楽天トラベルの情報漏洩｜海外ホテル予約サイトへの不正アクセスで最大約260万件が対象 範囲と利用者が確かめること 2026

楽天トラベルの情報漏洩について、2026年10月27日時点で楽天グループの公式発表から分かっていることを先に書く。 楽天グループ株式会社は2026年10月26日、「楽天トラベル」の海外ホテル予約サイトの一部ページと多言語予約サイトに社外の第三者による不正アクセスがあり、海外ホテル予約ページでログインした客の氏名・メールアドレス・電話番号など最大約260万件、そこから予約した客の予約情報など最大約4万件（うち支払情報が最大約3万6千件）、多言語予約サイトにログインした客のメールアドレスなど最大約86万件が「不正アクセスの対象となった」と発表した。 利用者がまずすることは、楽天トラベルを名乗るメール・SMS・電話に慎重になること、海外ホテルを予約してカードで支払った人はカードの利用明細を確かめること、そして自分が対象かどうかを楽天トラベルからの個別の連絡と専用の問い合わせ先で確かめることの3つになる。

公式発表は、対象の情報にクレジットカードの番号全桁とセキュリティコード、パスワード、パスポートなどの身分証明書の情報、住所は含まれていないと明記している。 また、二次被害や他のサービスへの影響は発表の時点で確認されていないとしている。 この記事では、会社の表現に合わせて「不正アクセスの対象となった情報」と書き、外部に持ち出されたと確定したかのような書き方はしない。 以下、発表の内容、公表までの経緯、対象の情報と含まれない情報、件数の読み方、原因、楽天トラベルの対応、自分が対象かを確かめる方法、利用者がすること、問い合わせ先、そして在宅で仕事をする人が出張の手配などで楽天トラベルを使っていた場合の考え方を、楽天グループと個人情報保護委員会の公式ページで確かめた範囲で書く。

楽天トラベルが2026年10月26日に発表した内容

発表は、楽天トラベルのサイトに掲載された「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」1本である。 2026年10月27日時点で、このお知らせのページの内容は10月26日付のままで、続報や訂正の掲載は確認できていない。 楽天グループのコーポレートサイトのニュース一覧にも、この件の掲載は無い。 発表の冒頭は次のとおりで、どのサイトが不正アクセスを受けたのかと、会社が現時点で確認していることがまとめられている。

この度、楽天グループ株式会社（以下「当社」）が運営する旅行予約サービス「楽天トラベル」の海外ホテル予約サイトのうち、楽天グループの子会社であるRakuten Travel Xchangeが管理・運営する一部のページ、ならびに当社が管理・運営する多言語予約サイトに対して、社外の第三者による不正アクセスがあったことを確認いたしました。 当社のセキュリティ専門チームによるモニタリングの結果、当該サイト以外では同様の事象は確認されておりません。また、本件に起因すると考えられる二次被害や、その他サービスへの影響も現時点では確認されておりません。 出典: travel.rakuten.co.jp

ここで押さえておきたいのは、不正アクセスを受けたのが楽天トラベル全体ではないという点である。 発表が対象としているのは2つのサイトで、会社はそれぞれを「事象①」「事象②」と呼んで分けて説明している。

• 事象①：海外ホテル予約サイトのうち、楽天グループの子会社 Rakuten Travel Xchange が管理・運営する一部のページ
• 事象②：楽天グループが管理・運営する「楽天トラベル」の多言語予約サイト

国内の宿を日本語のサイトで予約しただけの人は、発表の範囲には入っていない。 海外のホテルを予約した人、英語や韓国語、中国語などのサイトで楽天トラベルを使った人、そして多言語予約サイトの管理画面を使う宿泊施設の従業員が、発表の対象に関わる人たちである。 多言語予約サイトとは、楽天トラベルが英語、韓国語、中国語、タイ語、インドネシア語、ベトナム語などの言語で提供している予約サイトのことで、日本語のサイトとは別の入口になっている。

公表までの経緯を日付の順に並べる

発表に書かれている日付を時間の順に並べると、次のようになる。 事象①は異常の検知から公表まで約1か月半あり、その間に原因の特定、システムの改修、社内の調査が行われている。 事象②は検知の翌日に改修を完了していて、公表はその5日後である。

