楽天トラベルで不正アクセスが発生し、最大約260万件の利用者情報が対象になったと発表されました。さらに、クレジットカード情報が最大約3万6,000件、多言語予約サイトでも最大約86万件の利用者情報が対象となっています。
「楽天で個人情報が大量に流出した」と聞くと、楽天市場などで使っている楽天IDやクレジットカードまで危険にさらされたのではないかと不安になる人もいるでしょう。しかし、今回の発表では、対象となったサイトや情報の種類が具体的に示されています。260万件すべてでクレジットカード情報が流出したわけではなく、カード番号の全桁やパスワードも対象に含まれていません。
今回の不正アクセスで何が起きたのか、海外向けの予約サイトとの関係や楽天IDへの影響を確認し、利用者が取るべき対応を整理します。
楽天トラベルの不正アクセスで何が起きたのか
楽天グループは2026年10月26日、旅行予約サービス「楽天トラベル」の海外ホテル予約サイトの一部ページと、多言語予約サイトで第三者による不正アクセスがあったと発表しました。
今回の問題は、次の2つのサイトで発生しています。
1つ目は、楽天グループの子会社であるRakuten Travel Xchangeが管理・運営する海外ホテル予約サイトの一部ページです。9月10日に異常を検知し、9月15日に原因を特定、9月16日にシステム改修を完了しました。
2つ目は、楽天グループが管理・運営する多言語予約サイトです。こちらは10月20日に不正アクセスの可能性を検知し、翌21日までにシステム改修を完了しています。
楽天グループによると、対象サイトへのアクセス経路を遮断し、システムの改修を実施しました。発表時点では、対象サイト以外で同様の事象は確認されておらず、今回の問題に起因すると考えられる二次被害や、ほかのサービスへの影響も確認されていないとしています。
最大260万件の情報流出とは？実際に対象となった情報
今回のニュースで特に目立つのが、最大約260万件という数字です。この数字は海外ホテル予約サイトの一部ページにログインした利用者の情報を指しており、260万件すべてが予約者というわけではありません。
対象となった情報は、氏名、メールアドレス、電話番号、社内用の識別番号です。楽天グループの発表では、この260万件について、クレジットカード情報やパスワードが対象になったとは記載されていません。
一方、実際に該当ページから予約した利用者については、最大約4万件の氏名、メールアドレス、電話番号、居住国、予約情報などが対象となりました。予約情報には、宿泊施設名や予約金額などが含まれ、同伴者の氏名や居住国も対象となっています。
このうち、支払情報が対象となったのは最大約3万6,000件です。つまり、260万件という数字と、カード情報が対象となった3万6,000件は、区別して考える必要があります。
クレジットカード情報は下4桁だけ？全桁やセキュリティコードは含まれず
今回、クレジットカード情報が対象になったと聞いて、不正利用を心配している人もいるでしょう。
楽天グループの公式発表によると、対象となった支払情報には、カード発行者識別番号、カード番号の下4桁、カード名義、有効期限、国際ブランド区分が含まれています。
重要なのは、カード番号の全桁とセキュリティコードは含まれていないという点です。また、パスワード、パスポートなどの身分証明書情報、住所も今回の対象情報には含まれていないと説明されています。
楽天グループは、今回対象となった情報のみでは、買い物や旅行予約の決済、キャッシングなどの不正利用はできないとしています。ただし、氏名や連絡先、カードの一部情報が悪用され、実在する企業や予約を装った詐欺メールなどに利用される可能性には注意が必要です。
海外向けの予約サイトが対象 日本人の利用者も含まれるのか
今回の不正アクセスで見落としたくないのが、対象となったサイトの性質です。
260万件の情報が対象となったのは、楽天グループの子会社Rakuten Travel Xchangeが管理・運営する海外ホテル予約サイトの一部ページです。同社は楽天グループの宿泊施設流通・旅行関連技術部門で、世界各地の宿泊施設の在庫や料金などを取り扱っています。
