楽天トラベルへの不正アクセス（海外予約等で最大約354万件の顧客・従業員情報流出の恐れ）
公表日
楽天グループの「楽天トラベル」海外ホテル予約ページと多言語予約サイトが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、最大約354万件の顧客や宿泊施設従業員の情報が流出した恐れがあります。
対象者は？
2021年11月8日〜2026年9月14日に海外ホテル予約ページにログインした方（最大約260万件）、同ページで予約した方（最大約4万件、うち最大約3万6,000件はカード下4桁・有効期限等の支払情報を含む）、多言語予約サイトにログインした方（最大約86万件）、同サイト管理画面の宿泊施設従業員（最大約4万件）。カード番号全桁、セキュリティコード、パスワード、パスポート情報、住所は含まれていません。
楽天グループより対象となる利用者へ順次個別に連絡が行われています。
いますぐできること
- 楽天グループを装った不審なメール、SMS、電話に注意し、不審なリンクを開いたりパスワード等を入力したりしない。
- 念のため、クレジットカードの利用明細に身に覚えのない請求がないか定期的に確認する。
何が起きたのか
2026年9月10日に子会社が運営する海外ホテル予約ページで異常を検知し、9月16日にシステム改修を完了しました。その後10月20日には多言語予約サイトでも不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。の可能性を検知し、翌21日に改修を終えました。調査の結果、2つのサイトで合計最大約354万件の情報が不正アクセスの対象となったことが判明し、10月26日に公表されました。
なぜ起きたのか・なぜ広がったのか
具体的な侵入手法や原因となったシステムの不備については、発表資料等で公表されていません。
いまの状況2026-10-26 時点続報待ち
アクセス経路の遮断とシステム改修はすでに完了しており、日本の個人情報保護委員会および国外の関係当局へ報告が行われました。対象者への個別連絡が進められており、発表時点で二次被害や他サービスへの影響は確認されていません。
企業として考えたいこと
海外子会社や関連会社が個別に開発・運用しているWebサービスを含め、グループ全体でセキュリティ監視や脆弱性対策の統一基準を徹底できていますか？
技術的な要約
楽天グループは2026年10月26日、旅行予約サービス「楽天トラベル」において2件の不正アクセスが発生したと発表した。シンガポール子会社のRakuten Travel Xchangeが管理・運営する海外ホテル予約ページにおいて最大約264万件、楽天グループが管理する多言語予約サイトにおいて最大約90万件の個人情報が不正アクセスの対象となった。海外ホテル予約ページの予約者のうち最大約3万6,000件にはクレジットカードの支払情報（発行者識別番号、下4桁、名義、有効期限、ブランド）が含まれていたが、カード番号全桁やセキュリティコードは含まれていない。不正アクセスはそれぞれ2026年9月10日と10月20日に検知され、アクセス経路の遮断およびシステム改修が完了している。楽天グループは個人情報保護委員会および国外当局へ報告を行うとともに、対象者への個別連絡を実施しており、発表時点で二次被害や他サービスへの影響は確認されていない。
攻撃の分類
- 侵入口
- 不明公開された発表資料や通知メールに侵入経路の具体的な手法は記載されていない。
- 脆弱性
- CVE 非公表不明システム改修を実施した旨が発表されているが、具体的な製品名や脆弱性番号（CVE）は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サービスの停止に関する発表はなく、二次被害や他サービスへの影響も確認されていない。
- データ
- おそれ上限 3,540,000確定 —件氏名メール電話クレカ取引先情報その他海外ホテル予約ページ（ログイン利用者最大約260万件、予約者最大約4万件：うち支払情報最大約3万6,000件）と、多言語予約サイト（ログイン利用者最大約86万件、宿泊施設従業員最大約4万件）の単純合計で最大約354万件。対象の支払情報にはカード番号全桁やセキュリティコードは含まれず、パスワードやパスポート情報、住所も含まれていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- シンガポール子会社Rakuten Travel Xchangeが管理・運営する海外ホテル予約ページと、楽天グループ直営の多言語予約サイトの2箇所で不正アクセスが発生した。
時系列
技術解説
2系統の予約システムにおける不正アクセスと被害規模 事実
楽天グループの公表によると、不正アクセスはシンガポール子会社Rakuten Travel Xchangeが管理・運営する海外ホテル予約ページの一部と、楽天グループ直営の多言語予約サイトの2箇所で発生した。海外ホテル予約ページではログイン利用者最大約260万件と予約者最大約4万件（合計最大約264万件）、多言語予約サイトではログイン利用者最大約86万件と宿泊施設従業員最大約4万件（合計最大約90万件）が対象となり、単純合算で最大約354万件の情報流出の恐れがあるとされた。海外ホテル予約ページにおけるログイン利用者の対象期間は2021年11月8日から2026年9月14日とされている。