日付	事象	発表に書かれていること
2026年9月10日	事象①	海外ホテル予約サイトの一部ページで異常を検知
2026年9月15日	事象①	原因を特定
2026年9月16日	事象①	システムの改修を完了
2026年10月20日	事象②	多言語予約サイトへの不正アクセスの可能性を検知し、同日に原因を特定
2026年10月21日	事象②	システムの改修を完了
2026年10月26日	事象①②	お詫びとお知らせを掲載。対象者への個別の連絡を順次行うと発表

事象①について、発表は改修の完了の後に「社内調査の結果、以下のお客様情報が不正アクセスの対象となったことを確認いたしました」と書いている。 つまり、9月16日の時点では穴をふさいだ段階で、どの情報が対象になったかの確認はその後の調査で行われ、10月26日の公表につながったという順序である。 事象②は検知から改修までが短く、同じ日の公表にまとめられている。

公表が初報の1回だけで、第2報や最終報の形をとっていないのも、この発表の特徴である。 発表には「今後、新たな事実が判明した場合は改めてお知らせします」という一文は書かれていない。 続報が出るかどうかは2026年10月27日時点では分からないので、気になる人は同じお知らせのページを時々開いて、内容が更新されていないかを確かめるのが確実である。

不正アクセスの対象となった情報と、含まれていない情報

発表は、対象となった人のまとまりごとに情報の項目を分けて書いている。 自分がどのまとまりに当たるかで、気をつけることが変わるので、表にして整理する。

対象となった人	件数（公式の表現）	対象となった情報
事象①の一部ページから海外ホテルを予約した客	最大約4万件	氏名、メールアドレス、電話番号、居住国、社内用の識別番号、予約情報（施設名、予約金額等）、同伴者の氏名と居住国
上のうち支払情報が対象となった客	最大約3万6千件	クレジットカードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分
事象①の一部ページでログインした客	最大約260万件	氏名、メールアドレス、電話番号、社内用の識別番号
事象②の多言語予約サイトにログインした客	最大約86万件	メールアドレス、社内用の識別番号
事象②の管理画面で入力された宿泊施設の従業員	最大約4万件	アカウント名、メールアドレス、社内用の識別番号

一方、発表が「含まれておりません」と明記している情報は次のとおりである。

含まれていない情報	発表の書き方
クレジットカードの番号全桁	含まれておりません
セキュリティコード	含まれておりません
パスワード	含まれておりません
パスポート等の身分証明書情報	含まれておりません
住所	含まれておりません

表の中の言葉を少し言い換えておく。 発行者識別番号とは、カード番号の先頭の数桁のことで、どのカード会社が発行したカードかを示す部分である。 国際ブランド区分とは、VisaやMastercardといったカードの種類のことである。 社内用の識別番号は、楽天トラベルが顧客を管理するために社内で振っている番号で、利用者が普段目にする番号ではない。

支払情報について、発表は「今回対象となる支払情報のみでは、決済（お買い物・旅行予約）やキャッシングなどの不正利用は出来ません」と説明している。 カード番号の真ん中の桁とセキュリティコードが含まれていないので、この情報だけでカードを使うことはできない、という説明である。 ただし、名義や有効期限、番号の一部が知られていると、カード会社や楽天トラベルを装った連絡が本物らしく見えやすくなる。 この点は後の「利用者がすること」の節で詳しく書く。

住所が含まれていないことも、利用者にとっては判断の材料になる。 郵便物を使った詐欺や、自宅を訪ねてくるような被害を心配する必要は、この発表の範囲では小さい。 住所が漏れた場合の対応を知りたい人は、個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番に、起きることと備えの順番を整理している。

件数の読み方で気をつけること

件数は、発表の表現どおり「最大約」が付いた数字として読む必要がある。 最大約260万件は「この件数を上限として、これより少ない可能性がある」という意味で、260万人分の情報が確実に持ち出されたという意味ではない。 さらに、発表は件数を「不正アクセスの対象となった情報」として書いていて、外部に持ち出されたことが確定した件数としては書いていない。

