概要

2026年9月10日、海外ホテル予約サイトのうちRakuten Travel Xchangeが管理・運営する一部のページで異常が検知された。9月15日に原因を特定し、9月16日にシステム改修を完了した。対象となった情報は次のとおり。予約顧客最大約4万件の氏名、メールアドレス、電話番号、居住国、社内用の識別番号、予約情報、同伴者の氏名・居住国。このうち最大約3万6千件には支払情報（カード発行者識別番号、下4桁、名義、有効期限、国際ブランド区分）が含まれる。さらに、ログインした顧客最大約260万件の氏名、メールアドレス、電話番号、社内用の識別番号も対象となった。10月20日には多言語予約サイトでも不正アクセスの可能性を検知し、同日中に原因を特定、翌21日に改修を完了した。こちらでは、ログイン顧客最大約86万件のメールアドレスと社内用の識別番号、管理画面に入力のあった宿泊施設従業員最大約4万件のアカウント名、メールアドレス、社内用の識別番号が対象となった。同社は10月26日に公表し、顧客への個別通知を行っている。

経緯

経緯情報は未登録です。

原因

社外の第三者による不正アクセス。同社は原因を特定してシステムを改修したと説明しているが、具体的な原因や手口は公表されていない。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

不明

サービス停止

不明

金銭的被害

不明

対象システム

楽天トラベル 海外ホテル予約サイト（Rakuten Travel Xchange管理の一部ページ）、楽天トラベル 多言語予約サイト、多言語予約サイト管理画面

漏洩した情報

• 確認済み氏名
• 確認済みメールアドレス
• 確認済み電話番号
• 確認済み居住国
• 確認済み社内用の識別番号
• 確認済み予約情報（施設名、予約金額等）
• 確認済み同伴者の氏名・居住国
• 確認済みクレジットカードの発行者識別番号・下4桁・名義・有効期限・国際ブランド区分（最大約3万6千件）
• 確認済み宿泊施設従業員のアカウント名・メールアドレス（最大約4万件）

内訳は、海外ホテル予約顧客最大約4万件（うち支払情報を含むもの最大約3万6千件）、海外ホテル予約ページのログイン顧客最大約260万件、多言語予約サイトのログイン顧客最大約86万件、宿泊施設従業員最大約4万件。

対応

原因を特定してシステムを改修し、対象となった顧客に個別通知を行った。今後もセキュリティ対策の強化など再発防止に取り組むとしている。

• 2026-09-16 海外ホテル予約ページのシステム改修を完了
• 2026-10-21 多言語予約サイトのシステム改修を完了
• 顧客への個別通知
• セキュリティ対策の強化

教訓・対策

• 子会社が管理・運営するページも含め、グループ全体でセキュリティ監視と脆弱性対策を行う必要がある
• 1つのサイトで被害が見つかった時点で、関連サイトも横断的に点検すべきである

参考資料

1. 「楽天トラベル」海外ホテル予約サイトの一部ページと多言語予約サイトに不正アクセス
   ScanNetSecurity公開日: 2026-11-02報道二次情報取得日: 2026-11-02

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

楽天グループ株式会社

関連するインシデント

関連付けられたインシデントはありません。