楽天トラベル不正アクセス、自分は対象？海外ホテル予約の利用者最大260万件【10/26】

2026年10月27日

「自分も対象？」「カード情報は漏れた？」と気になる点を、楽天グループ株式会社が2026年10月26日に楽天トラベルのサイトに掲載した「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」の原文（2026年10月27日確認）だけで整理しました。書かれていないことは「公式発表に記載なし」とします。

【結論】楽天グループは2026年10月26日、楽天トラベルの海外ホテル予約サイトのうち子会社のRakuten Travel Xchangeが管理・運営する一部のページと、多言語予約サイトに、社外の第三者による不正アクセスがあったと公表しました。対象となったのは、その海外ホテル予約ページでログインした最大約260万件の氏名・メールアドレス・電話番号・社内用の識別番号と、多言語予約サイトにログインした最大約86万件のメールアドレス・社内用の識別番号などです。

海外ホテル予約ページの一部から予約した最大約4万件は、予約情報（施設名、予約金額等）や同伴者の氏名・居住国も対象。そのうち最大約3万6千件は支払情報（カードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分）も対象
「クレジットカードの番号全桁・セキュリティコードは含まれておりません」。対象となった情報のみでは、決済やキャッシングなどの不正利用はできないとしている
多言語予約サイトの管理画面で入力された、宿泊施設従業員の最大約4万件のアカウント名・メールアドレス・社内用の識別番号も対象
対象者には楽天から順次、個別の連絡と注意喚起を行うとしている。二次被害やその他サービスへの影響は「現時点では確認されておりません」。海外ホテル予約サイトの件の問い合わせ先はメール（travel-support@faq.rakuten.co.jp）

📋 2026年国内の情報漏えい・サイバー攻撃一覧（毎日更新）

公式発表のあった事案を322件掲載。自分が対象かどうかは、各事案の「自分は対象？」の記事で確認できます。

直近の公表:

漏えいした企業・サービスを全件チェックする →

公式発表でわかること早見表

公式発表は、海外ホテル予約サイトの件を「事象①」、多言語予約サイトの件を「事象②」と分けています。

事象	対象者	対象となった項目	件数	時期
① 海外ホテル予約（予約者）	Rakuten Travel Xchangeが管理・運営する一部のページから予約した人	氏名、メールアドレス、電話番号、居住国、社内用の識別番号、予約情報（施設名、予約金額等）、同伴者の氏名・居住国	最大約4万件	9月10日検知・9月16日改修完了
① 海外ホテル予約（支払情報）	上の予約者の一部	クレジットカードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分	最大約4万件のうち最大約3万6千件	同上
① 海外ホテル予約（ログイン）	同じ一部のページでログインした人	氏名、メールアドレス、電話番号、社内用の識別番号	最大約260万件	同上
② 多言語予約サイト（利用者）	「楽天トラベル」の多言語予約サイトにログインした人	メールアドレス、社内用の識別番号	最大約86万件	10月20日検知・10月21日改修完了
② 多言語予約サイト（管理画面）	管理画面で入力された宿泊施設従業員	アカウント名、メールアドレス、社内用の識別番号	最大約4万件	同上

件数はすべて「最大約」で、件数どうしの重なりや合計は書かれていません。事象①の対象エリアは「ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部対象国・地域」で、韓国、台湾、香港、シンガポール、マカオと、タイ、ベトナム、フィリピン、インドネシア、米国（ハワイ、グアム、ロサンゼルス他）の一部地域は除くとしています。

公式発表の原文は、楽天トラベル「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」で読めます。

自分は対象？立場ごとの切り分け

照会ページや、対象となった予約・ログインの期間は書かれていません。公表文をもとに立場ごとに分けます。

立場	公式発表から読み取れること
楽天トラベルで国内の宿だけを予約している	公式発表が対象として挙げているのは、海外ホテル予約サイトのうちRakuten Travel Xchangeが管理・運営する一部のページと、多言語予約サイト。「当該サイト以外では同様の事象は確認されておりません」としている
楽天トラベルで海外ホテルを予約した・ログインした	対象になりうる。対象はRakuten Travel Xchangeが管理・運営する一部のページで、エリアは上の一部の国・地域。該当ページの見分け方は書かれていない。楽天からの個別の連絡と問い合わせ先で確かめる
海外ホテルの予約でカードを使った	最大約3万6千件の支払情報の対象になりうる。番号全桁とセキュリティコードは含まれていない
多言語予約サイトを使っている	ログインした最大約86万件のメールアドレスと社内用の識別番号が対象
宿泊施設の関係者	管理画面で入力された最大約4万件の従業員のアカウント名などが対象。関係者向けの問い合わせフォームがある
楽天市場など、楽天トラベル以外のサービスだけを使っている	「本件に起因すると考えられる二次被害や、その他サービスへの影響も現時点では確認されておりません」としている

