楽天トラベルに不正アクセス｜海外ホテル予約の最大260万件・カード情報3.6万件が対象。国内の予約は？予約情報入りの詐欺に注意

楽天トラベルで海外のホテルを予約したことがある方の中には、楽天トラベルへの不正アクセスのニュースを見て、不安に感じている方もいるのではないでしょうか。

楽天グループは10月26日、楽天トラベルの海外ホテル予約の一部のページと多言語の予約サイトが不正アクセスを受け、合わせて最大約354万件の情報が流出したおそれがあると発表しました。予約の一部では、カード情報の一部も含まれています。

この記事では、対象になる人と国内の予約への影響、漏れたカード情報の範囲、そして予約内容やカードの末尾4桁を使った「本物そっくりの詐欺」の見分け方について、くわしく解説してまいります。

何が起きたのか

不正アクセスは、2つの別々のサイトで見つかりました。

不正アクセスの手口や、2つのサイトへの攻撃が同じ犯人によるものかどうかは、公表されていません。楽天は、侵入の経路をふさぎ、システムを修正したとしています。また、ほかのサイトで同じような事象は確認されていないとしています。

自分が対象になっているかの確かめ方

対象になるのは、次の人です。

• 楽天トラベルの海外ホテル予約の一部のページに、ログインしたことがある人
• そのページで海外のホテルを予約した人と、その同行者
• 海外の利用者向けの多言語の予約サイトに、ログインしたことがある人
• 多言語サイトの管理画面を使っている宿泊施設の従業員

海外ホテルの予約でも、すべての国・地域が対象ではありません。ヨーロッパの一部、アメリカ・カナダ、アジア・オセアニアの一部が対象で、次の国・地域は対象外とされています。

• 韓国、台湾、香港、シンガポール、マカオ、タイ、ベトナム、フィリピン、インドネシア
• アメリカの一部（ハワイ、グアム、ロサンゼルスなど）

国内の宿を予約しただけの人は？

今回の発表で対象とされているのは、海外ホテル予約の一部のページと多言語サイトだけです。国内の宿の予約は、今回の発表には含まれていません。楽天も、ほかのサイトで同じような事象は確認されていないとしています。

ただし、楽天を名乗る詐欺メールは、ふだんから非常に多く出回っています。このニュースに便乗した詐欺は、対象かどうかに関係なく届くおそれがあるので注意してください。

楽天は、対象の人に順番に個別の連絡をするとしています。

漏れたおそれがある情報

合計すると最大約354万件ですが、同じ人が重なっている場合もあり、人数を表すものではありません。

含まれていないもの

• カード番号の全桁、セキュリティコード
• パスワード
• パスポートなどの本人確認書類
• 住所

楽天は、今回漏れた情報だけでは、勝手に買い物をしたり、旅行代金を支払ったり、キャッシングをしたりすることはできないとしています。発表の時点で、二次被害は確認されていないとしています。

漏れた「カード情報の一部」で何が起きるのか

漏れたのは、カード番号の最初の数桁（発行会社を表す番号）と末尾4桁、名義、有効期限です。真ん中の数字とセキュリティコードがないため、楽天の説明どおり、これだけでカードを勝手に使うことは難しいと考えられます。

注意したいのは、詐欺の「信用させる材料」に使われることです。たとえば、次のようなメッセージが届くと、本物だと思い込みやすくなります。

• 「末尾7890のカード（有効期限08/28）でのお支払いが承認されませんでした」
• 「○○ホテル（パリ）、12万3,000円のご予約について、カードの再認証が必要です」

自分のカードの末尾4桁や、実際に泊まったホテル名・金額が正しく書かれていても、それは漏れた情報を使っているだけかもしれません。足りない「カード番号の全桁」と「セキュリティコード」を入力させるのが、詐欺の狙いです。

このあと届くおそれがある詐欺

今回は予約内容まで漏れたため、次のような詐欺に特に注意してください。

• 「予約の確認のため、カード情報を再入力してください」：ホテルや楽天トラベルを装い、偽のページでカード番号の全桁やセキュリティコードを入力させるもの
• 「お支払いが承認されませんでした。予約がキャンセルされます」：急がせて、別の支払い方法や偽のページに誘導するもの
• 「返金があります」「情報漏洩のお詫びとして補償します」：返金や補償を口実に、口座番号やカード情報を聞き出そうとするもの
• カード会社を名乗る電話：「不正利用の疑いがある」と言って、カード番号の全桁や暗証番号、認証コードを聞き出そうとするもの
• 楽天を名乗るメール・SMS：「アカウントがロックされました」などと言って、楽天IDやパスワードを入力させるもの

