楽天トラベル不正アクセス、自分は対象？国内旅行・カード情報への影響

2026年10月26日、楽天が楽天トラベルへの不正アクセスを公表しました。対象は海外ホテル予約サイトの一部ページと多言語予約サイトで、国内向けサービスで同様の事象は確認されていないとされています。カード番号の全桁・セキュリティコード・パスワードは対象情報に含まれておらず、対象の方には楽天から順次、個別に連絡が行われます。

まずは3つの疑問に、先に答えます。

知りたいこと	結論（公式発表ベース）
自分は対象？	国内旅行だけの利用なら、公表された対象サービスには含まれていません。海外ホテルを予約・ログインした方は、行き先の地域によって対象の可能性があります
カードは？	番号の全桁とセキュリティコードは対象外です。楽天は「対象となった情報のみでは、決済やキャッシングの不正利用はできない」と説明しています
今すべきことは？	登録メールの個別通知を確認する／メール内のリンクは開かず公式アプリから確認する／カード明細を見る／パスワードの使い回しを見直す

私も最初は「260万件」という数字だけが目に入って、思わず身構えました。ただ、公式発表を読み進めると、対象のサービス・情報の種類・件数の意味が分けて書かれています。ここを整理すれば、必要以上に怖がらずに動けます。

楽天トラベル不正アクセス、自分は対象？

今回の発表は、2つの事象に分かれています。混同しないように、この記事では次のように呼びます。

• 事象①：海外ホテル予約サイトの一部ページ
• 事象②：多言語予約サイト

詳しい内容は、楽天トラベルの公式発表（2026年10月26日）で確認できます。

国内旅行だけなら影響はある？

国内の宿泊やレンタカーだけを使っている方は、公表された対象サービス（事象①・②）には含まれていません。国内向けサービスで同様の事象は確認されていない、というのが現時点の発表です。

ただし、「100％安全」と言い切れる話ではありません。今後の調査で新しい事実が出てくる可能性はあります。続報が出たら公式ページで確認する、という姿勢でいるのが無理のない付き合い方だと私は思います。

海外ホテルの対象国・対象外地域

事象①について、公式発表では対象と対象外が次のように書かれています。

区分	公式発表の表現
対象	ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国・地域
対象外	韓国、台湾、香港、シンガポール、マカオ
一部地域が対象外	タイ、ベトナム、フィリピン、インドネシア、米国（ハワイ、グアム、ロサンゼルス他）

ポイントは「一部地域」の書き方です。タイや米国は、国全体ではなく一部の地域が対象外とされています。ハワイやロサンゼルスの予約が対象外でも、同じ国の別の地域の予約は対象に入る可能性があります。自分の予約がどこに当たるかは、予約確認メールで宿泊先の所在地を見て確かめてください。

なお、この地域の区分は事象①の記載です。事象②（多言語予約サイト）に同じ区分が当たるとは、公式発表からは読み取れません。

別の件ですが、先日公表された楽天ドライブの情報漏洩は、今回とは別の事案です。名前が似ているだけで、対象者も対策も違うので、混ぜずに確認してください。

→ 楽天ドライブ情報漏洩、自分は対象？確認方法と今すぐやること7つ

どんな個人情報が不正アクセスの対象になった？

公表されている件数は、いずれも「最大」の数字です。しかも「件」であって「人」ではありません。同じ人が複数回数えられている可能性もあるため、そのまま人数として読むのは避けましょう。

海外ホテル予約サイトの最大260万件

事象①で、ログインした方の情報として最大約260万件が対象になりました。含まれるのは次の4項目です。

• 氏名
• メールアドレス
• 電話番号
• 社内用識別番号（楽天側がデータを管理するための番号）

予約をしていなくても、ログインした状態で対象ページを使っていれば入る可能性があります。

予約者最大4万件と支払情報最大3万6000件

事象①では、予約者の情報として最大約4万件も対象になりました。ログイン者の4項目に加えて、次の情報が含まれます。

• 居住国
• 予約情報（施設名、予約金額など）
• 同伴者の氏名・居住国

このうち最大約3万6000件には、支払情報も含まれます。支払情報の中身は、カード発行者識別番号と下4桁、名義、有効期限、国際ブランドの区分です。

一方で、カード番号の全桁、セキュリティコード、パスワード、パスポートなどの身分証明書情報、住所は対象外と発表されています。

多言語予約サイト最大86万件と宿泊施設従業員最大4万件

事象②では、ログインした方の情報として最大約86万件が対象です。公表されている項目は、メールアドレスと社内用識別番号です。氏名や電話番号は、対象情報として挙げられていません。

