楽天トラベルに不正アクセス 海外予約サイト等で最大約350万件の個人情報が対象に

　不正アクセスを受けたのは、楽天グループのシンガポール子会社であるRakuten Travel Xchangeが管理運営する海外ホテル予約サイトの一部ページと、楽天グループ本体が運営する多言語予約サイトである。 海外ホテル予約サイトでは2026年9月10日に異常を検知し、9月15日に原因を特定、翌16日にシステム改修を完了した。同サイトで対象となったのは、ページにログインした最大約260万件の利用者の氏名、メールアドレス、電話番号、社内用識別番号である。

　同ページ経由で宿泊予約を行った最大約4万件の顧客情報も対象となり、これには氏名や連絡先に加え、居住国、宿泊施設名、予約金額、同行者の氏名と居住国が含まれる。さらに予約者のうち最大約3万6000件については、クレジットカードの発行者識別番号、カード番号の下4桁、カード名義人氏名、有効期限、国際ブランド区分といった支払情報も対象に含まれていた。クレジットカード番号の全桁やセキュリティコード、パスワード、身分証明書情報、住所は対象外となっている。

　多言語予約サイトにおいては10月20日に不正アクセスの可能性を検知し、同日中に原因を特定して翌21日にシステム改修を終えている。対象となったのは、サイトにログインした最大約86万件の利用者のメールアドレスと社内用識別番号である。あわせて、多言語予約サイトの管理画面で入力された最大約4万件の宿泊施設従業員のアカウント名、メールアドレス、社内用識別番号も対象となった。 楽天グループはアクセス経路の遮断とシステム改修を実施しており、対象となる利用者や予約者に対して順次個別に連絡を行い注意喚起を進めている。

　同社のセキュリティ専門チームによる監視が行われているが、対象となった2つのサイト以外で同様の事象は確認されていない。漏洩したとされる情報のみでは不正決済は行えないと説明しており、本件に起因する二次被害や他サービスへの影響は現時点において確認されていない。日本の個人情報保護委員会および国外の関係当局への報告も完了している。