楽天トラベルの不正アクセス、対象者は？カード情報と確認方法を整理

楽天トラベルの不正アクセスで、自分の情報も対象なのか。国内のホテルを予約した人も気になりますよね。2026年10月26日の発表で対象とされたのは、海外ホテル予約サイトの一部ページと多言語予約サイトです。楽天トラベルの全利用者が対象と発表されたわけではありません。

『ハテナのつづき』のナギです。今回は、予約していなくても対象になり得る点と、カード情報のどこまでが含まれるのかを先に整理します。2026年10月27日に確認した公式発表をもとに、対象の見方、個別連絡への対応、問い合わせ先までまとめました。

国内予約も対象？発表されたのは二つのサイト

楽天グループが公表したのは、海外ホテル予約サイトのうち子会社のRakuten Travel Xchangeが管理・運営する一部ページと、楽天グループが管理・運営する多言語予約サイトで起きた、二つの不正アクセスです。

「楽天トラベル」という名前だけでは範囲が広く見えますが、国内宿泊の通常の予約サービス全体について情報流出を発表したものではありません。ただし、多言語予約サイトを使った場合は、別の対象区分として考える必要があります。

海外ホテルの対象エリアも、海外すべてという意味ではありません。欧州、米国・カナダ、アジア・オセアニアの一部が挙げられていますが、除外される国や地域があります。行き先だけで自分の該当を決めず、利用ページと個別連絡を手掛かりにしましょう。

予約していなくても、ログインした人が含まれる

見落としたくないのが、予約者とは別に、対象ページへログインした利用者の情報も含まれていることです。「旅行は調べただけで、結局申し込まなかった」という人も、予約していないことだけでは対象外と判断できません。

海外ホテル予約の一部ページでは、予約者が最大約4万件、ログインした利用者が最大約260万件です。予約者の区分には施設名や予約金額などが含まれ、ログインした利用者の区分では氏名や連絡先などが挙げられています。

対象の区分	最大件数	対象情報の概要
海外ホテルの一部ページから予約した人	約4万件	氏名、連絡先、居住国、予約情報など。同伴者の氏名・居住国も含む
海外ホテルの一部ページへログインした人	約260万件	氏名、メールアドレス、電話番号、社内用の識別番号
多言語予約サイトへログインした人	約86万件	メールアドレス、社内用の識別番号
多言語予約サイトの管理画面に情報が入力された宿泊施設従業員	約4万件	アカウント名、メールアドレス、社内用の識別番号

多言語予約サイトでは、ログインした利用者の最大約86万件に加え、管理画面に入力された宿泊施設従業員の情報も最大約4万件が対象です。旅行者と施設側の情報では内容が違うため、件数だけを並べると分かりにくいんですね。

カード情報は全桁？対象になった項目を確認

「支払情報も対象」と聞くと、カードがすぐ使われてしまうのでは、と心配になりますよね。海外ホテル予約者の最大約4万件のうち、最大約3万6千件にはカード情報の一部が含まれます。カード番号全桁が対象という発表ではありません。

対象の支払情報は、カードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分です。楽天は、今回対象となった情報だけでは、買い物や旅行予約の決済、キャッシングなどの不正利用はできないと説明しています。

この予約者情報の説明では、カード番号全桁・セキュリティコードに加え、パスワード、パスポートなどの身分証明書情報、住所も含まれないとしています。「居住国」は対象に含まれるので、「住所」と混同しないようにしたいところです。

260万件と約350万件、なぜ数字が違うのか

報道の見出しには「最大約260万件」や「合計最大約350万件」があり、どちらなのか迷いますよね。260万件は、海外ホテル予約サイトの一部ページへログインした利用者の区分です。二つの事象全体を表す数字ではありません。

公表された四つの区分を単純に足すと、約4万件＋約260万件＋約86万件＋約4万件＝約354万件になります。ただし、これは各区分の概数を足した計算です。重複を取り除いた被害者の実人数が354万人と確定したわけではありません。

支払情報の最大約3万6千件は、予約者の最大約4万件の内数なので、さらに足しません。また、公式発表は情報が不正アクセスの対象になったと説明しています。すべての情報が外部へ流出したと確定したように読み替えるのは避けたいです。

検知と改修はいつ？公表日とは分けて考える

発表日は2026年10月26日ですが、異常を検知した日とは異なります。海外ホテル予約の一部ページでは9月10日に異常を検知し、9月15日に原因を特定、9月16日にシステム改修を完了しています。その後の社内調査で対象情報を確認しました。

多言語予約サイトでは10月20日に不正アクセスの可能性を検知し、同日に原因を特定、翌10月21日に改修を完了しました。発表日だけを見て「10月26日に攻撃された」と考えたり、検知日をそのまま侵入開始日と受け取ったりはできません。

楽天はアクセス経路の遮断とシステム改修を実施し、関係当局にも報告しています。10月26日の発表時点では、本件に起因すると考えられる二次被害や他サービスへの影響は確認されていないという説明です。将来も被害がないという保証とは区別して受け止めます。

対象か気になるときに、先にすること

対象となる利用者・予約者には、楽天から順次、個別の連絡と注意喚起が行われます。まだ連絡が届いていなくても、それだけで対象外と決まるわけではありません。心当たりがある人は、登録メールの受信箱と迷惑メールフォルダーを確認しましょう。

カードについては、今回対象となった情報だけでは不正利用できないという説明を踏まえつつ、利用明細に覚えのない請求がないか目を通すのが現実的です。見覚えのない利用があれば、この件が原因かを自分で確定する前にカード発行会社へ相談してください。

わたしは、対象かどうかの確認と、別の不審な連絡への対応を分けたいと思います。漏えいのニュースを読んだ直後ほど、本人確認を急ぐ案内が気になりやすいものです。届いたリンクから手続きを始めず、自分で公式サイトを開く形にしておくと迷いにくくなります。

個別連絡が届いても、追加の情報入力は慎重に

本物の個別連絡が予定されているからこそ、楽天を名乗る連絡をすべて偽物扱いするのも、すべて信用するのも困りますよね。楽天の一般的な注意喚起では、アカウント侵害へのお詫びや支払い方法の更新などを装う不正事例が紹介されています。

これは、今回の不正アクセスに便乗した偽メールが確認されたという意味ではありません。今後の連絡を読む際の備えです。カード番号全桁やパスワードを改めて入力するよう求められた場合は、その画面で進めず、公式窓口から案内の内容を確かめてください。

すでに不審なサイトへ楽天IDとパスワードを入力した場合は、正規の楽天会員情報管理ページからパスワードを再設定します。カード番号や暗証番号まで入力した場合は、カード発行会社へ速やかに連絡し、停止など必要な手続きを進めてください。

自分の利用状況が分からなければ専用窓口へ

過去の旅行を思い返しても、どの予約ページを使ったかまでは覚えていないことがあります。海外ホテルを使った記憶があって該当するか分からない場合は、楽天が今回案内した専用窓口へ問い合わせるのが確実です。一般の宿泊予約の相談とは窓口が異なります。

海外ホテル予約サイトの事象については専用メール窓口、多言語予約サイトについては言語別の問い合わせフォームが用意されています。宿泊施設関係者向けには別フォームがあります。問い合わせ時に、求められていないカード番号全桁などを先回りして送る必要はありません。

「自分も被害に遭った」と決めつける前に、使ったサービスの範囲と届いた案内を照らし合わせる。そこからで大丈夫です。対象か不明な点は公式窓口へ、覚えのないカード利用は発行会社へ。困りごとに合う連絡先を選んで進めましょう。