もう一つ、宿泊施設の従業員の情報が最大約4万件含まれます。こちらはアカウント名、メールアドレス、社内用識別番号です。

公表された件数を並べて計算してみた

件数が大きく見えるので、公式発表の数字だけで割合を出してみました。

• 支払情報の割合：36,000÷40,000＝90%（予約者情報のうち、支払情報も含まれる最大の割合）
• 予約者の割合：40,000÷2,600,000≒約1.5%（ログイン者に対する予約者）
• 支払情報の割合：36,000÷2,600,000≒約1.4%（同じくログイン者に対して）

計算してみて、私が気づいたのは次の点です。260万件の大半は、氏名・メール・電話番号・社内用識別番号にとどまるログイン者の情報で、カードの下4桁などに及ぶのはその一部です。

もう一つ、260万件に86万件、4万件を単純に足した数字がネットで見られるかもしれません。ただ、件数の重複があるのか、実際に何人分なのか、情報が外部に持ち出されたのかは、公表内容からは分かっていません。「何百万人が流出した」と受け取る必要はありません。

クレジットカードは停止・再発行するべき？

結論から言うと、楽天は「対象となった情報のみでは、決済やキャッシングの不正利用はできない」と説明しています。カード番号が丸ごと漏れた場合のように、すぐ停止が必要という状況ではなさそうです。

ただ、再発行するかどうかは、不安の度合いやカード会社の案内で決める部分です。再発行手数料の扱いや補償については、今回の件で楽天やカード会社から確定した発表を確認できていません。そのため、この記事では「無料になる」などとは書けません。

対象となった支払情報

支払情報が対象になったのは、事象①の予約者のうち最大約3万6000件です。

対象となった項目	補足
カード発行者識別番号	カード番号の先頭にある、発行会社を示す部分
下4桁	利用明細などで見かける末尾の数字
名義	カードに記載されている氏名
有効期限	年月
国際ブランドの区分	VisaやMastercardなどの種別

楽天カードに限らず、そのページで支払いに使われたカードが対象です。

カード番号全桁とセキュリティコードについて

カード番号の全桁とセキュリティコード（裏面の3桁など）は、対象に含まれていないと発表されています。ネットで決済するには通常この2つが必要なので、「対象情報だけでは不正利用できない」という楽天の説明は、この点を指していると考えられます。

ここは、分けて考えてください。

• 楽天の説明：対象情報のみでは、決済・キャッシングの不正利用はできない
• 別に注意したいこと：下4桁や名義、予約情報が手元にあれば、本物らしい偽メールは作りやすくなる（これは一般的なリスクで、今回実際に被害が出たという発表はありません）

利用明細の確認と不審な請求への対応

私なら、次の順番で動きます。

1. 海外ホテルの予約に使ったカードの明細を、直近数か月分見直す
2. 身に覚えのない請求、特に少額の請求がないか探す
3. 見つけたら、カード裏面の連絡先にすぐ連絡して状況を伝える
4. 判断に迷うときは、消費者ホットライン「188」に相談する

不正利用が見つかった場合の補償は、カード会社ごとに条件が違います。まずは連絡して、案内を確認することが大切です。

自分が対象か確認する方法と問い合わせ先

楽天からの個別通知

公式発表では、対象となる利用者・予約者に、楽天から順次、個別に連絡と注意喚起を行うとされています。連絡の手段は発表に明記されていません。まずは楽天に登録しているメールアドレスの受信箱と、迷惑メールフォルダを確認しましょう。

「順次」なので、届く時期には差が出ると思います。通知がまだ来ていないからといって、対象外とは言えません。 数日は様子を見てください。

公式サイトからの確認方法

対象かどうかを一括で調べられる専用ページは、公式発表を読んだ範囲では案内されていません。今できる確認は、次の3つです。

• 公式発表のページで、対象のサイトと地域を読み直す
• 楽天トラベルの予約履歴や予約確認メールで、海外ホテルの予約があるか調べる
• 予約があれば、宿泊先の所在地が対象外地域に当たるかを見る

