楽天トラベルで不正アクセス、個人情報最大約260万件が対象　支払情報も最大3万6千件

　楽天グループは10月26日、旅行予約サービス「楽天トラベル」の海外ホテル予約サイトのうち、子会社のRakuten Travel Xchangeが管理・運営する一部のページと、同社が管理・運営する多言語予約サイトに対し、社外の第三者による不正アクセスがあったと発表した。

　同社は被害を「事象①」「事象②」の2件に分けて説明している。事象①は、海外ホテル予約サイトの一部ページで起きた。2026年9月10日に異常を検知し、9月15日に原因を特定、9月16日にシステム改修を完了したという。その後の社内調査で、情報が不正アクセスの対象になったことを確認した。

　対象は、これらのページから予約した最大約4万件の客の氏名、メールアドレス、電話番号、居住国、社内用の識別番号、予約情報（施設名、予約金額など）と、同伴者の氏名、居住国。このうち最大約3万6千件には支払情報も含まれる。支払情報は、クレジットカードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分。カード番号の全桁、セキュリティコード、パスワード、パスポートなどの身分証明書情報、住所は含まれないという。

　同じページでログインされた最大約260万件の客の氏名、メールアドレス、電話番号、社内用の識別番号も対象になった。対象エリアは欧州、米国・カナダ、アジア・オセアニアの一部で、韓国、台湾、香港などは除かれる。

　事象②は、多言語予約サイトで起きた。10月20日に不正アクセスの可能性を検知し、同日に原因を特定、翌21日に改修を完了した。対象は、ログインされた最大約86万件の客のメールアドレスと社内用の識別番号、管理画面に入力された最大約4万件の宿泊施設従業員のアカウント名、メールアドレス、社内用の識別番号という。

　同社は、アクセス経路の遮断とシステムの改修を実施した。対象となる客には順次、個別に連絡して注意喚起を行う。今回対象になった情報だけでは、決済やキャッシングなどの不正利用はできないとしている。二次被害や他のサービスへの影響は、現時点で確認されていないという。

　本件は、個人情報保護委員会と国外の関係当局に報告した。同社は、セキュリティ対策の強化など再発防止に取り組むとしている。