楽天トラベル不正アクセスは誰が対象？海外ホテル予約・カード情報の範囲を解説

楽天トラベル不正アクセスは誰が対象？国内予約・カード情報・確認方法

楽天グループは2026年10月26日、旅行予約サービス「楽天トラベル」の海外ホテル予約サイトの一部ページと、多言語予約サイトで、第三者による不正アクセスがあったと発表しました。

海外ホテル予約ページでは最大約260万件、多言語予約サイトでは最大約86万件の利用者情報が不正アクセスの対象となっています。さらに、海外ホテルの予約情報やクレジットカードの一部情報、宿泊施設の従業員情報も対象に含まれます。

楽天トラベルを利用したことがある人にとって、気になるのは「国内ホテルを予約した自分も対象なのか」「クレジットカードは大丈夫なのか」「予約したホテルには予定どおり泊まれるのか」という点でしょう。

先に結論をお伝えすると、今回の発表は楽天トラベルの全利用者が対象というものではありません。また、対象となった支払情報にカード番号の全桁やセキュリティコードは含まれておらず、楽天は今回の対象情報だけでは不正決済やキャッシングはできないと説明しています。

ただし、対象者への個別通知が進められているため、該当する海外予約サイトを利用した人は確認が必要です。

この記事では、2026年10月27日時点で確認できる楽天の公式発表をもとに、対象となる予約、情報の内訳、利用者が取るべき対応を整理します。

楽天トラベルの不正アクセスは誰が対象？まず確認したい結論

今回の不正アクセスで対象となったのは、大きく分けて次の2つです。

1. 楽天グループの子会社「Rakuten Travel Xchange」が管理・運営する海外ホテル予約サイトの一部ページ
2. 楽天グループが管理・運営する楽天トラベルの多言語予約サイト

どちらも楽天トラベルに関連するサービスですが、管理主体、不正アクセスを検知した日付、対象となった情報が異なります。

まずは、自分の利用状況がどのケースに当てはまるかを確認してください。

特に注意したいのは、海外ホテルを予約した人だけが対象とは限らないことです。

今回の発表には、実際に予約した利用者の情報とは別に、対象ページへログインした利用者の情報も含まれています。

反対に、楽天トラベルの海外ホテルを利用した経験があるだけで、今回の不正アクセス対象者と確定するわけでもありません。対象となるのは、特定の管理・運営ページに関係する情報です。

国内ホテルの予約も対象なのか？

楽天の公式発表では、日本国内のホテル予約サービス全体が不正アクセスを受けたとは説明されていません。

楽天のセキュリティ専門チームによるモニタリングでも、発表された対象サイト以外では同様の事象は確認されていないとしています。

そのため、日本語版の楽天トラベルで国内ホテルだけを予約した人まで、一律に今回の不正アクセス対象と考える必要はありません。

もっとも、発表された情報だけで、すべての利用者について個別に対象外と断定できるわけではありません。国内宿泊予約以外にも多言語サイトや対象となる海外予約ページを利用した経験がある場合は、別途確認が必要です。

不正アクセスの対象となった情報は？約260万件・86万件の内訳

今回公表された数字には、ログインした利用者の情報、予約した利用者の情報、宿泊施設従業員の情報が混在しています。

それぞれ対象となった情報項目が異なるため、最大件数だけを見て判断することはできません。

ここで重要なのは、約3万6,000件の支払情報は、約4万件の予約情報に含まれるという点です。

つまり、予約者情報4万件と支払情報3万6,000件を足して、7万6,000件の予約者が対象になったと説明するのは誤りです。

また、海外ホテル予約ページにログインした利用者と、実際にホテルを予約した利用者が重複している可能性もあります。

「約350万件」は350万人の情報流出が確定したという意味ではない

今回のニュースでは、対象情報が合計最大約350万件に上るという規模が注目されています。

海外ホテル予約ページのログイン情報約260万件、予約者情報約4万件、多言語予約サイトの利用者情報約86万件、宿泊施設従業員情報約4万件を単純に足すと、最大約354万件となります。

ただし、これは発表された各区分の最大件数を合計した数字です。重複を除いた実際の人数ではありません。

さらに楽天の公式発表は、これらを「不正アクセスの対象となった情報」と表現しています。最大対象件数のすべてについて、外部への持ち出しや悪用が確定したと発表しているわけではありません。

不正アクセスが確認されたことと、情報が実際に外部へ流出したことは区別する必要があります。この違いについては、つぶログの不正アクセスと情報流出の違いを整理した記事でも詳しく解説しています。

