楽天トラベル不正アクセス 260 万件：対象の人と今すること

情報は 2026 年 10 月 27 日 3 時 30 分（日本時間）時点です。対象と情報の範囲は、楽天トラベルの 10 月 26 日のお知らせ（3 時 27 分に確認）だけから書いています。報道の数字や推測は入れていません。

楽天トラベルは 10 月 26 日、2 つの不正アクセスを発表しました。1 つは海外ホテル予約サイトのうち子会社 Rakuten Travel Xchange が運営する一部のページで、ログインした最大約 260 万件の氏名・メールアドレス・電話番号と、予約した最大約 4 万件の予約情報が対象です。もう 1 つは多言語予約サイトで、最大約 86 万件のメールアドレスが対象です。事象①について、クレジットカード番号の全桁、セキュリティコード、パスワードは含まれないとしています。国内の宿の予約については、お知らせは「当該サイト以外では同様の事象は確認されておりません」と書くだけで、国内サイトの名前は挙げていません。

この記事は、楽天トラベルで旅行を予約したことがあり「自分は対象？」と気になった人に向けて書いています。対象の人には楽天から順に個別の連絡が届きます。それまでにできることと、届いたメールが本物かの見分け方もまとめます。

何が起きたか：2 つの不正アクセス

発表はどちらも 10 月 26 日です。楽天は、日本の個人情報保護委員会と国外の関係当局に報告しています。お知らせの時点で、二次被害や、ほかのサービスへの影響は「確認されておりません」としています。

対象になる人

事象①の対象エリア（予約したホテルのある国と地域）は、ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国と地域です。お知らせは、韓国、台湾、香港、シンガポール、マカオと、タイ・ベトナム・フィリピン・インドネシア・米国（ハワイ、グアム、ロサンゼルス他）の一部の地域を除くと書いています。

お知らせは、多言語予約サイトがどの言語の版かを書いていません。事象②の問い合わせ先は、英語・韓国語・繁体字中国語（香港・台湾）で分かれています。

自分の予約が「一部のページ」経由だったかはわかる？

お知らせからは、わかりません。海外ホテルの予約のうち、どの予約が Rakuten Travel Xchange の運営するページを通ったかの見分け方は書かれていません。楽天は、対象の利用者・予約者に「順次、個別のご連絡と注意喚起」をするとしています。気になる人は、事象①の専用窓口（travel-support@faq.rakuten.co.jp）に問い合わせてください。

国内の宿の予約は対象？

お知らせは、国内の予約サイトについて名前を挙げて書いていません。書いているのは次の 2 つです。

• 「当社のセキュリティ専門チームによるモニタリングの結果、当該サイト以外では同様の事象は確認されておりません」
• 「本件に起因すると考えられる二次被害や、その他サービスへの影響も現時点では確認されておりません」

対象として挙がっているのは、海外ホテル予約サイトの一部のページと多言語予約サイトの 2 つだけです。お知らせが挙げた 2 つに、日本語の国内宿予約サイトは名前が挙がっていません。ただ「国内サイトは安全」と楽天が言い切っているわけではなく、言葉は「同様の事象は確認されておりません」です。

含まれる情報と含まれない情報

事象①：海外ホテル予約サイトの一部のページ

事象②：多言語予約サイト

「含まれない」は、お知らせが事象①の予約者の項目に付けた注記です。ログインした人の項目は、氏名・メールアドレス・電話番号・社内用の識別番号だけです。事象②は、対象の情報を上の表の「含まれる」の項目だけと書いていて、カードやパスワードには触れていません。

楽天は、今回の情報「のみでは、決済（お買い物・旅行予約）やキャッシングなどの不正利用は出来ません」と書いています。つまり、カード番号の全桁とセキュリティコードがないので、この情報だけで買い物はできない、という説明です。

今すること

1. 楽天からの個別の連絡を待ち、メールのリンクは押さない

対象の人には、楽天から順に個別の連絡が届きます。「お詫び」「確認のお願い」などのメールが届いても、まずリンクは押さず、楽天トラベルのアプリか、自分で保存したブックマークから開いて確かめてください。

2. 下 4 桁や予約内容が書いてあっても、本物とは決めない

事象①で不正アクセスの対象になったのは、氏名・電話番号・予約した施設・予約金額・カードの下 4 桁と有効期限などです。こうした情報を書き込んだメールや電話は、本物らしく見えます。カード番号の全桁、セキュリティコード、パスワード、認証コードを求められたら、相手が楽天を名乗っても入力しないでください。