もう1つ気をつけたいのは、まとまりごとの件数を合計しないことである。 発表には5つのまとまりごとの件数が並んでいるが、合計の件数は書かれていない。 たとえば、海外ホテルを予約した人がログインもしていれば、予約者の最大約4万件とログインした客の最大約260万件の両方に数えられている可能性があるが、重なりがあるかどうかは発表には書かれていない。 同じように、事象①と事象②の両方を使った人がいるかどうかも分からない。 件数を見るときは、自分がどのまとまりに当たる可能性があるかを確かめることを優先し、合計が何件かにはこだわらないほうが、することを判断しやすい。

件数の単位にも注意が要る。 発表は「最大約4万件のお客様」「最大約260万件のお客様」のように件数で書いていて、人数では書いていない。 1人が複数のアカウントを持っていたり、1つのアカウントで何度も予約していたりすれば、件数と人数は一致しない。 発表の数字は人数ではなく件数として扱うのが、公式の表現に沿った読み方である。

対象となった海外ホテル予約ページの国と地域

事象①の対象は海外ホテル予約サイトの「一部のページ」で、発表はその範囲を国と地域で示している。 対象は、ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国と地域である。 対象から除かれているのは、韓国、台湾、香港、シンガポール、マカオと、タイ、ベトナム、フィリピン、インドネシア、米国（ハワイ、グアム、ロサンゼルス他）の一部の地域である。

この書き方からは、同じ「海外ホテル予約」でも、行き先によって予約したページが違い、対象になったページとならなかったページがあることが分かる。 たとえば、ヨーロッパのホテルを予約した人は対象の範囲に入りうる一方、韓国や台湾のホテルを予約した人は、発表の範囲では除かれている。 ハワイやグアムのホテルを予約した人は、除かれている地域に当たる可能性があるが、発表は「一部地域」と書いているだけで、どの地域が対象でどの地域が対象外なのかの詳しい線引きは書いていない。 自分が予約した施設が対象のページだったかどうかは、利用者の側からは判断しきれないので、後の節に書く個別の連絡と問い合わせ先で確かめるのが確実である。

予約した時期についても、発表には書かれていない。 いつからいつまでの予約やログインが対象になったのかは、2026年10月27日時点の公式発表では分からない。 何年も前に一度だけ海外ホテルを予約した人も、最近予約した人も、時期だけで対象外と決めつけないほうがよい。

原因について発表されていること

原因について、発表が書いているのは「社外の第三者による不正アクセス」であることと、異常を検知した日、原因を特定した日、システムの改修を完了した日だけである。 どのような手口で侵入されたのか、どのシステムのどの弱点が使われたのかは、発表には書かれていない。 事象①と事象②が同じ手口によるものなのか、関係のない別の事案なのかも、発表からは読み取れない。

事象①の一部ページは、楽天グループの子会社である Rakuten Travel Xchange が管理・運営している。 楽天グループ本体ではなく子会社が運営するページで起きたことになるが、利用者から見れば同じ「楽天トラベル」のサイトであり、発表も楽天グループ株式会社の名前で出ている。 問い合わせや個別の連絡も、楽天グループ側の窓口から行われる。

原因の詳しいところが公表されていない以上、手口を推測して「〇〇の脆弱性が狙われた」と書くことはできない。 利用者にとって大事なのは、手口の詳細よりも、自分のどの情報が対象になったかと、それによってどんな偽の連絡が来うるかである。 原因について新しい説明が出たときに確かめる点は、記事の最後にまとめている。

楽天トラベルの対応

発表は、会社の対応として次の4つを挙げている。

1. アクセス経路の遮断
2. システムの改修
3. お知らせのサイト掲載と、対象の客への個別の通知
4. 日本の個人情報保護委員会と、国外の各関係当局への報告

個人情報保護委員会とは、個人情報保護法を所管する国の機関で、企業は一定の漏えいやそのおそれがあったときにここへ報告することになっている。 発表は、国外のどの国の当局に報告したかまでは書いていない。

