楽天トラベル不正アクセス｜海外ホテルを予約した家族が確認すること【2026年10月発表】

楽天グループは2026年10月26日、「楽天トラベル」の海外ホテル予約サイトの一部ページと、多言語予約サイトに第三者からの不正アクセスがあったと発表しました。

ニュースでは「最大約260万件」「クレジットカード情報も」といった数字が並び、海外のホテルを楽天トラベルで予約したことがある方はドキッとしたと思います。

この記事では、楽天トラベルの公式のお知らせをもとに、何が対象になったのか、何が対象ではないのか、そして家族旅行で予約した人がいま確認しておきたいことを整理します。情報は2026年11月6日時点のものです。

何が起きたのか（公式発表の要点）

公式のお知らせでは、性質の違う2つの事象が説明されています。

	事象1：海外ホテル予約サイトの一部ページ	事象2：多言語予約サイト
管理・運営	楽天グループの子会社 Rakuten Travel Xchange	楽天グループ
異常・可能性の検知	2026年9月10日	2026年10月20日
システム改修の完了	2026年9月16日	2026年10月21日

日本の利用者に関係が深いのは、事象1の海外ホテル予約サイトです。事象2の多言語予約サイトは外国語のサイトで、お知らせでも利用者向けの問い合わせ先は英語・韓国語・中国語（繁体字）の窓口が案内されています。

出典: 海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ（楽天トラベル）

対象になった情報

海外ホテル予約サイト（事象1）

• 予約者（最大約4万件）: 氏名、メールアドレス、電話番号、居住国、社内用の識別番号、予約情報（施設名、予約金額など）
• 上の予約の同伴者: 氏名、居住国
• 上の約4万件のうち支払情報（最大約3万6千件）: クレジットカードの発行者識別番号（カード番号の先頭の数桁で、カード会社を見分ける番号）と下4桁、名義、有効期限、国際ブランド区分
• ログインした利用者（最大約260万件）: 氏名、メールアドレス、電話番号、社内用の識別番号

件数はどれも「件」で数えられており、人数とは限りません。また、いつからいつまでの予約・ログインが対象なのか、日本語の楽天トラベルで予約した海外ホテルがどこまで「一部ページ」に当たるのかは、お知らせには書かれていません。楽天会員の全員が対象という書き方でもありません。

家族旅行で気になるのは、同伴者の氏名も対象に含まれている点です。子どもの名前を入れて予約していれば、その名前も含まれている可能性があります。

多言語予約サイト（事象2）

• ログインした利用者（最大約86万件）: メールアドレス、社内用の識別番号
• 宿泊施設の従業員（最大約4万件）: アカウント名、メールアドレス、社内用の識別番号

報道で見かける「約350万件」は、こうした件数を足し合わせた数字のようです（約4万＋約260万＋約86万＋約4万で約354万件）。公式のお知らせでは、上のように対象ごとに分けて書かれています。

対象に含まれていないと書かれている情報

公式のお知らせには、海外ホテル予約サイトの件について、次の情報は含まれていないと書かれています。

• クレジットカードの番号全桁
• セキュリティコード
• パスワード
• パスポートなどの身分証明書の情報
• 住所

また、「今回の不正アクセスの対象となった情報のみでは、決済（お買い物・旅行予約）やキャッシングなどの不正利用は出来ません」とも説明されています。発表時点で、この件が原因と考えられる二次被害は確認されていないそうです。

自分が対象かどうか確かめるには

公式のお知らせでは、対象の利用者・予約者には楽天から順次、個別に連絡すると案内されています。一方で、自分で対象かどうかを調べる方法は書かれていません。

海外ホテル予約サイトの件について、お知らせには対象の国・地域として「ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部対象国・地域」と書かれています。そのうえで、対象から除くものが次のように挙がっています。

• 国・地域ごと除く: 韓国、台湾、香港、シンガポール、マカオ
• 一部の地域だけ除く: タイ、ベトナム、フィリピン、インドネシア、米国（ハワイ、グアム、ロサンゼルスほか）

アメリカは対象側に入っていて、除かれるのはハワイなどの一部地域です。タイやインドネシアも、どの地域が除かれるのかまでは書かれていません。また、この国・地域がホテルの所在地を指すのか、約260万件のログインした利用者にも当てはまるのかも、お知らせからは読み取れません。この一覧だけで自分の予約が対象外とは言い切れないので、最終的には、楽天からの個別の連絡で確認してください。

問い合わせ先は、海外ホテル予約サイトの件が専用のメールアドレス（travel-support@faq.rakuten.co.jp）です。電話の窓口や受付時間は、お知らせには書かれていません。

家族で予約した人が、いま確認しておきたいこと

カード番号の全桁やパスワードは含まれていないとされています。それでも、氏名・メールアドレス・電話番号・予約したホテル名がそろうと、本物らしく見える偽のメールや電話が作りやすくなります。わが家なら、次の3つを確認します。

1. 楽天を名乗るメールやSMSのリンクから開かない

「予約の確認」「返金の手続き」などをうたうメールやSMSが届いても、本文のリンクは押さないのが安心です。予約の確認は、いつも使っている楽天トラベルのアプリや、自分でブックマークしたページから開きます。

楽天グループは、なりすましメールへの対策と見分け方を公式ページで案内しています。

出典: 楽天グループにおけるなりすまし・フィッシングメール対策について

2. クレジットカードの利用明細を見ておく

楽天は、対象の情報だけでは不正利用はできないと説明しています。とはいえ、海外ホテルの支払いに使ったカードの明細を、カード会社のアプリなどで一度見ておくと安心です。覚えのない請求があれば、カード会社に連絡してください。

3. 家族にも「楽天からの連絡」の話をしておく

同伴者として名前を入れた家族にも、楽天を名乗る連絡が来たら慌てずに相談するよう伝えておきます。大きくなった子どもが自分のスマホを持っている家庭では、特に話しておきたいところです。

国内の宿の予約はどうなの？

公式のお知らせは、海外ホテル予約サイトの一部ページと多言語予約サイトについてのものです。国内の宿の予約について個別の記載はなく、「当該サイト以外では同様の事象は確認されておりません」と書かれています。

まとめ

• 2026年10月26日、楽天トラベルの海外ホテル予約サイトの一部ページと多言語予約サイトへの不正アクセスが発表された
• 海外ホテル予約サイトでは、予約者の氏名・連絡先・予約内容に加え、同伴者の氏名も対象。最大約3万6千件はカードの下4桁や有効期限なども含む
• カード番号の全桁、セキュリティコード、パスワード、パスポート情報、住所は含まれていないとされる
• 対象者には楽天から順次個別に連絡がある。自分で調べる方法は案内されていない
• 楽天を名乗るメールやSMSのリンクは開かず、アプリやブックマークから確認する。カードの明細も一度見ておくと安心

新しい情報が出たら、この記事も更新します。