楽天トラベルに不正アクセス、最大約260万件。カードの情報も3.6万件…あなたは対象？ 公式発表を数えて整理【2026年】

楽天グループは2026年10月26日、旅行予約サービス「楽天トラベル」の一部のサイトに、社外の第三者による不正アクセスがあったと発表しました。

「自分の情報は入っている？」「カードは大丈夫？」。そう思った人のために、楽天の公式のお知らせを1行ずつ読み、何が・何件・対象になったのかを数えて整理しました。

先に結論を書きます。

• 対象は4つのグループ。いちばん大きいのは、海外ホテル予約の一部のページで「ログインした人」の最大約260万件（氏名・メールアドレス・電話番号・社内用の識別番号）
• カードの支払情報は最大約3.6万件。ただし、カード番号の全桁とセキュリティコードは含まれない（含まれるのは発行者識別番号と下4桁・名義・有効期限・国際ブランド区分）
• お知らせに挙がっているのは、海外ホテル予約ページの一部と、多言語予約サイトの2つ。 国内の宿の予約については書かれておらず、楽天は「当該サイト以外では同様の事象は確認されておりません」としています
• 最初の検知（9月10日）から公表（10月26日）まで、46日
• 楽天トラベルを使ったことがある人が今日やることを6つにまとめました（9章）

件数はどれも「最大約」です。グループどうしで重なる人がいるかは書かれていないので、この記事では件数を足していません。

1. 楽天の発表：海外ホテル予約の一部と、多言語予約サイト

対象になったのは、海外ホテル予約サイトのうち、楽天グループの子会社 Rakuten Travel Xchange が管理・運営する一部のページと、楽天が管理・運営する多言語予約サイトです。

楽天は、セキュリティの専門チームによるモニタリングの結果、このサイト以外では同様の事象は確認されていないこと、本件に起因すると考えられる二次被害や、その他のサービスへの影響も、現時点では確認されていないことを書いています。

2. 見つかってから、発表まで（46日）

お知らせには、2つの出来事（事象①・事象②）が書かれています。日付を並べると、次のとおりです。

最初の検知から公表までは46日、システムを直してから公表までは40日でした。事象②は、検知から6日で公表しています。この間にどんな調査をしていたのかは、お知らせには書かれていません。

3. 実際に数えた：対象は4つのグループ

お知らせの「対象となる情報」の行を1つずつ取り出すと、グループは4つでした。

4. 最大約260万件は「ログインした人」

いちばん大きい最大約260万件は、海外ホテル予約ページのうち、子会社が運営する一部のページでログインした人の情報です。予約まではしていなくても、ログインしただけで対象になり得る、ということです。

このグループの項目は、氏名・メールアドレス・電話番号・社内用の識別番号の4つです。

5. 予約した人は最大約4万件。カードの支払情報は3.6万件

同じページから予約した最大約4万件の人は、氏名やメールアドレス、電話番号に加えて、居住国、施設名や予約金額などの予約情報、同伴者の氏名と居住国まで対象になりました。このうち最大約3.6万件に、支払情報が含まれていました。

カード番号の全桁は、含まれない

支払情報に含まれるもの・含まれないものを、お知らせの「※」の文から分けると、次のとおりです。

楽天は、「今回対象となる支払情報のみでは、決済（お買い物・旅行予約）やキャッシングなどの不正利用は出来ません」と書いています。

一方で、氏名・メールアドレス・電話番号は対象になっています。警察庁は、情報の流出が続く中で、流出元の企業をかたる偽のメールに注意するよう呼びかけています（9章）。

6. あなたは対象？ 国内の宿の予約は？

海外ホテル予約ページの対象のエリア

事象①（海外ホテル予約ページ）の対象のエリアは、「ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部対象国・地域」です。

• 除く：韓国・台湾・香港・シンガポール・マカオ
• 一部の地域を除く：タイ・ベトナム・フィリピン・インドネシア・米国（ハワイ、グアム、ロサンゼルス他）

ヨーロッパや北米などのホテルを、楽天トラベルの海外ホテル予約のページで探したり予約したりしたことがある人は、自分が対象かもしれないと考えて、楽天からの連絡と、公式サイトのお知らせを確かめてください。

多言語予約サイト（最大約86万件・従業員 最大約4万件）

事象②の多言語予約サイトでは、ログインした最大約86万件の人のメールアドレスと社内用の識別番号、管理画面を使う宿泊施設の従業員 最大約4万件のアカウント名・メールアドレス・社内用の識別番号が対象になりました。お問い合わせ先は、英語・韓国語・繁体字の中国語（香港・台湾）で案内されています。

国内の宿の予約は？

お知らせに挙がっているのは、海外ホテル予約ページの一部と、多言語予約サイトの2つです。国内の宿の予約については、お知らせには書かれていません。 楽天は、当該サイト以外では同様の事象は確認されていないとしています。

