※2026年10月26日に楽天グループが発表した内容と、各社の報道をもとにまとめています。数字は「最大」「可能性」を含む発表時点のもので、今後変わることがあります。
10月26日、楽天グループが「楽天トラベル」で2件の不正アクセスがあったと発表しました。ニュースの見出しには「260万件」「354万件」といった大きな数字が並んでいますが、どの数字が何を指しているのか、読んでいて分かりにくいと感じた人も多いはずです。
この記事では、発表の内容を2件に分けて、漏れた情報と含まれなかった情報、時系列を順に整理します。
発表の要点を3つに絞ると
- 不正アクセスは「海外ホテル予約ページ」と「多言語予約サイト」の2件
- 対象となった情報は、氏名・メールアドレス・電話番号・社内用の識別番号など。一部は支払情報も含む
- カードの全桁、セキュリティコード、パスワード、パスポート情報、住所は含まれないと説明されている
1件目：海外ホテル予約ページ（最大約260万件＋約4万件）
子会社のRakuten Travel Xchangeが運営する、海外ホテル予約ページで起きたものです。対象エリアはヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国・地域とされています。
- 9月10日：異常を検知
- 9月15日：原因を特定
- 9月16日：システムの改修を完了
対象になった情報は2種類あります。
- ログインした利用者：最大約260万件…氏名、メールアドレス、電話番号、社内用の識別番号
- 予約者：最大約4万件…上記に加えて居住国、予約情報（施設名・予約金額など）、同伴者の氏名と居住国。このうち最大約3万6千件は支払情報も対象
2件目：多言語予約サイト（最大約86万件＋約4万件）
こちらは10月20日に不正アクセスの可能性を検知し、翌21日に改修を終えています。
- ログインした利用者：最大約86万件…メールアドレスと社内用の識別番号
- 宿泊施設の従業員：最大約4万件…アカウント名、メールアドレス、社内用の識別番号（管理画面で入力された情報）
「354万件」は単純合計の数字
INTERNET Watchは、発表された件数を単純に足すと約354万件になると伝えています。ただし、同じ人が複数の区分に入っている可能性もあり、「354万人」とは限りません。「件」と「人」は分けて読む必要があります。
漏れていないとされるもの
- クレジットカード番号の全桁
- セキュリティコード
- パスワード
- パスポートなどの身分証明書の情報
- 住所
楽天側は、今回の対象となった情報だけでは、決済やキャッシングなどの不正利用はできないと説明しています。二次被害は、発表時点では確認されていないとのことです。
検知から発表まで、約1か月半
1件目は9月10日の検知から10月26日の発表まで約46日、2件目は10月20日の検知から6日での発表でした。発表が10月26日になった理由は、公表されている資料からは確認できません。社内調査で「利用者情報が対象になった」と判明した時期など、細かい経緯は今後の説明を待つ必要があります。
まだ分かっていないこと
- 不正アクセスの具体的な手口と原因
- 日本国内の利用者のうち、どのくらいが対象か
- 対象者への個別連絡の具体的な時期
楽天は、対象者へ順次、個別に連絡するとしています。個人情報保護委員会などにも報告済みです。
次にやること
自分が対象かどうか、届いた連絡をどう確認するか、偽メールにどう備えるかは、楽天トラベル流出、自分は対象？今すぐ確認したい3つと偽メール対策にまとめました。カード情報が気になる人は、カード再発行は必要かの記事もどうぞ。
まとめ
楽天トラベルの不正アクセスは、海外ホテル予約ページと多言語予約サイトの2件で、数字は最大で約260万件、約86万件など。カード番号の全桁やセキュリティコードは含まれないと説明されていますが、メールアドレスと電話番号が対象なので、偽メール・偽SMSへの警戒は必要です。続報が出たら、確認できた事実を追記します。
コメント