ホテルの予約サイトを装って、予約のメッセージ機能などからカード情報を入力させる手口は、これまでにもほかの予約サイトで多く報告されています。今回は本物の予約内容を使えるため、さらに見分けにくくなるおそれがあります。

本物と見分けるポイント

「末尾4桁」「ホテル名」「金額」が合っていても本物とは限らない

今回は、カードの末尾4桁と有効期限、ホテル名や予約金額まで漏れたおそれがあります。自分の情報が正しく書かれていても、それだけで本物だと判断しないでください。

カード番号の全桁・セキュリティコードを入力させるのは要注意

予約が済んでいるのに、メールやメッセージのリンクから「カードの再入力」「再認証」を求められたら、詐欺を疑いましょう。

予約の状況は、楽天トラベルの公式サイト・アプリで確かめる

予約や支払いについて連絡が来たら、メールやメッセージのリンクは開かずに、楽天トラベルの公式サイトやアプリを自分で開いて、予約の状況を確かめてください。

カード会社への連絡は、カードの裏面の番号から

カード会社を名乗る電話がかかってきたら、その場で答えずに切りましょう。気になる場合は、カードの裏面に書かれている番号に、自分からかけ直してください。カード会社が電話で暗証番号や認証コードを聞くことはありません。

対象の人が今やること

• カードの利用明細を確認する：身に覚えのない請求がないか、しばらくの間こまめに確かめる
• カードの再発行を検討する：カード情報の一部が漏れた予約に心当たりがあり、不安な場合は、カード会社に相談する
• 楽天IDのパスワードを見直す：パスワードは漏れていないとされていますが、ほかのサービスと同じパスワードを使っている場合は、この機会に変更する
• 2段階認証をオンにする：楽天IDや、カード会社のアプリなどで設定しておく
• 楽天からの連絡は、公式サイトで確かめる：個別の連絡が届いても、リンクからではなく公式サイトから内容を確認する

情報を入力した・お金を払ってしまった場合は？

• カード情報を入力した場合は、すぐにカード会社に連絡して、カードの利用を止めてもらう
• カードの利用明細を確認し、身に覚えのない請求があればカード会社に伝える
• 楽天IDやパスワードを入力した場合は、すぐに変更する。同じパスワードを使っているほかのサービスも変更する
• お金を払ってしまった場合は、警察相談専用電話「#9110」や最寄りの警察署に相談する

「楽天の会員1億件流出」の書き込みとの関係は？

10月4日には、ネット上の掲示板に「楽天の会員約1億件のデータを販売する」という書き込みがあったと報じられています。ただし、この書き込みの真偽は確認されておらず、今回の不正アクセスと関係があるとはされていません。

こうした書き込みが話題になると、「あなたの情報が流出しています。確認はこちら」といった詐欺メールが増えることがあります。リンクは開かないでください。

まとめ

• 楽天トラベルの海外ホテル予約の一部のページと多言語サイトに不正アクセスがあり、最大約354万件の情報が流出したおそれがある
• 国内の宿の予約は、今回の発表には含まれていない
• 予約の一部では、カード番号の最初の数桁・末尾4桁と、名義・有効期限が流出したおそれ。カード番号の全桁とセキュリティコードは含まれていない
• ホテル名や予約金額、カードの末尾4桁が書かれた本物そっくりの詐欺に注意。カード情報の再入力は、リンクからしない

海外旅行で楽天トラベルを使った方は、しばらくの間、予約や支払いを名乗る連絡に特に注意し、確認は必ず公式サイトやアプリ、カードの裏面の番号から行いましょう。

相談・問い合わせ先

• 楽天トラベルの公式発表：楽天トラベルのお知らせ（問い合わせ窓口も、ここに載っています）
• カード会社：カードの裏面に書かれている番号
• 警察相談専用電話「#9110」：詐欺かどうか不安なとき、被害に遭ったかもしれないときに相談できます。
• 消費者ホットライン「188」：最寄りの消費生活センターを案内してもらえます。
• フィッシング対策協議会：迷惑メールフォルダーに入らずに届いたフィッシングメールは、リンクをクリックせずに info@antiphishing.jp へ転送して報告できます。

参考

• トラベルボイス（2026年10月26日）
• セキュリティ対策Lab