした | 事象②に含まれる可能性がある。対象はメールアドレスと社内用の識別番号。問い合わせは、お知らせにある言語別のフォーム（英語・韓国語・繁体字中国語〈香港・台湾〉）へ |
| 日本語のサイトで国内の宿・ツアーを予約しただけ | お知らせの対象には挙がっていない。楽天グループは、2 つのサイトのほかでは同じような事象を確認していないとしている。続報が出たらこの記事に追記する |
| 宿泊施設の従業員として、多言語予約サイトの管理画面を使った | 事象②の宿泊施設の従業員に含まれる可能性がある。対象はアカウント名・メールアドレス・社内用の識別番号。下の「宿泊施設がやること」へ |
事象①の問い合わせ先は、お知らせにある専用のメールアドレス（travel-support@faq.rakuten.co.jp）です。届いたメールのアドレスや差出人の名前は偽装できるので、問い合わせは楽天トラベルのお知らせのページから宛先を確かめて送ってください。
カード情報が対象のときにやること
事象①で対象となった支払情報は、カード番号の一部（先頭の発行した会社を表す部分と下 4 桁）・名義・有効期限・国際ブランドの区分です。楽天グループは、この情報だけでは決済やキャッシングなどの不正な利用はできないとしています。
それでも、名前やカードの下 4 桁、予約したホテルの名前を知っていることを示されると、本物の連絡だと思い込みやすくなります。次の順に、落ち着いて確かめてください（この記事での整理）。
- カードの利用明細を、カード会社の公式アプリや会員サイトで見る。海外のお店の名前や、少額の請求も含めて、身に覚えがないものがないかを確かめる
- 身に覚えのない請求があったら、カードの裏に書かれた電話番号でカード会社に連絡する。メールや SMS に書かれた電話番号やリンクは使わない
- カード会社や楽天トラベルを名乗り、「不正利用の確認」「予約の再決済」などを理由にカード番号の全桁・セキュリティコード・ワンタイムパスワードを求める連絡には応じない
- カードの作り直しが要るかどうかで迷ったら、カード会社に相談する（楽天グループは、対象の情報だけでは不正な利用はできないとしている）
- 予約のときに入れた電話番号に、ホテルや旅行会社を名乗るあやしい電話や SMS が来たら、予約の確認は楽天トラベルを自分で開いて行う
利用者がやること
楽天グループは、対象の利用者・予約者に順に個別の連絡と注意の呼びかけを行い、二次被害を防ぐ手だてをとるとしています。そのうえで、利用者が自分でできることです。
- 楽天トラベル・楽天グループ・ホテル・カード会社を名乗るメール・SMS・電話のリンクを開かず、個人情報やパスワードを入れない。予約やお知らせの確認は、ブックマークやアプリから楽天トラベルを開いて行う
- カードで海外ホテルを予約したなら、利用明細をしばらく見ておく（上の「カード情報が対象のときにやること」）
- パスワードは事象①の対象に含まれていないが、楽天トラベルで使っているパスワードをほかのサービスでも使っているなら、そちらを変える（この記事での整理）
- 同伴者の氏名・居住国も事象①の対象に含まれるので、一緒に旅行した家族や同僚にも、なりすましの連絡に気をつけるよう伝える（この記事での整理）
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 26 日 | 楽天グループが、楽天トラベルのサイトにお知らせを掲載。2 つの事象の対象となった情報を公表し、対象の人へ順に個別に連絡すると説明。個人情報保護委員会と国外の関係する当局へ報告 |
| 10 月 21 日 | 事象②（多言語予約サイト）のシステムの改修を終える |
| 10 月 20 日 | 多言語予約サイトへの不正アクセスのおそれに気づき、同じ日に原因を特定 |
| 9 月 16 日 | 事象①（海外ホテル予約ページの一部）のシステムの改修を終える。その後の社内の調査で、対象となった情報を確認 |
| 9 月 15 日 | 事象①の原因を特定 |
| 9 月 10 日 | 海外ホテル予約サイトのうち、Rakuten Travel Xchange が管理・運営する一部のページで異常に気づく |
宿泊施設がやること
事象②では、多言語予約サイトの管理画面で入力された宿泊施設の従業員のアカウント名・メールアドレス・社内用の識別番号（最大約 4 万件）が対象になりました。パスワードは、お知らせの対象の項目には挙がっていません。楽天トラベルに宿を載せている施設は、次を確かめてください（この記事での整理）。
- 多言語予約サイトの管理画面を、誰が、どのメールアドレスで使っていたかを確かめる。分からない点は、お知らせにある宿泊施設の関係者向けのお問い合わせフォームへ
- 楽天トラベルを名乗って「アカウントの確認」「精算の確認」などを理由にログインを求めるメールが来ても、リンクから入らず、ブックマークから管理画面を開く
- 管理画面と同じパスワードを、ほかの予約サイトの管理画面やメールでも使っているなら変える
