楽天グループは2026年10月26日、「楽天トラベル」の海外ホテル予約サイトの一部ページと、多言語予約サイトで、第三者による不正アクセスを確認したと発表した。利用者の氏名やメールアドレス、予約情報のほか、多言語予約サイトの管理画面に入力された宿泊施設従業員の情報も対象となった。

海外ホテル予約サイトでは9月、多言語予約サイトでは10月に異常や不正アクセスの可能性を検知し、それぞれシステム改修を完了した。同社によると、発表時点で、本件に起因すると考えられる二次被害や、その他サービスへの影響は確認されていない。

海外ホテル予約、最大約260万件

海外ホテル予約サイトで対象となったのは、楽天グループの子会社Rakuten Travel Xchangeが管理・運営する一部のページ。9月10日に異常を検知し、9月15日に原因を特定、翌16日にシステム改修を完了した。その後の社内調査で、顧客情報が不正アクセスの対象となったことを確認した。

対象情報は、該当ページでログインした利用者の最大約260万件の氏名、メールアドレス、電話番号、社内用の識別番号。また、該当ページから予約した顧客の最大約4万件の氏名、メールアドレス、電話番号、居住国、社内用の識別番号、施設名や予約金額などの予約情報と、同伴者の氏名、居住国も対象となった。

この予約顧客情報のうち、最大約3万6000件には支払情報も含まれる。具体的には、クレジットカードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分。カード番号の全桁やセキュリティコードは含まれていない。また、パスワード、パスポートなどの身分証明書情報、住所も対象情報には含まれていないとしている。

該当する海外ホテル予約ページの対象エリアは、ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国・地域。韓国、台湾、香港、シンガポール、マカオは対象外で、タイ、ベトナム、フィリピン、インドネシア、米国の一部地域も除く。米国ではハワイ、グアム、ロサンゼルスなどが対象外となる。

多言語サイトは最大約86万件、宿泊施設従業員は最大約4万件

多言語予約サイトについては、10月20日に第三者による不正アクセスの可能性を検知。同日に原因を特定し、翌21日にシステム改修を完了した。

調査の結果、不正アクセスの対象となったのは、同サイトにログインした利用者の最大約86万件のメールアドレスと社内用の識別番号。また、同サイトの管理画面で入力された宿泊施設従業員の最大約4万件のアカウント名、メールアドレス、社内用の識別番号も対象となった。

対象者へ個別通知、国内外の関係当局に報告

楽天グループは、アクセス経路の遮断やシステム改修を実施。対象となる利用者・予約者には順次、個別連絡と注意喚起を行い、二次被害の防止措置を講じる。日本の個人情報保護委員会と国外の関係当局にも報告した。

同社は、今回対象となった情報のみでは、買い物や旅行予約の決済、キャッシングなどの不正利用はできないと説明。セキュリティ専門チームによるモニタリングでは、対象サイト以外で同様の事象は確認されていないとしている。

問い合わせは、海外ホテル予約サイトについては専用メール窓口、多言語予約サイトについては言語別の問い合わせフォームで受け付ける。宿泊施設関係者向けにも専用フォームを設けている。同社は、セキュリティ対策の強化など、再発防止に引き続き取り組むとしている。