クレジットカード情報は流出した？番号・セキュリティコードの扱い

今回の発表で特に気になるのが、最大約3万6,000件の支払情報です。

楽天によると、対象となった支払情報には以下の項目が含まれています。

• クレジットカードの発行者識別番号
• カード番号の下4桁
• カード名義
• 有効期限
• 国際ブランド区分

発行者識別番号とは、カード番号の先頭部分に含まれ、カード発行会社などを識別するために使われる情報です。

一方、楽天は次の情報について、海外ホテル予約ページの今回の対象情報には含まれないと明記しています。

• クレジットカード番号の全桁
• カードのセキュリティコード
• パスワード
• パスポートなどの身分証明書情報
• 住所

つまり「カード情報の一部が不正アクセスの対象となった」のは事実ですが、「カード番号とセキュリティコードが丸ごと流出した」という発表ではありません。

楽天は、今回対象となった支払情報のみでは、買い物や旅行予約の決済、キャッシングなどの不正利用はできないと説明しています。

カードの停止や再発行は必要？

今回の発表だけを理由に、楽天トラベルの全利用者がクレジットカードを停止・再発行しなければならないわけではありません。

ただし、対象となった可能性がある人は、念のためカードの利用明細を確認しておくと安心です。

カードの利用停止や再発行を行うべきかは、今回対象となった情報の内容、カード会社からの案内、不審な利用の有無によって判断してください。心配な場合はカード会社の正規窓口に相談できます。

身に覚えのない請求があった場合は、請求内容を確認したうえで速やかにカード会社へ連絡する必要があります。

なお、今回対象となったと発表された情報だけでは不正決済ができないという説明は、偽サイトなどで別途カード番号の全桁を入力してしまったケースまで安全だと保証するものではありません。

パスワードも変更した方がいい？

海外ホテル予約ページについて、楽天は今回の対象情報にパスワードが含まれないと明記しています。

多言語予約サイトについても、公表された対象情報の一覧にパスワードは挙げられていません。ただし、海外ホテル予約ページと同じ詳細な除外情報が示されているわけではないため、両者を完全に同一条件として説明することはできません。

現時点では、今回の不正アクセスによって楽天IDのパスワードが流出したと断定する根拠はありません。

一方、不審なログイン履歴がある、偽のログイン画面にパスワードを入力した、ほかのサービスと同じパスワードを使い回しているといった場合は、今回の発表とは別にセキュリティ対策を見直す必要があります。

海外ホテルはどの国・地域が対象？韓国・台湾・ハワイは？

楽天は、Rakuten Travel Xchangeが管理・運営する海外ホテル予約ページについて、対象エリアと一部の除外エリアを公表しています。

対象となるのは、ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国・地域です。

ただし、すべての国・地域が対象というわけではありません。

ここで注意したいのは、この地域の除外条件が適用されるのは、海外ホテル予約ページに関する事象①だということです。

例えば、韓国や台湾が事象①の対象エリアから除外されているからといって、それらの地域に関係する多言語予約サイトの利用者まで一律に対象外と判断することはできません。

また、同じ国でもページや地域によって扱いが異なる可能性があります。タイやベトナムなどについて、国全体が対象外と発表されたわけではありません。

楽天の発表には、対象となったすべてのホテル名や予約ページを網羅した一覧は掲載されていません。

「以前ヨーロッパのホテルを予約したから必ず対象」「ハワイだから楽天トラベルのすべてのサービスで安全」といった判断は避け、実際に利用したページと個別通知を確認する必要があります。

自分が対象か確認する方法は？楽天からの通知と問い合わせ先

楽天は、今回の不正アクセスの対象となる利用者・予約者へ、順次個別の連絡と注意喚起を行うと発表しています。

自分が対象かどうか気になる場合は、まず次の順番で確認すると分かりやすいでしょう。

1. 楽天トラベルの利用履歴を確認する

過去に海外ホテルを予約したことがあるか、多言語予約サイトへログインしたことがあるかを確認します。

予約履歴に海外ホテルが残っている場合でも、今回の対象ページを利用したかどうかまでは、それだけで判断できない可能性があります。

また、予約を伴わないログイン情報も今回の対象に含まれているため、予約履歴が見つからないことだけで完全に対象外とは判断できません。

2. 楽天からの個別通知を確認する

楽天から今回の不正アクセスに関する連絡が届いていないか、普段利用しているメールアドレスを確認してください。

ただし、楽天は個別通知を順次行うと説明しており、すべての対象者への通知が完了した日付までは公表していません。

現時点で通知が届いていないことは、対象外である証明にはなりません。

一方、今回の不正アクセスを装う偽メールが将来送られてくる可能性も考えられます。楽天を名乗るメールが届いた場合でも、その内容だけで本物だと判断しないことが重要です。

