- 楽天グループ株式会社が運営する「楽天トラベル」で、2つのサイトに不正アクセスがあったと10月26日に発表されました。ひとつは海外ホテル予約サイトのうち、子会社のRakuten Travel Xchangeが管理・運営する一部のページ（事象①）、もうひとつは多言語予約サイト（事象②）です。
- 事象①では、該当ページでログインした最大約260万件の氏名・メールアドレス・電話番号・社内用の識別番号と、該当ページで予約した最大約4万件の予約情報などが不正アクセスの対象になりました。そのうち最大約3万6千件は支払情報も含みます。
- 支払情報の中身は、カードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分です。カード番号の全桁とセキュリティコードは含まれず、楽天は「この情報だけでは決済やキャッシングの不正利用はできない」としています。
- 事象②では、多言語予約サイトにログインした最大約86万件のメールアドレスと社内用の識別番号、管理画面を使う宿泊施設従業員の最大約4万件のアカウント名などが対象です。
- パスワード、パスポートなどの身分証明書情報、住所は含まれていないとしています。二次被害は今のところ確認されていないとしています。
- 対象者には楽天から順次、個別に連絡が届きます。楽天を装った不審なメール・SMS・電話に注意してください。
ほかの不正アクセス・情報漏えいは → 不正アクセス・情報漏えい チェッカー（サービス名で検索できます）
この記事は、楽天トラベルのサイトに掲載された楽天グループ株式会社のお知らせ（2026年10月26日）をもとに、分かっていることと分かっていないことを分けてまとめたものです。お知らせにない内容は、報道によるものとして区別して書いています。最新の内容は楽天トラベルのお知らせで確かめてください。この記事も続報が出たら更新します。
10月に国内で発表されたほかの不正アクセス・情報漏えいは「2026年10月の不正アクセス・情報漏えい 国内まとめ」で一覧にしています。
最新情報（随時更新）
- 10月26日：楽天グループが「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」を楽天トラベルのサイトに掲載しました。個人情報保護委員会と国外の各関係当局に報告し、対象者には順次個別に連絡するとしています［楽天トラベル お知らせ（10/26）］。報道では、Impress WatchやCNET Japanなどが同じ日に伝えています。
何が起きたか（時系列）
お知らせに書かれた経緯は次のとおりです［楽天トラベル お知らせ］。2つの事象は別々に検知されています。
| 日付 | できごと |
|---|---|
| 9月10日 | 事象①：海外ホテル予約サイトのうち、Rakuten Travel Xchangeが管理・運営する一部のページで異常を検知 |
| 9月15日 | 事象①：原因を特定 |
| 9月16日 | 事象①：システムの改修を完了。その後の社内調査で、対象になった情報を確認 |
| 10月20日 | 事象②：多言語予約サイトへの第三者による不正アクセスの可能性を検知。同じ日に原因を特定 |
| 10月21日 | 事象②：システムの改修を完了 |
| 10月26日 | お知らせを掲載。個人情報保護委員会と国外の各関係当局へ報告済み |
楽天の対応として、アクセス経路の遮断、システムの改修、お知らせの掲載と個別通知、当局への報告が挙げられています。セキュリティ専門チームのモニタリングでは、当該サイト以外で同じような事象は確認されていないとしています。
報道：CNET Japanは、対象者に届いた通知メールの内容として、事象①で不正アクセスが行われた期間は9月10日〜14日、ログイン情報の対象は2021年11月8日から2026年9月14日までに該当ページへログインした人だと伝えています。この期間は、楽天トラベルのサイトのお知らせには書かれていません。
どこから、どうやって入られたのかは、お知らせには書かれていません。
対象になった情報
お知らせの内容を表にまとめました。楽天は「不正アクセスの対象となったことを確認」と書いています［楽天トラベル お知らせ］。
| 対象 | 件数（最大） | 情報 |
