PR

楽天トラベル不正アクセス 国内予約は対象外？出張族の備えを整理

image

この記事の結論 今回の対象は「海外ホテル予約の一部ページ」と「多言語予約サイト」。日本語版の国内宿泊予約は対象に入っていません。 ただし、漏れた可能性のある項目はフィッシングに使える情報です。

やるべき備えは3つだけあります。

何が起きたのか

10月26日、楽天グループが発表しました。楽天トラベルで2件の不正アクセスがあった、と。

事象①事象②
対象サイト海外ホテル予約の一部ページ多言語予約サイト
検知9月10日10月20日
改修完了9月16日10月21日
対象予約者 最大約4万件／ログイン利用者 最大約260万件ログイン利用者 最大約86万件／宿泊施設従業員 最大約4万件

楽天の発表を単純に足すと約354万件。報道では「260万件」と書かれたものも多く、数字が割れています。

これは事象①の260万件だけを数えているか、全体を合算しているかの違いです。

数字の大小より、自分の情報がどの区分に入るかを見たほうが早いです。

漏れた可能性がある情報

項目含まれる／含まれない
氏名・メールアドレス・電話番号・居住国含まれる
予約情報（施設名・予約金額など）含まれる（予約者 約4万件）
カードの下4桁・名義・有効期限・国際ブランド含まれる（最大約3.6万件）
カード番号の全桁・セキュリティコード含まれない
パスワード含まれない
パスポートなど身分証明書・住所含まれない

楽天は「今回の対象情報のみでは、決済やキャッシングの不正利用はできない」と説明しています。これは技術的にはその通りで、カード番号の全桁とセキュリティコードがなければ決済は通りません。

ここが落とし穴

じゃあ安心かというと、そうでもない。

下4桁・名義・有効期限が揃うと、「カードを確認します」という電話やメールが本物っぽく見えるようになります。いわゆるフィッシングの材料になるわけです。

実際にカードが使われるのではなく、カードを持っている人を騙すために使われる。

これが今回の本質です。

対象エリアに入っていない国

事象①の対象はヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部。韓国・台湾・香港・シンガポール・マカオ、タイ・ベトナム・フィリピン・インドネシアの一部、米国のハワイ・グアム・ロサンゼルスなどは除かれています。

つまり、日本人がよく行く海外旅行の定番どころは外れている。

これは不幸中の幸いでした。

出張で使っている人へ

ここが一番知りたいところだと思います。

私も仕事の宿はほぼオンライン予約で取ります。

地方の現場が続くと、週に3〜4泊は普通です。

結論から書きます。

日本語版の楽天トラベルで国内の宿を取っている分には、今回の対象に含まれていません。

理由は単純で、発表で名前が挙がっているのが「海外ホテル予約の一部ページ」と「多言語予約サイト」の2つだけだからです。楽天も「当該サイト以外では同様の事象は確認されておりません」としています。

国内出張の予約履歴が漏れた、という話ではありません。 

ここを混同すると、不要に怖がることになります。

それでも備えるべき3つ

とはいえ、何もしないのは違う。やることは3つで足ります。

① メールとSMSは「リンクを開かない」で統一

漏れた可能性があるのはメールアドレスと電話番号です。この2つが揃うと、本物そっくりの連絡が届きます。

「ご予約内容の確認」「不正利用の疑い」「返金の手続き」——この3つは鉄板の手口です。リンクを開かず、公式アプリか公式サイトから自分でログインする。 これだけで9割は防げます。

日頃から使うなら、パスワード管理とフィッシング対策の実務書を一冊持っておくと、判断の基準ができます。

② パスワードを使い回さない

楽天のパスワードは漏れていません。ですが、同じパスワードを他のサービスでも使っていたら、そこから入れられる可能性は残ります。

これが「リスト型攻撃」と呼ばれる手口です。1つ漏れると、芋づる式に被害が出ます。

パスワード管理ツールを入れて、全部を別の文字列にする。手間は最初の1時間だけです。

③ 出張先のWi-Fiを疑う

これは今回の件とは別の話ですが、現場が増える季節なので書いておきます。ホテルや駅のフリーWi-Fiは、暗号化されていないものが今もあります。

予約サイトにログインする程度なら、モバイルルーターやVPNを1台持っておくほうが安心です。道内を回る人間としては、電波の保険としても使えます。

Xでは何が起きているか

発表直後、Xで拡散されたのは報道アカウントの投稿が中心でした。Impress Watchのポストは、4万件・3万6千件・260万件という3つの数字を並べて伝えています。

その結果、タイムラインでは「260万件」と「354万件」が混在しました。同じ発表を読んでいるのに、人によって認識が違う状態です。

数字が割れているときは、一次情報の区分を見る。これが一番早い。

楽天トラベルのお知らせページには、事象①と②に分けて件数が書かれています。SNSの要約より、そこを読んだほうが正確です。

今後どうなるのか

現時点で公表されている範囲では、次の3つが進みます。

  1. 対象者への個別連絡（順次）
  2. 個人情報保護委員会と国外当局への報告（済み）
  3. 再発防止のためのセキュリティ強化

楽天は「本件に起因すると考えられる二次被害や、その他サービスへの影響は現時点で確認されていない」としています。少なくとも現時点で、実害が出たという発表はありません。

今後注目すべきは、個人情報保護委員会の公表と、対象者への通知がいつ届くかの2点です。通知が来たら、それは「あなたの情報が対象になった」という意味なので、内容をしっかり読みましょう。

予約はどうすればいいか

いつも通りで大丈夫です。 国内の宿泊予約は通常どおり使えます。

ただし、複数の予約サイトを比較したいときは、楽天トラベル以外の宿も見ておくと、空室と価格の当たりが変わります。道内の現場は宿が少ない地域もあるので、選択肢は多いほうがいい。

まとめ

論点結論
国内予約は対象？対象外。海外ホテル予約の一部と多言語サイトのみ
カードは危ない？全桁・セキュリティコードは漏れていない。決済は不可
本当のリスク氏名・メール・電話・下4桁を使ったフィッシング
やることリンクを開かない／パスワードを分ける／Wi-Fiを疑う

怖がりすぎる必要はない。ただし、何もしないのは違う。

情報が出た直後は、SNSの数字に振り回されます。落ち着いて、自分の区分を確認する。それが一番確実な備えです。

参考

  • 楽天トラベル「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」（2026年10月26日）
  • Impress Watch「楽天トラベルで2件の不正アクセス、海外ホテル予約サイト・多言語予約サイトで」（2026年10月26日）

※本記事は2026年10月27日時点の公表情報に基づきます。続報が出た場合は内容が変わります。