- 1 つのアカウントを何人もの従業員で使い回していないか、辞めた人のアカウントが残っていないかを見直す
技術的な詳細（システム担当者向け）
ここからは、予約や会員の仕組みを運用している担当者・エンジニア向けです。10 月 26 日のお知らせから読み取れる技術的な点を、お知らせの言葉に沿って並べます。
| 観点 | お知らせの内容 |
|---|---|
| 事象①の範囲 | 海外ホテル予約サイトのうち、子会社 Rakuten Travel Xchange が管理・運営する一部のページ。社外の第三者による不正アクセス |
| 事象①の対応 | 9 月 10 日に異常を検知、9 月 15 日に原因を特定、9 月 16 日にシステム改修を完了 |
| 事象②の範囲 | 楽天グループが管理・運営する多言語予約サイト（利用者のログインと、宿泊施設向けの管理画面の両方が対象） |
| 事象②の対応 | 10 月 20 日に不正アクセスの可能性を検知し、同日に原因を特定。10 月 21 日にシステム改修を完了 |
| 支払情報の項目 | クレジットカードの発行者識別番号と下 4 桁・名義・有効期限・国際ブランド区分。番号の全桁とセキュリティコードは含まれない。この情報だけでは決済やキャッシングの不正利用はできないとしている |
| ほかの範囲 | セキュリティ専門チームによるモニタリングの結果、2 つのサイトのほかでは同様の事象は確認されていない |
| 報告 | 日本の個人情報保護委員会と、国外の各関係当局へ報告 |
| 発表に無いこと | 原因の中身・悪用された脆弱性や認証情報・攻撃の手口・対象になった期間（いつの予約・ログインか）・2 つの事象のつながりの有無 |
この記事での整理です。今回は、本体と子会社のように運営する組織が違うページ、利用者向けと事業者向けの管理画面のように役割が違う入口が、それぞれ対象になっています。予約の仕組みを持つ会社は、ページや入口ごとに「誰が運営し、どの情報を扱い、どこに異常の通知が届くか」を一覧にしておくと、事故のときに範囲を早く切り分けられます。
予約サイトを運営する会社の、決済まわりの点検表
今回、カード番号の全桁は対象になっていませんが、下 4 桁や名義・有効期限のような一部の情報でも、対象になれば利用者への説明が要ります。宿・旅行・体験・レッスンなどの予約を自社のサイトで受けている中小企業が、自社のサイトで確かめられる点を表にしました（この記事での整理）。
| 点検する所 | 確かめること |
|---|---|
| カード番号の入力画面 | カード番号を自社のサーバーで受け取らず、決済代行会社の画面や仕組みに任せているか。自社のフォームでカード番号を受け取っていないか |
| 予約データに残るカードの情報 | 下 4 桁・名義・有効期限など、どの項目を予約データに残しているか。残す理由があるか、誰が見られるか、いつ消すか |
| 同伴者や宿泊者の情報 | 予約した本人以外の氏名・連絡先も預かっていないか。泊まり終わった予約の情報を消す時期を決めているか |
| 会員のログイン | ログインに何度も失敗する動きを止める仕組みがあるか。ログインの記録を残しているか |
| 管理画面 | 従業員ごとにアカウントを分けているか。二段階認証を使っているか。辞めた人や取引の終わった業者のアカウントを消しているか |
| 外部に任せているページ | 予約システム・決済・フォームなど、ほかの会社が運営するページを含めて、お客さまの情報が通る所を一覧にしているか。それぞれの事故のお知らせを見る場所を控えているか |
| 異常に気づいたあとの手順 | 誰に連絡し、どこを止め、お客さまへいつ、どう知らせるかを決めているか。お知らせのひな形と問い合わせの窓口を用意しているか |
自社で見直すこと
今回のお知らせは、事象ごと、情報の種類ごとに、対象と件数、含まれない情報を分けて示しています。利用者が自分の状況に当てはめやすい書き方です。事故のときに同じように説明できるよう、ふだんから整理しておくと慌てずに済みます（この記事での整理）。
- 自社のサイトで、お客さまの情報を預かる所（予約・会員・問い合わせ・管理画面）を書き出した
- それぞれで、どの項目を預かり、どの項目は預かっていないか（カード番号の全桁・パスワードなど）を言える
- 子会社や委託先が運営する部分も含めて、どこを誰が管理しているかを分かるようにした
- 外国語のページや海外の利用者向けの問い合わせ先も、事故のときに案内できるようにした
- 自社から送る連絡で求めないこと（パスワード・カード番号など）と問い合わせ先を、公式サイトに書いた
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、予約や決済に使っているサービスの事故の情報を追い、お知らせの掲載や安全対策を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