|---|---|---|
| 事象①：該当ページで予約した人 | 約4万件 | 氏名、メールアドレス、電話番号、居住国、社内用の識別番号、予約情報（施設名、予約金額など）、同伴者の氏名と居住国 |
| 事象①：上のうち支払情報を含むもの | 約3万6千件 | 支払情報（中身は次の章） |
| 事象①：該当ページでログインした人 | 約260万件 | 氏名、メールアドレス、電話番号、社内用の識別番号 |
| 事象②：多言語予約サイトにログインした人 | 約86万件 | メールアドレス、社内用の識別番号 |
| 事象②：多言語予約サイトの管理画面を使った宿泊施設の従業員 | 約4万件 | アカウント名、メールアドレス、社内用の識別番号 |
事象①の対象には、クレジットカードの番号全桁とセキュリティコード、パスワード、パスポートなどの身分証明書情報、住所は含まれていないとしています。
事象①の海外ホテル予約ページの対象エリアは、ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国・地域です。韓国、台湾、香港、シンガポール、マカオと、タイ、ベトナム、フィリピン、インドネシア、米国（ハワイ、グアム、ロサンゼルスほか）の一部地域は除くとしています。
件数はどれも「最大」で、人数としては書かれていません。予約した人とログインした人が重なっている可能性もあり、合計がそのまま人数になるとは限りません。
「支払情報」に含まれるもの・含まれないもの
事象①の最大約3万6千件に含まれる「支払情報」について、お知らせは次のように書いています［楽天トラベル お知らせ］。
| 含まれるもの | 含まれないもの |
|---|---|
| クレジットカードの発行者識別番号（カード番号の先頭の、発行会社を表す部分）と下4桁、名義、有効期限、国際ブランド区分（VisaやMastercardなどの種類） | クレジットカードの番号全桁、セキュリティコード |
楽天は、今回対象になった支払情報だけでは、決済（お買い物・旅行予約）やキャッシングなどの不正利用はできないとしています。つまり、カード番号の真ん中の部分とセキュリティコードは対象外です。
楽天トラベルの利用者が気をつけること
楽天トラベルで海外ホテルを予約した人、多言語予約サイトを使った人に向けた内容です。楽天自身が案内していることと、念のための一般的な対策を分けて書きます。
楽天が案内していること
- 個別の連絡を待つ：対象の利用者・予約者には、楽天から順次、個別に連絡と注意喚起を行うとしています［楽天トラベル お知らせ］。
- 問い合わせは専用の窓口へ：事象①の海外ホテル予約サイトについては [email protected] です。事象②の多言語予約サイトは、英語・韓国語・繁體中文の問い合わせページが案内されています。宿泊施設の関係者向けの窓口も別にあります。
報道：CNET Japanは、楽天を装った不審な電話・メール・SMSへの注意が呼びかけられていると伝えています。楽天トラベルのサイトのお知らせには、この具体的な呼びかけは書かれていません。
念のための一般的な対策
ここから先は、楽天の案内ではなく、氏名・メールアドレス・電話番号などが不正アクセスの対象になったときに一般にすすめられる対策です。
- 「楽天トラベル」を名乗るメール・SMSのリンクは開かない：氏名、メールアドレス、電話番号、予約した施設名や金額がそろっていると、「予約の確認」「お詫びの返金」といった連絡が本物らしく見えてしまいます。確かめたいときは、届いた連絡の中のリンクではなく、自分でブックマークや公式アプリから楽天トラベルを開いてください。
- カード番号の全桁やセキュリティコードを入力させる連絡は疑う：対象になったのはカード番号の一部（先頭の発行者識別番号と下4桁）と名義・有効期限です。詐欺の連絡では、これらを言い当てたうえで「残りの番号を確認させてください」と求めてくることが考えられます。番号の一部を知っていることは、本物の連絡である証拠になりません。
- カードの利用明細をいつもより気にかける：楽天はこの情報だけでは不正利用できないとしていますが、身に覚えのない請求がないか、明細を確認しておくと安心です。心当たりのない請求があれば、カードの裏面にあるカード会社の番号に連絡してください。
