楽天グループ株式会社（楽天トラベル）のサイバー攻撃被害｜海外ホテル予約サイトの一部ページと多言語予約サイトに不正アクセス、最大約260万件の氏名・メールアドレスなどと最大約3万6千件の支払情報が対象

AI要約・精査

要約

精査

AI要約

AI精査

ChatGPTによるAI精査

GeminiによるAI精査

速報サイバー攻撃の被害事例最終更新 2026年10月27日

楽天グループ株式会社（楽天トラベル）海外ホテル予約サイトの一部ページと多言語予約サイトに不正アクセス、ログインした最大約260万件の氏名・メールアドレスなどと、最大約3万6千件の支払情報が対象

不正アクセス

状況対応中（両サイトのシステム改修は完了、対象者へ順次個別に連絡）

被害発生日2026年9月10日

企業名楽天グループ株式会社

この事例の要点

楽天グループは、「楽天トラベル」の海外ホテル予約サイトの一部ページと多言語予約サイトが社外の第三者による不正アクセスを受けたと発表しました。海外ホテル予約ページでは、ログインした最大約260万件のお客様の氏名やメールアドレス、電話番号などが対象となり、予約した最大約4万件のうち最大約3万6千件はクレジットカードの発行者識別番号と下4桁、名義、有効期限などの支払情報も含まれます。カード番号の全桁やセキュリティコード、パスワードは含まれておらず、同社は対象の情報だけでは決済やキャッシングなどの不正利用はできないとしています。

分かっていること・まだ公表されていないこと

分かっていること

事象①（海外ホテル予約サイトの一部ページ）：ログインした最大約260万件のお客様の氏名、メールアドレス、電話番号、社内用の識別番号
事象①：予約した最大約4万件のお客様の氏名、メールアドレス、電話番号、居住国、社内用の識別番号、予約情報（施設名、予約金額等）、同伴者の氏名と居住国。そのうち最大約3万6千件は支払情報も対象
支払情報は、クレジットカードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分。カード番号の全桁、セキュリティコード、パスワード、パスポート等の身分証明書情報、住所は含まれていない
事象①の対象エリアは、ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部対象国・地域。韓国、台湾、香港、シンガポール、マカオなどは除く
事象②（多言語予約サイト）：ログインした最大約86万件のお客様のメールアドレスと社内用の識別番号、管理画面で入力された最大約4万件の宿泊施設従業員のアカウント名、メールアドレス、社内用の識別番号
対象となった情報のみでは、決済（お買い物・旅行予約）やキャッシングなどの不正利用はできない
セキュリティ専門チームのモニタリングでは、当該サイト以外で同様の事象は確認されていない。本件に起因すると考えられる二次被害や、その他サービスへの影響も現時点では確認されていない
対応として、アクセス経路の遮断、システムの改修、お知らせの掲載とお客様への個別通知、個人情報保護委員会と国外の各関係当局への報告を実施

まだ公表されていないこと

不正アクセスの手口と、特定したという原因の具体的な内容
事象①と事象②の関連の有無
対象者への個別連絡を終える時期
再発防止策（セキュリティ対策の強化など）の具体的な中身

事例の概要

企業名	楽天グループ株式会社
被害発生日	2026年9月10日
被害の内容	旅行予約サービス「楽天トラベル」の海外ホテル予約サイトのうち、楽天グループの子会社Rakuten Travel Xchangeが管理・運営する一部のページと、楽天グループが管理・運営する多言語予約サイトが、社外の第三者による不正アクセスを受けた。海外ホテル予約ページでログインした最大約260万件のお客様の氏名・メールアドレス・電話番号・社内用の識別番号、予約した最大約4万件のお客様の予約情報など（うち最大約3万6千件は支払情報を含む）、多言語予約サイトにログインした最大約86万件のお客様のメールアドレスと社内用の識別番号などが対象
出典	楽天グループ株式会社「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ【楽天トラベル】」（2026年10月26日）

対策に向けたガーディアンの見解

1グループ会社が運営するページも、同じ基準で点検と監視を行う

事象①の対象は、楽天トラベルの海外ホテル予約サイトのうち、子会社のRakuten Travel Xchangeが管理・運営する一部のページでした。利用者から見れば一つのサービスでも、裏側では運営する会社やシステムが分かれていることは珍しくありません。グループ会社や提携先が受け持つページを含めて、脆弱性診断とログ監視の対象・頻度をそろえ、異常を見つけたときの連絡の流れを決めておくと、どのページで起きてもグループ全体で同じ手順で動けます。

2カード情報は、一部の桁であっても持つ範囲を見直す

今回の支払情報には、カード番号の全桁やセキュリティコードは含まれず、同社は決済などの不正利用はできないとしています。それでも、発行者識別番号と下4桁、名義、有効期限が氏名やメールアドレスと結びつくと、本物らしく見せた連絡の材料になりかねません。予約や会員の画面で表示するカード情報の桁数と保存する項目を、業務に本当に必要な範囲に絞っておくことが、利用者を守る近道です。

3対象の範囲を、利用者が自分で判断できる形で示す

楽天グループは、対象となったエリアと除かれる国・地域、含まれる情報と含まれない情報を分けて記しました。利用者は、自分が対象かどうかと、何に気をつければよいかを公表文から読み取れます。公表文を書く側に立ったときは、対象の条件と含まれない情報を具体的に並べ、自社が電話やメールで尋ねない情報も添えておくと、なりすましへの備えにもつながるでしょう。

企業がするべきセキュリティ対策については

サプライチェーン攻撃の起点は中小企業にある

ランサムウェアのカラクリと、ホームページ・メール・ブラウザ「3つの接点」の対策をまとめて解説しています。

対策の解説を読む

お勤め先のホームページは大丈夫ですか？守りの基本を無料で確かめられます

セキュリティ対策を相談する

大企業の情報システム・調達のご担当者取引先のセキュリティを診断で確かめる中小企業の経営者・ご担当者自社のホームページの守りを無料で確かめる

SOLUTION

GUARDIANの
サイバーセキュリティ
対策サービス

SCAN DOG ライト版

まずは大企業が保有する取引先（中小企業）数千社規模をライト版で一斉に簡易診断し、現状把握しましょう！経済産業省も推進する『サプライチェーン強化に向けたセキュリティ対策評価制度』にも対応した、自己評価・第三者評価をクリアにし、次なる対策「SCSC Dog」で課題を解決していきましょう。

SCSC Dog

診断によって現状把握を終えた取引先（中小企業）には、評価という結果＝課題だけが残ります。その解決策として、同時にご提供するのがSCSC Dogとなります。セキュリティ対策に特化した弊社WEBプラットフォーム上に、取引先（中小企業）ホームページをお預かりしサプライチェーン網をこれまで以上に強固なものへ引き上げます。

SCAN DOG 正規版

WEBプラットフォームとして安全を確保して終わりではありません。SCSC Dogご利用のお客様ホームページには、世界水準で最新鋭の攻撃パターンを網羅した第三者機関による診断サービス「SCAN DOG 正規版」を定期的に受け続けることができ、一時的な対策だけではなく恒久的に保全し続ける環境をご提供します。

最新の動き