対象の利用者や予約者には「順次、個別のご連絡と注意喚起を行い、二次被害の防止措置を講じてまいります」としている。 「順次」と書かれているので、発表の当日にすべての対象者へ連絡が届くとは限らない。 連絡がまだ届いていないことは、対象外である証明にはならない。

一方で、発表に書かれていないこともある。 パスワードの初期化や、利用者にパスワードの変更を求める案内は、発表には無い。 パスワードは対象の情報に含まれていないと明記されているので、会社として初期化を行う理由は示されていない、という読み方になる。 補償やお詫びの品についても、発表には書かれていない。 この記事では、発表に無い補償について推測しない。

自分が対象かどうかを確かめる方法

自分が対象かどうかを確かめる手がかりは、次の3つである。

1. 楽天トラベルからの個別の連絡。発表は対象者に順次個別に連絡すると書いている
2. 自分の利用の履歴。海外ホテル予約サイトで、対象の国や地域のホテルを予約したり、そのページでログインしたりしたことがあるか。多言語予約サイトを使ったことがあるか
3. 専用の問い合わせ先。事象①は専用のメールアドレス、事象②は言語別の問い合わせフォームが用意されている

注意したいのは、個別の連絡を装った偽のメールである。 大きな漏えいの発表の後には、「あなたの情報が流出しました。こちらから確認してください」といった、公式の連絡を装ったメールやSMSが出回りやすい。 個別の連絡が届いたように見えても、そのメールの中のリンクからログインしたり、カード番号を入力したりはしない。 確認が必要なら、ブラウザで楽天トラベルのサイトを自分で開くか、公式アプリから入る。

楽天グループは、メールサービスの側で正規のメールかどうかを見分けやすくする取り組みを公表している。 「Yahoo!メール」「ドコモメール」「Gmail」「Appleメール」では、楽天グループから正式に送られたメールに楽天ブランドシンボルや公式アカウントマークを表示しているという。

楽天グループはユーザの皆様が正規メールを見分けやすくできるよう、メールサービス各社と連携しています。 「Yahoo!メール」、「ドコモメール」、「Gmail」、「Appleメール」では、楽天グループから正式に送付されたメールに楽天ブランドシンボルや公式アカウントマークを表示しています。 出典: corp.rakuten.co.jp

ただし、同じページには、送信元のドメインによっては正規のメールでもシンボルが表示されない場合があることも書かれている。 シンボルがあれば安心材料の1つになるが、シンボルが無いから偽物と決めつけることも、シンボルがあるから何でも信じることもせず、リンクを使わずに自分で公式サイトを開く習慣と組み合わせるのが確実である。

自分のメールアドレスが過去の別の漏えいに含まれていないかを調べたい人もいるだろう。 今回の件の対象かどうかはそれでは分からないが、使っているアドレスがどれだけ出回っているかを知る手がかりにはなる。 調べ方はHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法にまとめている。

利用者がすること

対象の情報が「氏名、メールアドレス、電話番号、居住国、予約情報、カード情報の一部」であることから考えると、利用者が気をつけることは、偽の連絡への備えと、カードの利用明細の確認が中心になる。 パスワードは対象に含まれていないので、今回の発表だけを理由に、急いでパスワードを変えなければならない状況ではない。 以下、まとまりごとに要るものだけを書く。

海外ホテルを予約してカードで支払った人

事象①の一部ページから予約し、支払情報が対象となった可能性がある人は、カードの利用明細を確かめる。 発表は、対象の支払情報だけでは不正利用はできないと説明しているが、明細を見ておけば、万一おかしな請求があったときに早く気づける。 確かめる期間は、ここ数か月分と、これから数か月分である。 身に覚えのない請求があったら、カードの裏面に書かれたカード会社の電話番号に連絡する。

カードの再発行が要るかどうかは、発表には書かれていない。 番号全桁とセキュリティコードは含まれていないので、発表の範囲では再発行を求める理由は示されていないが、不安が強い人はカード会社に事情を伝えて相談すればよい。 カード会社によって対応が違うので、ここでは「再発行すべき」とも「不要」とも断定しない。

