楽天トラベルの不正アクセス｜自分は対象？カードの情報で起きること【10月26日発表】

楽天グループは2026年10月26日、楽天トラベルの2つのサイトに、社外の第三者による不正アクセスがあったと発表しました。「海外ホテル予約サイトの一部のページ」と「多言語予約サイト」です。

対象は、この2つのサイトで予約やログインをした人（多言語予約サイトは宿の従業員も）の情報です。日本語の楽天トラベルで国内の宿だけを予約している方は、名前が挙がった2つのサイトには入っていません。楽天によると、2つのサイトの外では同じことは確認されておらず、二次被害や、楽天のほかのサービスへの影響も、今の時点では確認されていません。

私は営業20年（外資系クレジットカード会社10年）で、FP2級を持っています。この記事では、楽天の発表の中身と、対象になったカードの項目で何が起きて何が起きないかを、カードの仕組みの側から書きます。

楽天トラベルの不正アクセスで何が起きたか｜2つのサイトと日付

発表の中身は、2つの別々の出来事です。1つ目は9月に見つかった海外ホテルの予約ページ、2つ目は10月に見つかった多言語予約サイトです。

報道では「情報流出」「情報漏洩」とも書かれていますが、楽天の発表では「不正アクセスの対象となった情報」という言い方です。

楽天は、個人情報保護委員会と国外の関係当局にも報告したとのことです。

対象になった情報｜件数と項目

海外ホテルの予約ページの分には、カード番号の全桁とセキュリティコード、パスワード、パスポートなどの身分証明書の情報、住所は含まれていません（楽天の発表）。多言語予約サイトにログインした人の分は、メールアドレスと社内用の識別番号だけです。

260万件はログインした人の件数で、予約の件数ではありません。カードの情報まで対象になったのは、別に数えられている「予約した最大約4万件」のうちの最大約3万6千件です。260万件の全部がカードの話、ではありません。

自分が対象か確かめる方法｜海外のホテルと多言語サイト

心当たりがあるかどうかは、次の2つで分かれます。

• 楽天トラベルで海外のホテルを予約した、または海外ホテルの予約ページにログインした（下の表の地域）
• 楽天トラベルの多言語予約サイトを使った（発表に説明はありませんが、問い合わせ先が英語・韓国語・繁体字中国語の窓口なので、日本語以外の言語で使う版のようです）

海外ホテルの予約ページで対象の地域

いつの予約やログインが対象なのかは、10月26日の発表の時点では案内がありません。手元に楽天トラベルの海外ホテルの予約のメールが残っていれば、国と時期の見当がつきます。

日本語の楽天トラベルで国内の宿だけを探して予約している方は、発表で名前が挙がった2つのサイトには入っていません。楽天は、この2つのサイトの外では同じことは確認されていないとしています。

楽天からの連絡と問い合わせ先

楽天は、対象の人に順次、個別に連絡して注意を呼びかけるとしています。どの方法で、いつ届くのかは、10月26日の発表の時点では案内がありません。

• 海外ホテルの予約ページの件は、専用の問い合わせ先のメールアドレス（travel-support@faq.rakuten.co.jp）
• 多言語予約サイトの件は、英語・韓国語・繁体字中国語（香港）・繁体字中国語（台湾）の問い合わせのページ
• 宿の関係者の方（多言語予約サイトの管理画面の件）は、宿泊施設の関係者向けの問い合わせのフォーム

問い合わせ先は、届いたメールの中のリンクからではなく、楽天トラベルのお知らせのページから開くと安心かも。上のリンクも、お知らせのページに載っているものと同じです。

対象になったカードの情報で起きること・起きないこと｜5つの項目の意味

カードの番号は、ただの通し番号ではありません。頭の数桁で「どのブランドの、どの会社が出したカードか」が分かる作りになっていて、この部分を発行者識別番号と呼びます。

起きないこと｜この情報だけで買い物はできない

楽天は、今回の支払情報だけでは、買い物や旅行予約の決済、キャッシングなどの不正利用はできないと説明しています。番号の全桁とセキュリティコードが入っていないためです。

パスワードも対象に入っていません。この件だけで楽天のアカウントに入られる、という話ではなさそうです。

気をつけること｜本物らしく見える連絡

気をつけたいのは、項目そのものより、組み合わせのほうです。名前・メールアドレス・電話番号・予約したホテル・カードの下4桁。これが一緒にそろうと、楽天やホテル、カード会社を名乗る連絡が、ぐっと本物らしく見えます。

「ご予約のホテルの件で」「お使いのカードの確認を」と言われても、その場で番号の全部やセキュリティコードを伝えないこと。迷ったら一度切って、カードの裏の番号に自分からかけ直すのが確かです。