- 電話にも気をつける：電話番号が含まれているため、楽天や宿泊施設を名乗る電話がかかってくることも考えられます。予約の変更や支払いの話をされたら、いったん切って、公式の窓口に自分で問い合わせてください。
情報漏えいが報じられると、その会社を名乗って補償や返金を持ちかける詐欺が出やすくなります。本物の連絡かどうか分からないときは、届いた連絡に書かれた番号やリンクは使わず、楽天トラベルの公式サイトに載っている窓口で確かめてください。
まだ分かっていないこと
- 不正アクセスの入り口と手口（お知らせには書かれていません）
- 事象①と事象②が同じ攻撃者・同じ手口によるものかどうか
- 事象①の不正アクセスが行われた期間（お知らせには書かれておらず、報道では9月10日〜14日）
- 日本の利用者がどのくらい含まれるか（人数・国別の内訳は書かれていません）
- 個別の連絡がいつまでに届くか
PHPの脆弱性（php2shell）との関係
このサイトでは、10月21日夜に修正版が出たPHPの脆弱性「php2shell」を追っています。楽天トラベルの件は、今のところ別の件として扱うべきものです。
- お知らせには、PHPやphp2shellの名前は出てきません
- 事象①で異常を検知したのは9月10日で、PHPの修正版が出るより前です
- 事象②の原因も、お知らせには書かれていません。PHPと結びつける根拠はありません
よくある質問
自分の情報が含まれているか、どうすれば分かりますか？
楽天は、対象の利用者・予約者に順次、個別に連絡するとしています。事象①の対象は、海外ホテル予約ページのうちRakuten Travel Xchangeが管理・運営する一部のページで、対象エリアの国・地域のホテルを予約したり、ログインしたりした人です。気になるときは、専用の窓口（[email protected]）に問い合わせてください。
クレジットカードは止めたほうがいいですか？
対象になった支払情報は、カードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分で、番号全桁とセキュリティコードは含まれていません。楽天は、この情報だけでは決済やキャッシングの不正利用はできないとしていて、カードを止めるよう案内してはいません。ただ、偽のサイトやSMSにカード番号を入力してしまった場合は、すぐにカード会社に連絡してください。
パスワードは変えたほうがいいですか？
お知らせでは、パスワードは対象に含まれていないとしています。楽天からパスワード変更の案内は出ていません。ただ、変更する場合は、メールやSMSのリンクからではなく、自分で開いた公式のページから行ってください。
合わせて350万人分が漏れたということですか？
いいえ、そうとは言えません。報道では合計で最大約350万件とも伝えられていますが、お知らせの件数はどれも「最大」の件数で、人数としては書かれていません。事象①の予約者とログインした人など、重なっている可能性もあります。
楽天トラベルの国内の宿の予約も対象ですか？
お知らせで対象とされているのは、海外ホテル予約サイトのうちRakuten Travel Xchangeが管理・運営する一部のページと、多言語予約サイトです。セキュリティ専門チームのモニタリングでは、当該サイト以外で同じような事象は確認されていないとしています。
原因はPHPの脆弱性ですか？
お知らせにPHPの話はなく、不正アクセスの手口も書かれていません。
Webセキュリティ診断センターでは、企業が運営するWebサイトやサーバーについて、更新の状況や侵入の跡がないかの確認を手伝っています。楽天トラベルの予約や会員情報については、楽天トラベルの専用窓口にお問い合わせください。相談はこちら
参考にした情報
- 楽天グループ株式会社「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」（楽天トラベル、2026年10月26日）
- Impress Watch「楽天トラベルに不正アクセス 海外予約で260万件など」（報道、2026年10月26日）
- CNET Japan「楽天トラベルに不正アクセス 海外ホテルの利用者情報、最大約260万件が対象」（報道、Yahoo!ニュース掲載、2026年10月26日）
