楽天トラベル不正アクセス、カードは危ない？260万件と86万件の中身

第1章

何が起きたの？

答え：楽天トラベルでは、9月と10月に別々の不正アクセスが見つかりました。どちらもシステムはもう直してあり、楽天は対象の人に順番に連絡するとしています。

「不正アクセス」とは、入ってはいけない人が、システムにこっそり入りこむことです。楽天グループの発表によると、今回は次の2つでした。

楽天は、セキュリティの専門チームが見張った結果、この2つのサイト以外では同じことは確認されていないとしています。また、この件が原因と考えられる二次被害（漏れた情報を使った悪用）も、発表の時点では確認されていないとしています。

いつ入られて、いつログインした人が対象か

楽天トラベルから届いた個別の通知メール（当社あて、10月26日17時34分）には、公式サイトのお知らせにない日付が書かれていました。

公式サイトのお知らせでは、ログインした人（最大約260万件）の項目に電話番号も入っています（公式発表）。通知メールには、届いた人ごとに対象の項目が書かれていると考えられるので（当社の見方）、自分あてのメールの一覧を見て確かめます。

つまり、約5年のあいだに一度でもこのページにログインした人が対象になりえます。何年も前に海外ホテルを予約しただけの人でも、メールが届くことがあります（当社の見方）。

海外ホテルの件は、行き先によって対象が分かれる

事件①の対象は、ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国・地域のホテルです（公式発表）。韓国、台湾、香港、シンガポール、マカオは対象から外れています。タイ、ベトナム、フィリピン、インドネシア、米国（ハワイ、グアム、ロサンゼルス他）は、一部の地域が外れています。

楽天トラベルで国内の宿だけを予約している人は、今回の発表に出てくるサイトとは別のサイトを使っています（当社の見方）。それでも心配なときは、楽天からの個別の連絡があるかどうかで確かめます。

第2章

何が漏れて、何が漏れていないの？

答え：名前・メールアドレス・電話番号などは漏れた可能性があります。カード番号の全部、セキュリティコード、パスワード、パスポート、住所は含まれていません。

出典：楽天トラベル「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」（2026年10月26日）。事件②は、ログインした人のメールアドレスと社内用の番号、宿の従業員のアカウント名・メールアドレス・社内用の番号です。

「カード下4桁」で何ができて、何ができないか

ネットで買い物をするには、ふつうカード番号の全部と、裏のセキュリティコードが要ります。今回はその2つが含まれていません。楽天も、対象の支払情報だけでは、買い物・旅行の予約・キャッシングなどの不正利用はできないとしています。

気をつけたいのは、別の使われ方です。下4桁や有効期限は、本物の会社からの連絡っぽく見せる材料になります（当社の見方）。たとえば「カード末尾1234のお客様へ」とメールに書かれていると、本物だと思ってしまいがちです。下4桁が合っていても、本物の証明にはなりません。

第3章

今やることは？

答え：①連絡はリンクではなく公式アプリで確かめる ②カードの明細を一度見る ③パスワードの使い回しをやめる。この3つです。

1. 楽天からの連絡は、公式アプリやブックマークから確かめる
   楽天は、対象の人に順番に個別の連絡と注意のよびかけをするとしています。「お詫び」「補償」「確認してください」というメールやSMSが来ても、中のリンクは押さず、自分で開いた楽天トラベルのアプリやブックマークで同じお知らせがあるかを見ます。警察庁も、メールやSMSのリンクは見た目で本物かどうか見分けにくいとして、ブックマークや公式アプリから開くよう呼びかけています（公式発表）。当社に届いた楽天トラベルの通知メールには、ログインやカード番号の入力を求める案内はなく、楽天グループを装った不審な電話・メール・SMSに注意するよう書かれていました。
2. カードの明細を一度見ておく
   今回の情報だけでは買い物できないとされていますが、念のため、利用明細に覚えのない利用がないかを見ておくと安心です（当社の見方）。あやしい利用があれば、カードの裏に書いてあるカード会社の番号に電話します。
3. 同じパスワードを、ほかで使っていないか見直す
   今回、パスワードは対象に含まれていません（公式発表）。それでも、楽天IDと同じパスワードをほかのサービスでも使っているなら、別々のものに変えておくと安心です。IPAは、サービスごとに違うパスワードを使うようすすめています。

楽天トラベルの専用の問い合わせ先は、事件①がメール（travel-support@faq.rakuten.co.jp）、事件②が多言語サイトの問い合わせフォームです（公式発表）。この連絡先も、楽天トラベルのお知らせのページを自分で開いて確かめてから使います。

第4章

楽天会員1億件の話と同じなの？

答え：10月初めに報じられた「楽天会員1億100万件」は投稿者の主張で、漏えいは確認されていませんでした。今回の楽天トラベルの件は、楽天が自分で発表した不正アクセスです。

10月4日ごろ、楽天の会員情報だとする約1億100万件のデータを売るという投稿が見つかったと報じられました。このとき楽天グループは、取材に対して漏えいの事実は確認されていないと答えていました（報道）。

今回の楽天トラベルの件は、楽天グループが公式サイトで発表した、別の不正アクセスです。発表の中で、1億件の投稿との関係には触れていません。2つを同じ事件として扱わないのが当社の見方です。

よくある質問