カード会社や楽天トラベルを名乗る連絡が来たとき

名義、有効期限、番号の下4桁といった情報は、偽の連絡を本物らしく見せる材料になりうる。 たとえば「お客様のカード（下4桁 1234）で不正な利用が見つかりました」というメールやSMSは、下4桁が合っていると本物に見えやすい。 しかし、下4桁は今回のように対象の情報に含まれることがあり、それだけで本物の連絡だという証明にはならない。

見分けるときの基準は次のとおりである。

• メールやSMSの中のリンクから、カード番号の全桁、セキュリティコード、暗証番号、パスワードを入力しない
• 「今すぐ手続きしないとカードが止まる」「本日中に」と急がせる連絡は、いったん手を止める
• 電話で暗証番号やセキュリティコードを聞かれても答えない
• 確かめたいときは、届いた連絡に書かれた番号ではなく、カードの裏面の番号や公式サイトに載っている番号に自分からかける

電話番号も対象の情報に含まれているので、楽天トラベルやカード会社を名乗る電話にも注意が要る。 海外ホテルの予約情報（施設名や予約金額）が対象になった人は、その予約の内容に触れながら「予約の確認のため」「返金の手続きのため」とカード情報を聞き出そうとする連絡にも気をつけたい。 予約内容が正しく言い当てられても、それだけで本物と判断しない。

企業の従業員向けに、こうした偽のメールを見分ける訓練を行う方法は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドに書いている。

ログインしたことがあるだけの人

事象①の一部ページでログインした客（最大約260万件）や、事象②の多言語予約サイトにログインした客（最大約86万件）は、支払情報は対象になっていない。 対象の情報は、事象①が氏名、メールアドレス、電話番号、社内用の識別番号、事象②がメールアドレスと社内用の識別番号である。 このまとまりの人がすることは、偽のメール、SMS、電話への警戒が中心になる。

パスワードは対象に含まれていないが、この機会に、楽天トラベルで使っているパスワードを他のサービスでも使い回していないかを見直すのは無駄にならない。 使い回しをしていると、別のサービスでパスワードが漏れたときに、そこから楽天のアカウントに入られるおそれがあるからである。 アカウントに二段階認証のような追加の確認を設定できる場合は、設定しておくと、パスワードが知られても入られにくくなる。 二段階認証とは、パスワードに加えて、スマートフォンに届く確認の番号などでもう一度本人かどうかを確かめる仕組みのことである。 多要素認証の仕組みと考え方はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で扱っている。

同伴者として名前を入れた人

事象①の予約者の情報には、同伴者の氏名と居住国が含まれている。 家族や友人と海外のホテルを予約したとき、同伴者の名前を入力した人は、同伴者本人は楽天トラベルを使っていなくても、名前が対象の情報に含まれた可能性がある。 同伴者のメールアドレスや電話番号は対象の項目に挙がっていないので、同伴者本人に直接偽の連絡が届く経路は、発表の範囲では見当たらない。 それでも、同伴者の名前を使って予約者本人を信用させる連絡が来る可能性はあるので、旅行を一緒にした人の名前が出てくる連絡にも同じ基準で向き合う。 同伴者に知らせるかどうかは、個別の連絡の内容を見てから考えれば足りる。

宿泊施設の従業員の場合

事象②では、多言語予約サイトの管理画面で入力された宿泊施設の従業員の情報も対象になっている。 対象はアカウント名、メールアドレス、社内用の識別番号で、件数は最大約4万件である。 管理画面とは、宿泊施設が部屋の在庫や料金、予約の状況を管理するための、施設の側が使う画面のことである。

宿泊施設の従業員が気をつけたいのは、楽天トラベルを装って管理画面へのログインを求めるメールである。 アカウント名とメールアドレスが分かれば、「管理画面のパスワードの更新が必要です」「支払口座の確認をお願いします」といった、業務の連絡に見せかけたメールを送ることができる。 こうしたメールのリンクから管理画面にログインせず、普段使っているブックマークや公式の入口から入るようにする。 施設の中で複数の人が管理画面を使っている場合は、こうしたメールが来たときにどうするかを、従業員の間で共有しておくとよい。