流出した恐れのある情報項目とカード情報の範囲 事実
海外ホテル予約ページの予約者情報最大約4万件のうち、最大約3万6,000件についてはクレジットカードの支払情報（発行者識別番号、下4桁、名義人名、有効期限、国際ブランド区分）が含まれていた。一方で、クレジットカード番号の全桁やセキュリティコード、パスワード、身分証明書情報（パスポート）、住所は対象に含まれていない。楽天グループは、対象となった支払情報のみでは決済やキャッシングなどの不正利用はできないと説明している。また、多言語予約サイトではメールアドレスと社内用識別番号、宿泊施設従業員のアカウント名などが対象となった。
グループ子会社運営システムと本体直営サイトにおける管理体制の課題 解釈
約1か月の間に、シンガポール子会社が管理する海外向け予約ページと楽天グループ本体が管理する多言語予約サイトという、別個に運用されている2つのシステムで相次いで不正アクセスの検知と改修が行われた。公表資料では具体的な脆弱性や攻撃手法は明らかにされていないものの、海外事業展開に伴って分散したシステムインフラや運用体制において、類似の認証・認可機能の不備や公開アプリケーションの脆弱性が存在した可能性が考えられる。子会社や海外拠点のシステムを含めたグループ全体のガバナンスと共通セキュリティ基準の適用が重要となる。
迅速なシステム改修と公表・個別通知までのタイムラグ 解釈
子会社運営ページでは9月10日の異常検知から5日後に原因特定、6日後に改修を完了し、多言語予約サイトでも10月20日の検知当日に原因特定、翌日に改修を完了するなど、検知後の技術的封じ込めは極めて迅速に行われている。一方で、9月中旬に最初の改修が行われてから10月26日の公表まで約1か月半が経過している。これは対象データの精査やログ解析、10月に発覚した多言語予約サイトの事象との関連性確認、国内外の当局への報告準備などを慎重に進めた結果と推測されるが、対象顧客への注意喚起の観点からは初報のタイミングが議論となり得る。
対応
- 封じ込め
- 不正アクセスの経路を遮断。海外ホテル予約ページは2026年9月16日、多言語予約サイトは10月21日にシステム改修を完了した。
- 公表の仕方
- 2026年10月26日にWebサイト上で公式にお知らせを掲載し、対象顧客および宿泊施設従業員に対して順次個別の連絡と注意喚起を実施。
- 当局対応
- 個人情報保護委員会
- 国外の関係当局
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 海外子会社やグループ企業が運営する公開Webシステムのセキュリティ統制 | 国内外のグループ会社が管理するWebアプリケーションやインフラに対し、本社統一のセキュリティ基準、定期的な脆弱性診断、構成監査を義務付ける。 |
| 決済情報および顧客属性データの保持最小化 | カード情報の下4桁や有効期限などの保持が必要な場合でも、トークン決済の導入や暗号化、アクセス権の厳格な分離を行い、Web層からの直接参照を防ぐ。 |
| 管理画面やAPIへの認可制御と監視ログの整備 | 宿泊施設向け管理画面や予約APIにおいて、多要素認証（MFA）の義務化や短時間の異常アクセス検知（レートリミット、不審IP検知）を実装する。 |
| インシデント発生時のグループ内水平展開と横断的調査体制 | 一部のサービスや子会社で不正アクセスを検知した際、類似のアーキテクチャやコードベースを持つ他サービスへ即座に水平展開調査を実施するプロトコルを策定する。 |
自組織などでの確認項目
- 自社の海外子会社や外部委託先が管理・運用する公開Webサービスに対して、本社と同等のセキュリティ監査や脆弱性管理が実施できているか。
- 自社システム内で保持しているクレジットカード関連情報や予約データなどの機微情報は、業務上必要最小限に絞り込まれ、適切にアクセス制御されているか。
- 特定のシステムで不正アクセスを検知・改修した際、グループ内の他システムや類似環境への横断的な影響調査を速やかに開始できる体制があるか。
未解明点
- 海外ホテル予約ページおよび多言語予約サイトに対する不正アクセスの具体的な侵入経路や悪用された脆弱性は何であったのか。
- 9月に検知された子会社システムの事象と10月に検知された多言語予約サイトの事象は、同一の攻撃者や同一の攻撃手法によるものだったのか。
出典
- 1ロイター2026-10-26報道本文確認済
- 2INTERNET Watch2026-10-26報道本文確認済
- 3ライブドアニュース2026-10-26報道本文確認済
- 4CNET Japan2026-10-26報道本文確認済
- 5楽天グループ株式会社2026-10-26公式本文確認済
- 6日本経済新聞2026-10-26報道本文確認済
- 7TRAICY（トライシー）2026-10-26報道本文確認済
- 8Impress Watch2026-10-26報道本文確認済