予約が対象外地域でも、ログインしただけで入っている可能性は残ります。迷う場合は、次の問い合わせ先で確かめるのが確実です。

他のサービスの情報漏洩でも、確認の流れは似ています。登録メールを見て、公式の窓口に当たる、という順番です。

→ えきねっと情報漏洩、自分は対象？最大206万件で漏れた情報と今すぐやること

事象①と事象②の問い合わせ先

問い合わせ先は、事象ごとに違います。

事象	窓口
事象①（海外ホテル予約サイト）	travel-support@faq.rakuten.co.jp
事象②（利用者の方）	英語・韓国語・繁體中文（香港）・繁體中文（台灣）の各問い合わせフォーム
事象②（宿泊施設の関係者）	管理画面に関する専用の問い合わせフォーム

事象②の各フォームは、公式発表ページからたどれます。電話の特設窓口については、公式発表には案内がありません。偽サイトを避けるためにも、必ず公式発表ページ経由で問い合わせてください。

偽のホテル予約確認メール・SMSに注意

公式発表では、現時点で二次被害は確認されていません。ここから先は、今回実際に起きた被害ではなく、これから注意したい一般的なリスクの話です。

実際の予約情報を使ったフィッシングの可能性

予約情報（施設名や金額、同伴者の氏名）が悪用されると、「それらしい」偽メールが作りやすくなります。たとえば、こんな文面です。

• 「ご予約の確認のため、24時間以内にカード情報を再入力してください」
• 「宿泊料金の決済に失敗しました。以下のリンクから更新を」

宿泊先の名前や金額が合っていると、つい信じてしまいます。私も、予約内容が正確に書かれていたら、一瞬は疑わないかもしれません。だからこそ、「内容が合っているから本物」とは考えない習慣が大事です。

メール内のリンクを開かず公式サイトから確認する方法

不安なメールやSMSが届いたときの手順です。

1. メールやSMS内のリンク、QRコードは開かない
2. 楽天トラベルの公式アプリ、または自分で登録したブックマークから、予約一覧を開く
3. 予約一覧に同じ予約や案内があるかを見る
4. SMSに書かれた電話番号には、折り返さない
5. カード情報の入力を求められたら、いったん立ち止まる

すでに入力してしまった場合は、カード会社に連絡してください。判断に迷うときは、消費者ホットライン「188」が相談先になります。

パスワードの使い回しを避ける対策

パスワードは対象外と発表されています。ただ、メールアドレスは対象に含まれます。他のサービスと同じパスワードを使っている場合、一般論として、別のサービスでログインを試される危険が残ります。

• 楽天IDのパスワードを、他で使っていないものに変える
• パスキー（指紋・顔認証などでのログイン）や、二段階の認証を設定する
• 覚えきれないときは、パスワード管理ツールを使う

楽天IDまわりの詐欺と防衛策は、こちらの記事に詳しくまとめています。

→ 【2026年最新】楽天で何が起きてる？アカウント乗っ取りと詐欺の全手口と今すぐできる防衛策

よくある質問

Q. 海外ホテルにログインしただけでも対象になりますか？

ログインした方の情報（事象①は最大約260万件）が、対象に含まれています。予約をしていなくても、対象ページにログインしていた場合は、含まれる可能性があります。

Q. 昔の予約やキャンセル済みの予約は対象ですか？

何年前の分まで対象なのか、キャンセル済みの予約がどう扱われるのかは、公式発表に書かれていません。確認できていない点なので、不安な場合は事象①の窓口に問い合わせるのが確実です。

Q. 一緒に行った同行者の情報も対象ですか？

事象①の予約情報には、同伴者の氏名と居住国が含まれると発表されています。同行者がいた予約は、その方の情報も入っている可能性があります。

Q. 楽天からメールが届かない場合は？

個別の連絡は順次行われるため、まだ届いていないだけの可能性があります。迷惑メールフォルダも確認してください。通知がないことは、対象外の証明にはなりません。

Q. 楽天市場や楽天カードも影響を受けましたか？

今回の発表で対象とされているのは、海外ホテル予約サイトの一部ページと多言語予約サイトです。楽天市場や楽天カードが対象という記載は、発表にありません。

Q. 旅行をキャンセルする必要はありますか？

旅行のキャンセルを求める記載は、発表にありません。不安でキャンセルする場合の料金や、特別な対応については、公表されていません。通常の取消規定に沿うことになると考えられるため、予約時の条件を確認してください。