宿泊施設の関係者向けには、管理画面に関する専用の問い合わせフォームが用意されている。 施設として確かめたいことがあれば、そちらから問い合わせる。

問い合わせ先

発表に載っている問い合わせ先は次のとおりである。 電話の窓口と受付時間は、発表には載っていない。

対象	問い合わせ先
事象①の海外ホテル予約サイト	専用のメールアドレス [email protected]
事象②の多言語予約サイト	言語別のお問い合わせフォーム（英語、韓国語、繁體中文（香港）、繁體中文（台灣））
事象②の管理画面（宿泊施設の関係者向け）	専用の問い合わせフォーム

多言語予約サイトの英語のフォームは 楽天トラベルのヘルプセンター にある。 他の言語のフォームと宿泊施設向けのフォームは、発表のページに一覧で載っているので、発表から開くのが確実である。 問い合わせるときは、予約した時期、予約したホテルの国や地域、使ったメールアドレスなど、自分の利用の状況が分かる情報を添えると、確認が早く進みやすい。 逆に、カード番号の全桁やパスワードを問い合わせの本文に書く必要はない。

在宅で仕事をする人が、出張や取引の手配で使っていた場合

ここからは、在宅で仕事をしている人、フリーランスや副業で取引先を持っている人に向けた話である。 仕事で海外に出張するとき、取引先の担当者と一緒に移動するとき、あるいは取引先の依頼で宿の手配を代わりに行うときに、楽天トラベルの海外ホテル予約を使った人もいるだろう。 その場合に「取引先に知らせるべきか」と迷う人がいる。

まず整理しておきたいのは、今回、情報を預かっていた事業者は楽天グループであり、個人情報保護委員会への報告と本人への通知を行う立場にあるのも楽天グループだという点である。 発表によれば、楽天グループはすでに委員会と国外の当局に報告し、対象者への個別の通知も順次行っている。 予約を代わりに入れた利用者が、楽天グループの代わりに報告をする立場になるわけではない。

個人情報保護委員会の公式FAQは、報告が義務になる「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」について、次のように説明している。

「不正に利用されることにより財産的被害が生じるおそれがある」（施行規則第７条第２号）とは、漏えい等した個人データを利用し、本人になりすまして財産の処分が行われる場合が想定されています。そのため、住所、電話番号、メールアドレス、SNSアカウントといった個人データのみの漏えいは、直ちに「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」に該当するものではないと考えられます。 出典: ppc.go.jp

これは事業者が報告の要否を判断するときの考え方で、利用者が取引先に知らせるかどうかを決める決まりではない。 ただ、知らせ方を考えるときの参考にはなる。 たとえば、取引先の担当者を同伴者として予約に入れていた場合、対象になった可能性があるのはその人の氏名と居住国である。 取引先に「この予約サービスで不正アクセスの発表があり、同伴者の氏名が対象に含まれている可能性がある」と事実だけを伝えておけば、相手が偽の連絡に備えることができる。 報告の義務があるかどうかとは別に、取引先との信頼を保つための連絡として考えるとよい。 事業者としての個別の判断は事情で変わるので、自分が顧客の情報を預かる事業を営んでいて判断に迷うときは、個人情報保護委員会の案内や専門家に確かめるのが確実である。

在宅で仕事をする人がここから持ち帰ることは3つある。

1. 取引先の名前や連絡先を、自分のアカウントで外部のサービスに入力した記録を把握しておく。旅行予約、イベントの申込、配送の手配などが当たる。事故の発表があったときに、取引先に知らせる必要があるかをすぐに判断できる
2. 仕事用のメールアドレスで予約サービスに登録していると、そのアドレス宛てに予約サービスを装った偽のメールが届く。仕事のメールと混ざると見落としやすいので、旅行や買い物の登録には仕事用でないアドレスを使うことを考える
3. 出張の経費をカードで払っている場合、明細の確認は経費の精算のときにも役立つ。身に覚えのない請求に早く気づけば、取引先や会社への説明もしやすい