対象の人には、楽天から順次、個別の連絡と注意喚起を行うとしています。

7. 楽天がしたこと（4つ）

1. アクセス経路の遮断
2. システムの改修
3. お知らせのサイト掲載と、お客様への個別通知
4. 個人情報保護委員会と、国外の各関係当局への報告

8. 10月は、会員の情報の件が相次いだ

2026年10月は、ほかにも会員の情報の件が続いています。

リンツの件は、お店そのものではなく、ネットショップの仕組みを預けていた委託先の会社のサーバーへの不正アクセスでした。自分が使っているサービスかどうかは、ニュースが出るたびに、その会社の公式のお知らせで確かめるのが確実です。10月の件をまとめた記事は「2026年10月の情報漏えいまとめ」です。

9. 楽天トラベルを使った人が、今日やること

個人に向けた注意は、警察庁の「サイバー警察局便り」が分かりやすくまとめています。

楽天のお知らせと、警察庁の便りをもとに、今日やることを6つにまとめました。

1. 楽天からの案内は、公式サイトのお知らせで確かめる（メールのリンクからではなく、ブラウザのブックマークや公式アプリから開く）
2. 届いたメールのリンクからは、ログインしない
3. 楽天やほかのサービスで、同じパスワードを使い回さない
4. 2段階認証（多要素認証）をオンにする
5. 念のため、カードの明細もときどき見る
6. 困ったら、警察の相談専用電話「#9110」に相談する

10. 会員の情報を預かるサイトを運営している人へ

今回は、子会社が運営する一部のページと、多言語予約サイトという、ログインして使うページで起きました。

10月に国の機関など9つが出した注意喚起を私たちが数えたところ、「委託先や使っている外部サービスも見る」と書いていたのは5機関、「要らないデータを持たない」は4機関でした（9機関の注意喚起を全部読んで数えた記事）。自分のサイトでも、ログインして使うページと、預かっている会員のデータを、一度見直してみてください。

WordPress のサイトなら、まず外から確かめられます。

よくある質問

まとめ

• 楽天トラベルの海外ホテル予約ページの一部と多言語予約サイトに、不正アクセスがあった（2026年10月26日発表）
• 対象は4つのグループ。いちばん大きいのは、ログインした人の最大約260万件
• カードの支払情報は最大約3.6万件。番号の全桁とセキュリティコードは含まれない
• 国内の宿の予約は、お知らせに挙がっていない
• メールのリンクから入らない・パスワードを使い回さない・2段階認証を、今日やっておく

出典（2026年10月27日に確認）

グループの数・件数・項目・日数は、楽天トラベルのお知らせの本文から私たちが取り出して数えたものです（取り出し方は コンテンツ/rakuten-travel-2026/shots/measure.py）。

• 楽天トラベル「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」（2026年10月26日） https://travel.rakuten.co.jp/info/announce/20261026.html
• 警察庁「サイバー警察局便り 2026 Vol.19 情報流出に注意！」（2026年10月23日更新） https://www.npa.go.jp/bureau/cyber/pdf/R8_Vol.19cpal.pdf
• ソースネクスト「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」（2026年10月15日） https://www.sourcenext.com/support/i/2026/1015_info/
• リンツ＆シュプルングリージャパン「委託先事業者への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年10月23日） https://www.lindt.jp/contents/chocolat-cafe/notice_20261023/
• 国家サイバー統括室ほか9機関の注意喚起を Sorabun が数えた結果（2026年10月） https://sorabun.com/column/hacking-measures-2026/

関連するコラム

セキュリティ2026年10月25日 10月の情報漏えいまとめ。あなたは対象？ 11社の公式発表で、漏れた中身と今日やることを整理【2026年】 10月に公表された主な情報漏えい11社（佐川急便・ソースネクスト・skyticket・焼肉きんぐなど）。各社の公式発表で、対象になる人の条件と漏れた情報の種類を数えました。メールアドレスは11社中10社、パスワードは3社。今日やることまで。 セキュリティ2026年10月26日 サイトのハッキング対策、国の機関など9つの注意喚起を全部読んで数えた。8機関が挙げたのは「更新」【2026年】 相次ぐハッキングを受けて2026年10月に出た、国の機関など9つの注意喚起を全部読み、対策を10種類に分けて数えました。8機関が書いていたのは「更新」。PHPとUpdraftPlusの例と、WordPressで今日やること6つまで。 セキュリティ2026年10月18日 【2026年】相次ぐ個人情報漏えい、何が起きている？ 原因の「事実」と今日やる対策 2026年9月から相次ぐ個人情報の漏えい（タイムズカー・ローソン・ソースネクストほか）。何が起きているのかを各社の発表と国の機関の資料で整理し、確認された手口、「AIのせい」は本当か、漏れたら個人が今日やること（免許証の本人申告）、サイトを持つ人の対策までまとめました。

コラムの一覧へ