3. メールの送信元と楽天ブランドシンボルを見る

楽天グループは、Yahoo!メール・ドコモメール・Gmail・Apple メールで、楽天から正式に送ったメールに楽天ブランドシンボルや公式アカウントマークを表示しています。Yahoo!メールでは、ブラウザかアプリの一覧画面でだけ表示され、メールソフトでは表示されません。また楽天は、送信元のドメインによっては正規のメールでも表示されないことがあるとも書いています。マークがないから偽物、とは決められないので、迷ったら手順 1 のとおり、アプリやブックマークから開いて確かめてください。

4. カードの明細を確かめる

楽天は、今回の情報だけではカードの不正利用はできないとしています。それでも、偽メールにカード番号を入れてしまった場合や、身に覚えのない請求を見つけた場合は、カードの裏面の番号からカード会社に連絡してください。カードの明細を一度見ておくと、あとで気づきやすくなります。

宿泊施設の担当者へ

事象②では、多言語予約サイトの管理画面で入力された、最大約 4 万件の宿泊施設の従業員のアカウント名・メールアドレス・社内用の識別番号が対象です。パスワードについて、事象②の項目には書かれていません。問い合わせは、楽天の宿泊施設向けフォーム（お知らせの末尾）からできます。楽天を名乗って管理画面へのログインを求めるメールが届いたら、メールのリンクではなく、ふだん開いている管理画面の URL から入ってください。

問い合わせ先

よくある質問

楽天トラベルの流出は何件ですか？

事象①（海外ホテル予約サイトの一部のページ）でログインした最大約 260 万件と予約した最大約 4 万件、事象②（多言語予約サイト）でログインした最大約 86 万件と宿泊施設の従業員の最大約 4 万件です。予約者とログイン者は重なることがあるので、足した数が人数になるわけではありません。

国内のホテルや旅館を予約しただけでも対象ですか？

お知らせが対象に挙げているのは、海外ホテル予約サイトの一部のページと多言語予約サイトだけです。国内の予約サイトについては名前を挙げず、「当該サイト以外では同様の事象は確認されておりません」と書いています。

クレジットカードは止めたほうがいいですか？

楽天は、今回の情報だけでは決済やキャッシングの不正利用はできないとしています。漏れたのは最大約 3 万 6 千件の発行者識別番号と下 4 桁・名義・有効期限・国際ブランドで、番号の全桁とセキュリティコードは含まれません。止めるかどうかはカード会社に相談してください。偽のサイトにカード番号を入れてしまったときは、すぐにカード会社に連絡してください。

パスワードは漏れましたか？

事象①について、お知らせはパスワードは含まれないと書いています。事象②の対象はメールアドレスと社内用の識別番号（宿泊施設の従業員はアカウント名も）で、パスワードは挙がっていません。同じパスワードをいくつものサービスで使っているなら、この機会に変えておくと安心です。

楽天から連絡が来ないのですが、対象外ですか？

楽天は対象の人に「順次」個別に連絡するとしていて、連絡がまだ来ていないだけのこともあります。海外ホテルの予約で気になる人は、事象①の窓口（travel-support@faq.rakuten.co.jp）に問い合わせてください。

いつ起きたのですか？

事象①は 2026 年 9 月 10 日に異常を見つけ、9 月 16 日にシステムを直しました。事象②は 10 月 20 日に見つけ、10 月 21 日に直しました。発表は 10 月 26 日です。

楽天市場や楽天カードも影響を受けましたか？

お知らせは、ほかのサービスへの影響は「現時点では確認されておりません」としています。

ほかの漏えいのニュース

同じ週には、メール配信サービスのユミルリンク（Cuenote）からの漏えいも発表されています。JR の新幹線予約や honto などのメールアドレスが対象で、偽メールの見分け方はユミルリンク（Cuenote）5,162 万件：自分は対象？届いたメールの見分け方にまとめています。

出典

• 楽天トラベル: 海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ（2026 年 10 月 26 日）（2026 年 10 月 27 日 3 時 27 分に確認）
• 楽天グループ: 楽天グループにおけるなりすまし・フィッシングメール対策について（10 月 27 日 3 時 29 分に確認）

更新の記録

• 2026 年 10 月 27 日: 公開。出典は 10 月 27 日 3 時 27〜29 分（日本時間）に読んだものです。