楽天からの連絡と問い合わせ先

公式発表は「対象となる利用者様・予約者様には、当社より順次、個別のご連絡と注意喚起を行い、二次被害の防止措置を講じてまいります」としていますが、連絡の方法（メール・電話など）は書かれていません。電話の窓口は書かれていません。

対象	公式発表の問い合わせ先
事象①の海外ホテル予約サイト	専用お問い合わせ先：メール travel-support@faq.rakuten.co.jp
事象②の多言語予約サイト	問い合わせフォーム：英語・韓国語・繁體中文（香港）・繁體中文（台灣）
事象②の管理画面（宿泊施設の関係者向け）	問い合わせフォーム

対象となった項目と、含まれていないもの

公式発表は「漏えい」ではなく、「以下のお客様情報が不正アクセスの対象となったことを確認いたしました」と書いています。この記事も「対象となった」と表します。

項目	① 予約者（最大約4万件）	① ログイン（最大約260万件）	② 利用者（最大約86万件）	② 施設従業員（最大約4万件）
氏名	対象	対象	記載なし	記載なし
メールアドレス	対象	対象	対象	対象
電話番号	対象	対象	記載なし	記載なし
社内用の識別番号	対象	対象	対象	対象
居住国、予約情報（施設名、予約金額等）、同伴者の氏名・居住国	対象	記載なし	記載なし	記載なし
アカウント名	記載なし	記載なし	記載なし	対象
支払情報	最大約3万6千件が対象	記載なし	記載なし	記載なし

クレジットカード情報の扱い（公式の文言）

事象①の「対象となる情報」には、次の注記があります。

含まれていないもの：「対象となる情報に、クレジットカードの番号全桁・セキュリティコードは含まれておりません。また、パスワード、パスポート等の身分証明書情報、住所も含まれておりません。」
支払情報の中身：「支払情報には、クレジットカードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分が含まれております。」
不正利用について：「今回対象となる支払情報のみでは、決済（お買い物・旅行予約）やキャッシングなどの不正利用は出来ません。」

事象②については、パスワードやカード情報が含まれるかどうかの注記はなく、対象として挙げられているのはメールアドレス・社内用の識別番号（施設従業員はアカウント名も）だけです。

楽天の対応と経緯（公表文どおり）

日付	事象	公表文の内容
2026年9月10日	①	海外ホテル予約サイトのうち、Rakuten Travel Xchangeが管理・運営する一部のページで異常を検知
2026年9月15日	①	原因を特定
2026年9月16日	①	システム改修を完了。その後の社内調査で、対象となったお客様情報を確認
2026年10月20日	②	多言語予約サイトへの第三者による不正アクセスの可能性を検知。同日に原因を特定
2026年10月21日	②	システム改修を完了。調査で、対象となったお客様情報を確認
2026年10月26日	①②	楽天トラベルのサイトに「お詫びとお知らせ」を掲載

公式発表が挙げる「当社の対応」は、アクセス経路の遮断、システムの改修、本お知らせのサイト掲載ならびにお客様への個別通知、個人情報保護委員会ならびに国外の各関係当局への報告の4つです。今後は「セキュリティ対策の強化など、再発防止に引き続き取り組んでまいります」としています。

公式発表に記載がないこと（2026年10月27日確認）

次のことは公式発表に書かれていません。

不正アクセスの手口・侵入経路と、特定したという原因の中身
不正アクセスが行われていた期間と、対象となった予約・ログインの期間（事象①は検知日・原因特定日・改修完了日のみ）
日本在住の利用者の件数や国別の件数、件数どうしの重なり
個別連絡の方法（メール・電話など）と時期、自分が対象かどうかを照会するページの有無
利用者へのお願い（パスワードの変更や、不審なメール・電話への注意などの具体的な呼びかけ）
宿泊施設従業員のアカウントのパスワードの扱いと、宿泊施設側に求めること
警察への届出（報告先として書かれているのは、日本の個人情報保護委員会と国外の各関係当局）
事象①の検知（9月10日）から公表（10月26日）までの間の経緯
補償

今やること

楽天の案内（公式発表のとおり）

対象となる利用者・予約者には、楽天から順次、個別の連絡と注意喚起がある
対象となった情報のみでは、決済（お買い物・旅行予約）やキャッシングなどの不正利用はできない
不明な点は、上の問い合わせ先へ連絡する