3. 必要に応じて専用窓口へ問い合わせる

楽天は、今回の2つの事象について問い合わせ先を分けて案内しています。

海外ホテル予約ページ（事象①）の専用問い合わせ先

travel-support@faq.rakuten.co.jp

多言語予約サイト（事象②）の問い合わせ先

多言語予約サイトについては、英語・韓国語・繁体字中国語などの言語別フォームが用意されています。

各フォームや宿泊施設関係者向けの窓口は、楽天トラベルの2026年10月26日付公式発表に掲載されています。

問い合わせ先の確認には、メール内のリンクではなく、公式サイトのお知らせを利用してください。

ホテルの予約はキャンセルされる？楽天トラベルは今も使える？

楽天は2026年10月26日の発表で、今回の不正アクセスに起因すると考えられる二次被害や、その他サービスへの影響は確認されていないと説明しています。

また、問題を検知したそれぞれのサイトについて、原因の特定とシステム改修を完了したことも公表しました。

少なくとも今回の公式発表では、不正アクセスを理由として、すべてのホテル予約を無効にする、予約の取り直しを求める、楽天トラベル全体を停止するといった案内は出ていません。

そのため、今回のニュースを見ただけで、自分から予約を取り消したり、同じホテルを予約し直したりする必要があるとは判断できません。

予約が正常に成立しているか心配な場合は、楽天トラベルの正規の予約確認画面を確認し、必要であれば公式窓口へ問い合わせてください。

特に海外ホテルを予約している人は、ホテルからの連絡に見えるメッセージにも注意が必要です。

今回の情報には、最大約4万件の予約者に関係する宿泊施設名や予約金額なども含まれています。そうした情報が第三者によって取得され悪用された場合、予約内容を知っているように見せかけた連絡に利用される懸念があります。

ただし、今回の事件でそのような二次被害が実際に発生したと確認されたわけではありません。楽天は発表時点で、本件に起因すると考えられる二次被害を確認していないとしています。

「カードを再入力してください」というメールやSMSには注意

今回の不正アクセスで注意しておきたいのは、情報そのものの悪用だけでなく、楽天トラベルや宿泊施設を装う不審な連絡です。

例えば、次のようなメッセージを受け取った場合は、送信元を慎重に確認する必要があります。

• 「不正アクセス対策のためカード情報を再登録してください」
• 「宿泊予約を維持するため、もう一度支払いが必要です」
• 「予約確認が完了していないため、指定されたリンクから手続きしてください」
• 「セキュリティ確認が終わるまでアカウントが利用できなくなります」

これらは不審な連絡の例であり、今回の事件で実際に確認されたメッセージの引用ではありません。

ただし、情報漏えいをきっかけにした詐欺では、利用者の不安を利用して偽サイトへ誘導し、カード番号やパスワードを入力させる手口が考えられます。

メールに実際の氏名やホテル名が書かれていても、それだけでは本物の連絡である証明にはなりません。

予約の確認や支払いに関する連絡を受けた場合は、そのメールやSMSのリンクからではなく、自分で正規の公式サイトを開いて確認してください。

また、ホテルの予約情報を利用した不審メッセージについては、2026年9月に別の予約管理システム「TEMAIRAZU」でも問題になりました。

こちらは今回の楽天トラベルの不正アクセスとは別件ですが、実際の予約内容が記載されたメッセージへの対処方法は参考になります。詳しくはホテル予約後に届く「カード再入力」メッセージとTEMAIRAZU不正アクセスの記事で解説しています。

不審なリンクを開いたり、カード情報を入力したりした場合は？

もし不審なリンクを開いた場合は、そこから何をしたかによって対応が変わります。

リンクを開いただけで、必ずカード番号やパスワードが盗まれたと決まるわけではありません。ただし、不審なファイルをダウンロードした、アプリをインストールした、情報を入力した場合は注意が必要です。