在宅ワークとフリーランスの仲介を2004年から続けてきた運営者の立場で見てきた限りでは、仕事を長く続けている人ほど、仕事用とプライベートのアカウントを分け、外部のサービスに取引先の情報を入れるときは必要な分だけにとどめている。 取引先の名前を同伴者として入れる、取引先の担当者のメールアドレスを予約の連絡先にする、といった入力は、便利な一方で、事故が起きたときに取引先を巻き込む経路になる。 今回の件を機に、仕事で使っている予約サービスや買い物のサービスに、取引先の情報をどれだけ入力しているかを一度見直しておくと、次の事故のときに考えることが減る。

続報が出たときに確かめる点

最後に、楽天トラベルから続報や詳しい説明が出たときに、利用者が何を見ればよいかを整理しておく。 2026年10月27日時点の発表は初報の1本だけなので、次のような点は今後の説明を待つことになる。

1. 不正アクセスの対象となった情報が、実際に外部に持ち出されたと確認されたのか、されていないのか
2. 原因と手口。事象①と事象②が同じ原因によるものなのか
3. 対象となった予約やログインの時期
4. 二次被害が確認されたかどうか。確認された場合、どのような被害か
5. 利用者に求める追加の対応（パスワードの変更、カードの再発行の案内など）があるかどうか

続報が「二次被害は確認されていない」のままであれば、することは偽の連絡への警戒とカードの明細の確認を続けることだけになる。 持ち出しや二次被害が確認されたという続報が出た場合は、その内容に合わせて、この記事の「利用者がすること」の節の対応を改めて見直す。 どちらの場合も、メールやSMSの中のリンクからカード番号やパスワードを入力しないという基準は変わらない。

情報漏えいの発表が続いていることは、在宅で請けられる仕事の中身にも影響している。 企業は委託先の管理、利用者への注意喚起の文面づくり、偽のメールへの対応の訓練といった業務を外部に頼むようになっていて、セキュリティやマーケティングの領域で在宅の案件が出てくる。 在宅ワークの仲介サイト @SOHO のAI・マーケティング・セキュリティのお仕事では、こうした分野の仕事の内容と、求められる経験を整理している。 中小企業がセキュリティ対策に使える補助金の考え方は中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法にまとめていて、取引先から対策の相談を受けたときの材料になる。

2026年10月27日時点で楽天トラベルの利用者がすることをもう一度書く。 楽天トラベルやカード会社を名乗るメール・SMS・電話では、中のリンクや相手の求めに応じてカード番号やパスワードを入力しない。 海外ホテルをカードで予約した人は、カードの利用明細を確かめる。 自分が対象かどうかは、楽天トラベルからの個別の連絡と、発表に載っている専用の問い合わせ先で確かめる。

よくある質問

Q. 楽天トラベルの不正アクセスで、パスワードやカード番号は漏れたのですか？

2026年10月26日の公式発表は、不正アクセスの対象となった情報にクレジットカードの番号全桁とセキュリティコード、パスワード、パスポート等の身分証明書情報、住所は含まれていないと明記しています。支払情報として対象になったのは、カードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分で、会社はこの情報だけでは決済やキャッシングの不正利用はできないと説明しています。

Q. 国内の宿を予約しただけでも対象になりますか？

発表の対象は、海外ホテル予約サイトのうち子会社 Rakuten Travel Xchange が管理・運営する一部のページと、外国語の多言語予約サイトの2つです。国内の宿を日本語のサイトで予約しただけの利用は、発表の範囲には入っていません。海外ホテルの予約や多言語サイトの利用に心当たりがある人は、個別の連絡と専用の問い合わせ先で確かめてください。

Q. パスワードは変えたほうがよいですか？

パスワードは対象の情報に含まれていないと発表されており、会社からパスワードの変更を求める案内も出ていません。ただ、同じパスワードを他のサービスでも使い回している場合は、別の漏えいから入られるおそれがあるので、この機会に使い回しをやめ、設定できるなら二段階認証も設定しておくと安心です。

Q. 楽天トラベルを名乗るメールが届きました。本物かどうかはどう見分けますか？

メールの中のリンクからログインしたり、カード番号やパスワードを入力したりせず、ブラウザで楽天トラベルのサイトを自分で開くか公式アプリから確かめます。楽天グループは Gmail などで正規のメールに楽天ブランドシンボルを表示していますが、送信元によっては表示されない場合もあると案内しているため、シンボルだけで判断しないことが大切です。