Q. カードの再発行は必要ですか？

カード番号の全桁とセキュリティコードは対象外で、楽天は「対象情報のみでは不正利用はできない」と説明しています。再発行するかは、不安の度合いやカード会社の案内で決めてください。再発行手数料の扱いは、確定した発表を確認できていません。

Q. パスワードは変更したほうがいいですか？

パスワードは対象外と発表されています。ただ、他のサービスと同じパスワードを使っているなら、この機会に変えておくと安心です。

Q. 先日の楽天ドライブの件と同じ事案ですか？

別の事案です。楽天ドライブの情報漏洩と今回の楽天トラベルの不正アクセスは、対象サービスも情報も違います。それぞれの公式発表で確認してください。

Q. 宿泊施設で働いていて、管理画面のアカウントが心配です。

事象②では、宿泊施設の従業員の情報（アカウント名、メールアドレス、社内用識別番号）が最大約4万件対象です。管理画面が乗っ取られたという発表はありません。心配な方は、パスワードを見直したうえで、施設関係者向けの問い合わせフォームに相談してください。

不正アクセスの発覚から公表までの経緯

公式発表をもとに時系列を表にすると、次のとおりです。

日付（2026年）	できごと
9月10日	事象①の異常を検知
9月15日	事象①の原因を特定
9月16日	事象①のシステム改修を完了
10月20日	事象②を検知し、同日に原因を特定
10月21日	事象②のシステム改修を完了
10月26日	公表。対象者への個別連絡を開始

事象①：9月に検知し、9月16日に改修完了

事象①は、9月10日に異常を検知し、9月15日に原因を特定、9月16日にシステム改修を終えています。つまり、公表の時点では、すでに改修が済んだあとの発表です。

事象②：10月20日に検知し、10月21日に改修完了

事象②は、10月20日に検知と原因特定が行われ、翌21日に改修が完了しました。検知から改修までは1日です。

公表までの日数を計算してみた

日付の間隔を、数えてみました。

• 事象①の検知（9月10日）から公表（10月26日）まで：20日＋26日＝46日
• 事象①の改修完了（9月16日）から公表まで：14日＋26日＝40日
• 事象②の検知（10月20日）から公表まで：6日

事象①は検知から公表まで46日、事象②は6日という違いがあります。この日数が長いのか短いのかは、私がここで評価することではありません。法令との関係についても、私が断定できる話ではないので、書きません。

なお、公式発表では、日本の個人情報保護委員会と海外の関係当局へ報告したとされています。制度の概要は個人情報保護委員会の案内で確認できます。

まとめ｜分かっていることと今後の注意点

最後に、現時点で分かっていることと、まだ分からないことを分けて整理します。

分かっていること（公式発表）	まだ分からないこと
対象は海外ホテル予約サイトの一部ページと多言語予約サイト	件数の重複の有無、実際の人数
国内向けサービスで同様の事象は確認されていない	情報が外部に持ち出されたかどうか
カード番号全桁・セキュリティコード・パスワードは対象外	何年前の分までが対象なのか
対象者へは楽天から順次、個別に連絡	攻撃の具体的な手口
現時点で二次被害は確認されていない	補償や返金など、追加の対応の有無

私が大事だと思うのは、数字に驚いて動くより、「自分の予約はどこか」を落ち着いて確かめることです。通知を待ちつつ、メールのリンクは開かず、カード明細とパスワードを見直しておく。それだけでも、今できる備えは十分にあります。

続報が出たら、公式発表ページを確認してください。この記事も、新しい発表があれば更新します。

おすすめアイテム

パスワード管理は1Password

宿泊先の名前や日付まで書かれた偽メールは、本物に見えてしまうことがあります。サイトごとに別々のパスワードを使っておけば、どこか一つで破られても被害を広げにくくできます。1Passwordは、その面倒な管理を代わりにやってくれるツールだよ。

ビサイユのトートバッグ

海外へ出かけるときは、パスポートやカード、スマホと持ち物が一気に増えます。ビサイユのトートバッグは超軽量で撥水加工、スキミング防止ポケットも付いているので、旅の荷物をまとめる選択肢の一つになるよ。

軽量ショルダーBCS-140

ホテルに荷物を置いたあとの街歩きは、できるだけ身軽に出かけたいですよね。軽量ショルダーBCS-140は、小さめなのに多収納で、撥水とスキミング防止にも対応しているよ。