カード番号の全桁やセキュリティコードを偽サイトへ入力してしまった場合は、速やかにカード会社へ連絡し、利用停止や再発行の必要性を相談してください。

パスワードを入力した場合は、正規サイトから変更し、同じパスワードを使用している他のサービスについても見直す必要があります。

また、身に覚えのない請求や不審なログインがないか、関連する利用履歴を確認しておきましょう。

情報漏えいが疑われる場合の対処については、情報処理推進機構（IPA）が2026年10月26日に公開した利用者向けの対策案内も参考になります。

楽天トラベルの不正アクセスはいつ発生した？9月と10月の経緯

今回のニュースは10月26日に公表されましたが、2つの事象はいずれも、それ以前に不正アクセスの可能性や異常が検知されています。

まず、Rakuten Travel Xchangeが管理する海外ホテル予約ページでは、2026年9月10日に異常が検知されました。

一方、多言語予約サイトで不正アクセスの可能性が検知されたのは10月20日です。

これを見ると、最初の異常検知から公表までに1か月以上が経過していることが分かります。

楽天は、海外ホテル予約ページのシステム改修を9月16日に完了し、その後の社内調査で対象情報を確認したと説明しています。

ただし、実際に第三者がいつから不正アクセスを行っていたのか、何日間アクセス可能な状態だったのかについては、今回の発表だけでは確定できません。

9月10日という日付は異常を検知した日であり、不正アクセスがその日に始まったことを示すものではありません。

不正アクセスの原因や犯人は判明している？

楽天は2つの事象について原因を特定し、アクセス経路の遮断やシステム改修を実施したと発表しています。

しかし、具体的にどのシステムのどのような問題が悪用されたのか、どのような技術的手法で侵入されたのかについては、公表文に詳細な説明がありません。

攻撃者の身元や動機、2つの事象が同じ攻撃者によるものかどうかについても、確認できる情報はありません。

したがって、特定の脆弱性、攻撃グループ、内部関係者などが原因だと決めつけることはできません。

楽天は、国内の個人情報保護委員会と国外の関係当局にも今回の件を報告したとしています。

今後さらに対象者が増える？まだ分かっていないこと

楽天の公式発表では対象情報の種類や最大件数が示されていますが、すべての詳細が公表されたわけではありません。

2026年10月27日時点で、特に確認できていないのは次の情報です。

• 対象となったすべての海外ホテル予約ページや宿泊施設の一覧
• 利用者ごとに対象となる予約・ログインの正確な期間
• 実際に第三者が取得した情報の確定件数
• 重複を除いた対象者の正確な人数
• 2つの不正アクセス事象が技術的に関連しているかどうか
• 対象者への個別通知がすべて完了する時期
• 補償やカード再発行などについての一律の対応条件

特に、対象期間と対象ページの完全な範囲が公表されていない点は、利用者が自分で該当するか判断するうえでの難しさになっています。

今回示された数字は最大対象件数であり、今後の調査や情報整理によって実際の対象範囲が明確になる可能性はあります。ただし、件数が必ず増える、または減ると予測する根拠はありません。

また、発表時点で二次被害が確認されていないことは、今後も絶対に発生しないという保証ではありません。

楽天は再発防止に向けたセキュリティ対策の強化を進めるとしており、新しい案内が出た場合は公式のお知らせを確認することが重要です。

まとめ｜国内予約・カード情報・個別通知を分けて確認しよう

楽天トラベルが2026年10月26日に公表した不正アクセスは、海外ホテル予約サイトの一部ページと多言語予約サイトに関する2つの事象です。

海外ホテル予約ページでは最大約260万件のログイン利用者情報と、最大約4万件の予約者情報が対象となり、そのうち最大約3万6,000件にはカードの一部情報が含まれています。

ただし、カード番号の全桁やセキュリティコードは対象に含まれておらず、楽天は今回の対象情報のみでは不正決済やキャッシングはできないと説明しています。

また、国内ホテル予約サービス全体への不正アクセスが確認されたという発表ではありません。楽天トラベルを利用したことがあるというだけで、すべての会員が対象になるわけではない点も押さえておきたいところです。

現時点で最も大切なのは、自分が対象となる海外ホテル予約ページや多言語予約サイトを利用したかを確認し、楽天からの個別通知を注意して読むことです。

不審な支払い要求やカードの再登録を求めるメールが届いた場合は、メッセージ内のリンクから手続きをせず、正規の公式サイトや専用窓口で確認してください。

楽天は2つのサイトのシステム改修を完了しており、10月26日の発表時点では今回の事案に起因すると考えられる二次被害や、その他サービスへの影響は確認されていません。今後も個別通知や公式発表の更新を確認しながら、必要な対応を判断することが大切です。