楽天グループの公式発表では、対象地域としてヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国・地域が挙げられています。つまり、国内向けの楽天トラベル全体で一律に発生した問題ではなく、海外ホテル予約に関連する一部のページで起きたものです。今回の公式発表には、対象者の国籍別の人数や、日本人利用者が何人含まれるのかという内訳は示されていません。
日本人の利用者が対象に含まれていないと判断することもできないため、海外ホテル予約を利用したことがある人は、楽天グループからの個別連絡を確認することが大切です。
多言語予約サイトでも最大86万件の情報が対象に
今回の発表では、もう1つの問題として、多言語予約サイトへの不正アクセスも明らかになりました。
こちらでは、ログインした最大約86万件の利用者について、メールアドレスと社内用の識別番号が対象となりました。また、サイトの管理画面に入力された宿泊施設従業員のアカウント名、メールアドレス、社内用の識別番号も最大約4万件が対象となっています。
この86万件についても、公式発表で示されている対象情報はメールアドレスなどであり、クレジットカード番号やパスワードが対象になったという発表ではありません。
なお、260万件、4万件、86万件、4万件という数字は、それぞれ異なる区分の対象件数です。単純に足し合わせて、重複のない被害者数や、情報が実際に外部へ持ち出された人数が確定したと考えるのは適切ではありません。
楽天IDの不正ログインや楽天市場への影響は？
今回のニュースを受けて、楽天IDが乗っ取られたり、楽天市場で勝手に買い物をされたりするのではないかと心配する人もいるでしょう。
しかし、楽天グループは、セキュリティ専門チームによる監視の結果、今回の対象サイト以外で同様の事象は確認されておらず、ほかのサービスへの影響も現時点では確認されていないと発表しています。
また、今回の対象情報にはパスワードが含まれていません。したがって、今回の不正アクセスの発表だけを根拠に、楽天IDのパスワードが流出した、あるいは楽天市場のアカウントが乗っ取られたと判断することはできません。
ただし、今回の問題と無関係に、第三者が過去に流出したメールアドレスやパスワードを使って不正ログインを試みる可能性はあります。楽天IDの利用者は、今回のニュースだけで危険性を判断するのではなく、ログイン履歴や利用通知、身に覚えのない注文がないかを普段どおり確認するとよいでしょう。
利用者が今できる対策
まず、楽天グループから個別の連絡が届いていないか確認してください。対象となる利用者には、順次連絡と注意喚起を行うと発表されています。
不審なメールやSMSが届いた場合は、本文中のリンクから安易にログインせず、公式サイトや公式アプリを自分で開いて確認しましょう。今回の問題に便乗して、情報確認やカード停止を装い、パスワードやカード情報を盗もうとする詐欺にも注意が必要です。
また、楽天IDなどのパスワードをほかのサービスでも使い回している場合は、使い回しを避け、それぞれ異なるパスワードを設定することが有効です。ただし、今回の発表でパスワード流出が確認されたわけではないため、ニュースを見ただけで、すべてのパスワードを慌てて変更する必要があると決めつける必要はありません。
クレジットカードについても、今回の対象情報だけでは決済などの不正利用はできないと楽天グループは説明しています。身に覚えのない請求や不審な利用通知があった場合には、カード会社の公式窓口へ連絡してください。
まとめ
楽天トラベルの不正アクセスでは、海外ホテル予約サイトの一部ページで最大約260万件、多言語予約サイトで最大約86万件の利用者情報などが対象となりました。カード情報が対象となったのは海外ホテル予約の利用者のうち最大約3万6,000件で、カード番号の全桁やセキュリティコード、パスワードは含まれていません。
今回の問題は、楽天トラベルに関連する特定のサイトで発生したものであり、楽天ID全体や楽天市場などのサービスに不正アクセスが広がったと発表されたわけではありません。現時点で、楽天グループは二次被害やほかのサービスへの影響を確認していないとしています。
大きな数字を含むニュースは不安を感じやすいものですが、対象となったサービス、情報の種類、確認されている被害を区別して受け止めることが重要です。公式からの連絡や利用履歴を確認し、不審なメールや請求に注意しながら、冷静に対応しましょう。