パスワードの変更や不審なメールへの注意といった、利用者への具体的なお願いは書かれていません。

公的機関などの一般的な注意（今回の件の案内ではありません）

メールやSMSのリンクから開かない：警察庁は「電子メールやＳＭＳ内のリンクを安易にクリックせず、あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください」としています（警察庁「フィッシング対策」）
楽天を名乗るメールの見分け方：楽天グループの一般向けページは、「Yahoo!メール」「ドコモメール」「Gmail」「Appleメール」で「楽天グループから正式に送付されたメールに楽天ブランドシンボルや公式アカウントマークを表示しています」としています。一方で、正規メールでも「送信元ドメインによっては、楽天ブランドシンボルが表示されない場合がございます」とも書いています（楽天グループ「楽天グループにおけるなりすまし・フィッシングメール対策について」）
カードの請求に覚えがないとき：警察庁は、クレジットカードの不正利用の被害に遭った場合について、カード会社が補償制度や相談窓口を設けていることがあるとし、「被害に遭ったサービスを提供している会社に相談してください」としています（同じページ）
同じパスワードを使い回さない：警察庁は「ＩＤ、パスワードはサイトごとに違うものを登録するようにしてください」としています（同じページ）

続報の見方

公式発表は、楽天トラベルのサイト内のお知らせとして掲載されています（https://travel.rakuten.co.jp/info/announce/20261026.html）。2026年10月27日の確認時点でPDF版はなく、楽天グループのコーポレートサイトのプレスリリース・お知らせ一覧に本件は見当たりませんでした。このページは楽天トラベルの海外旅行ページの「お知らせ」欄から案内されています。続報を確かめるときは、この欄を見る方法があります。

ほかの事案（予約サイト・カード下4桁）

ふるさとチョイスの情報漏えい、自分は対象？漏れた項目【10月23日第2報】（カード下4桁・名義・有効期限の事案）
手間いらずの情報漏えい、宿泊予約した自分は対象？漏れた項目と今やること（宿泊予約者の事案）
skyticket情報漏えい、自分は対象？漏れた項目と今やること【10/9発表】（旅行予約サイトの事案）
カプコン情報漏えい、自分は対象？CAPCOM ID 1,177万件【10/23】（会員IDの事案）

よくある質問

楽天トラベルの不正アクセスで、何がどれだけ対象になりましたか？

A. 2026年10月26日の公式発表では、海外ホテル予約サイトのうちRakuten Travel Xchangeが管理・運営する一部のページでログインした最大約260万件の氏名・メールアドレス・電話番号・社内用の識別番号と、そのページから予約した最大約4万件の予約情報などが対象です。多言語予約サイトでは、ログインした最大約86万件のメールアドレス・社内用の識別番号と、宿泊施設従業員の最大約4万件のアカウント名などが対象です。

クレジットカード情報は漏れましたか？

A. 予約者の最大約4万件のうち最大約3万6千件で、支払情報（カードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分）が対象になりました。公式発表は「クレジットカードの番号全桁・セキュリティコードは含まれておりません」とし、この支払情報のみでは決済やキャッシングなどの不正利用はできないとしています。

自分が対象かどうかはどうやって確かめますか？

A. 公式発表は、対象となる利用者・予約者には楽天から順次、個別に連絡と注意喚起を行うとしています。連絡の方法と照会ページの有無は書かれていません。海外ホテル予約サイトの件の問い合わせ先はメール（travel-support@faq.rakuten.co.jp）、多言語予約サイトの件は各言語の問い合わせフォームです。

国内の宿を予約しただけでも対象ですか？

A. 公式発表が対象として挙げているのは、海外ホテル予約サイトのうちRakuten Travel Xchangeが管理・運営する一部のページと、多言語予約サイトです。それ以外については「当該サイト以外では同様の事象は確認されておりません」としています。

パスワードは変えたほうがいいですか？

A. 公式発表は、海外ホテル予約サイトの件の対象情報にパスワードは含まれていないとしています。多言語予約サイトの件はパスワードについての記載がありません。公式発表はパスワードの変更を求めていませんが、警察庁はIDとパスワードをサイトごとに違うものにするよう呼びかけています（一般的な注意）。

まとめ

楽天グループは2026年10月26日、楽天トラベルの海外ホテル予約サイトの一部ページ（事象①）と多言語予約サイト（事象②）への不正アクセスを公表した
事象①は、ログインした最大約260万件の氏名・メールアドレス・電話番号・社内用の識別番号と、予約した最大約4万件の予約情報など。うち最大約3万6千件は支払情報（発行者識別番号と下4桁、名義、有効期限、国際ブランド区分）も対象
カードの番号全桁・セキュリティコード、パスワード、パスポート等の身分証明書情報、住所は含まれていない（事象①）
事象②は、ログインした最大約86万件のメールアドレス・社内用の識別番号と、宿泊施設従業員の最大約4万件のアカウント名など
対象者には楽天から順次、個別に連絡。手口・期間・補償・利用者へのお願いは公式発表に記載なし

この記事は、2026年10月26日の公式発表（2026年10月27日確認）で書いています。続報が出た場合は、楽天トラベルの公式のお知らせを優先してください。