楽天トラベルの不正アクセスで今やること｜3つ

心当たりがある方も、まだ分からない方も、やることは同じで3つです。

1. 届いた連絡のリンクは開かず、公式から確かめる。楽天トラベルのアプリかブックマークから開いて、お知らせのページの中身と照らし合わせます。フィッシング対策協議会も、メールやSMSのリンクは開かず、公式サイトや公式アプリから入るよう案内しています
2. カードの明細と、使った時の通知を見る。身に覚えのない請求が無いかを見ておけば、もしもの時に早く気づけます。気づいた時の動き方はクレジットカードを不正利用された時の対処法にまとめています
3. 不安なら、カードの裏の番号でカード会社に相談する。カードの番号を替える（作り直す）かどうかは、カード会社に相談して決めます。楽天の発表には、カードの作り直しの案内はありません

楽天の発表では、パスワードは対象に含まれておらず、パスワードを変えるようにという案内もありません。逆に「パスワードの変更はこちら」と誘うメールが届いたら、そのリンクは開かないほうがいいですね。

楽天トラベルの不正アクセスのよくある質問

楽天トラベルで国内のホテルを予約しました。今回の対象ですか？

楽天の発表で対象になったのは、海外ホテル予約サイトのうち子会社のRakuten Travel Xchangeが運営する一部のページと、多言語予約サイトの2つです。楽天は、この2つのサイトの外では同じことは確認されていないとしています。日本語の楽天トラベルで国内の宿だけを探して予約したのなら、名前が挙がった2つのサイトには入っていません。英語などの多言語予約サイトを使った方や、海外ホテルの予約ページでログインしたことがある方は、楽天からの個別の連絡を確かめてください。

対象になったカードの情報で、買い物をされることはありますか？

楽天は、今回の支払情報だけでは、買い物や旅行予約の決済、キャッシングなどの不正利用はできないと説明しています。含まれているのは発行者識別番号と下4桁・名義・有効期限・国際ブランド区分で、番号の全桁とセキュリティコードは入っていません。念のため、カードの明細に身に覚えのない請求が無いかは見ておくと安心です。

カードを作り直した（再発行した）ほうがいいですか？

楽天の発表には、カードの作り直しの案内はありません。番号を替えるかどうかは、カードを出しているカード会社に相談して決めます。不安なら、カードの裏に書かれた番号に自分から電話して相談できます。届いたメールやSMSに書かれた番号ではなく、カードの裏の番号にかけるのが確かです。

楽天のパスワードは変えたほうがいいですか？

楽天の発表では、海外ホテルの予約ページの分にパスワードは含まれておらず、多言語予約サイトにログインした人の分もメールアドレスと社内用の識別番号だけです。発表の中にパスワードを変えるようにという案内はありません。「パスワードの変更はこちら」と誘うメールが届いても、そのリンクは開かず、楽天のアプリかブックマークから入ってください。

楽天からの連絡は、いつ、どうやって届きますか？

楽天は、対象の利用者と予約者に順次、個別に連絡して注意を呼びかけるとしています。連絡の方法と時期は、2026年10月26日の発表の時点では案内がありません。届いた連絡が本物か迷ったら、中のリンクは開かず、楽天トラベルのお知らせのページから発表の中身と照らし合わせてください。

260万件・4万件・3万6千件は、何の数ですか？

どれも最大の数です。260万件は、海外ホテルの予約ページでログインした人の件数。4万件は、そのページから予約した人の件数で、うち3万6千件にカードの支払情報が含まれていました。別に、多言語予約サイトでログインした人が最大約86万件、管理画面を使った宿の従業員が最大約4万件です。

問い合わせ先はどこですか？

海外ホテルの予約ページの件は、専用の問い合わせ先のメールアドレス（travel-support@faq.rakuten.co.jp）です。多言語予約サイトの件は、英語・韓国語・繁体字中国語（香港・台湾）の問い合わせのページがあります。宿の関係者向けには別のフォームがあり、どれも楽天トラベルのお知らせのページに載っています。

楽天を名乗る電話やSMSが来たら、どうすればいいですか？

名前や電話番号、予約したホテル、カードの下4桁を知っているからといって、本物とは限りません。その場で番号の全部やセキュリティコードを伝えず、一度切ってください。楽天なら楽天トラベルのアプリかお知らせのページ、カードのことならカードの裏の番号から、自分で問い合わせるのが確かです。

まとめ｜国内の宿の予約と、届く連絡の見分け方

• 対象は、海外ホテル予約サイトの一部のページと多言語予約サイトの2つ（2026年10月26日の楽天の発表）
• カードの情報は最大約3万6千件。番号の全桁とセキュリティコードは入っておらず、この情報だけでは決済できない
• パスワード・住所・身分証明書の情報は含まれない
• やることは、連絡のリンクを開かず公式から確かめる・カードの明細を見る・不安ならカードの裏の番号に相談、の3つ

日本語の楽天トラベルで国内の宿だけを取っている方は、今回の発表の2つのサイトには入っていません。気をつけるのは、これから届く「楽天です」「ホテルです」という連絡のほうかもしれません。