結論
楽天グループは2026年10月26日、旅行予約サービス「楽天トラベル」で2件の不正アクセスがあったと発表しました。報道では「最大約354万件」と合計されていますが、ホテルの運営者が見るべきなのは2件目、多言語予約サイトの管理画面の件です。
- 多言語予約サイトの管理画面に入力された、宿泊施設の従業員の情報が最大約4万件対象になった。項目はアカウント名・メールアドレス・社内用の識別番号
- 同じサイトにログインした利用者（訪日客など）最大約86万件のメールアドレスも対象
- 楽天は宿泊施設の担当者専用の問い合わせフォームを設け、対象の施設には個別に案内を送っている
流出したのはパスワードではなく「誰が管理画面を使っているか」です。攻撃者がこれを使うなら、担当者あてに楽天を名乗るメールを送り、パスワードを入力させるのが最も考えやすい手口です。ホテルが今週やることは次の5つです。
- 楽天からの個別の案内が届いていないか、管理画面の登録メールアドレスの受信箱を確かめる
- 管理画面のアカウントを棚卸しし、退職者や共有のアカウントを整理する
- パスワードを変え、ログインはブックマークからに限る（メールのリンクから入らない）
- 精算・連絡先などの登録情報と、宿泊客へのメッセージの送信履歴に、身に覚えのない変更がないか確かめる
- 宿泊客から「このメールは本物か」と聞かれたときの答えを、英語でも用意しておく
はじめに
宿泊予約の情報をめぐる事故は、2026年の秋に入って続いています。サイトコントローラー「TEMAIRAZU（手間いらず）」は10月9日、不正アクセスで予約情報を見られた可能性がある人は最大で約445万人だと開示しました（経緯は手間いらず不正アクセスから学ぶホテルのセキュリティSOP、各施設のお知らせの比較は手間いらず事案12社の読み比べ）。その2週間あまり後に、今度は大手OTAの楽天トラベルです。
報道は「顧客情報が最大354万件」「カード情報も3万6千件」と利用者側の被害を中心に伝えています。ただ、楽天の発表をよく読むと、宿泊施設で働く人の情報もはっきり対象に入っています。本記事では、楽天グループの公式発表をもとに、ホテルに関係する範囲を切り分け、今週やることを手順にまとめます。
楽天グループの発表の要点
発表は「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」（2026年10月26日）です。2件は別々の事故で、時期も対象も違います。
| 項目 | 事象① 海外ホテル予約サイト | 事象② 多言語予約サイト |
|---|---|---|
| 運営 | 子会社 Rakuten Travel Xchange が管理・運営する一部のページ | 楽天グループ |
| 検知 | 2026年9月10日に異常を検知、15日に原因を特定、16日に改修 | 2026年10月20日に検知・原因を特定、21日に改修 |
| 利用者 | 予約者 最大約4万件（氏名・メールアドレス・電話番号・居住国・予約情報・同伴者の氏名など） うち最大約3万6千件は支払情報（カードの発行者識別番号と下4桁・名義・有効期限・国際ブランド） ログインした利用者 最大約260万件（氏名・メールアドレス・電話番号など） | ログインした利用者 最大約86万件（メールアドレス・社内用の識別番号） |
| 施設 | 記載なし | 管理画面で入力された宿泊施設従業員 最大約4万件（アカウント名・メールアドレス・社内用の識別番号） |
事象①については、カード番号の全桁・セキュリティコード・パスワード・パスポートなどの身分証明書情報・住所は含まれないと明記されています。楽天は、今回の情報だけでは決済やキャッシングの不正利用はできないとし、10月26日時点で二次被害は確認されていないと説明しています。個人情報保護委員会と国外の関係当局には報告済みです。
件数はいずれも「最大」で、重複を含む見込みの数字です。報道の「354万件」は4つの数字を足したもので、楽天自身は合計を示していません。
ホテルに関係するのはどこか
事象①：海外ホテルの予約（国内の宿には直接は関係しにくい）
事象①は、日本の利用者などが楽天トラベルで海外のホテルを予約するときに使うページの一部です。対象地域はヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部で、韓国・台湾・香港・シンガポール・マカオなどは除かれています。国内のホテルや旅館の予約情報は入っていません。
国内の宿に影響が出るとすれば、「海外旅行の予約情報が漏れた人」がだまされやすくなるという間接的なものです。出張の多い法人客や旅行会社と取引のあるホテルは、取引先から問い合わせを受けることがあるかもしれません。
事象②の利用者：訪日客などのメールアドレス最大約86万件
多言語予約サイトは、海外の利用者が英語・韓国語・中国語（繁体字）などで楽天トラベルを使うためのサイトです。訪日客が日本のホテルを予約する入口の一つでもあります。
対象になったのはメールアドレスと社内用の識別番号だけで、氏名や予約内容は対象として挙がっていません。それでも、楽天やホテルを名乗る偽メールの宛先リストとしては十分に使えます。訪日客から「あなたのホテルからこんなメールが来た」と英語で問い合わせが来る可能性があります（答え方は後述）。
事象②の施設側：従業員のアカウント最大約4万件（本題）
ホテルにとっての本題はここです。発表は「多言語予約サイトの管理画面で入力された最大約4万件の宿泊施設従業員のアカウント名、メールアドレス、社内用の識別番号」としています。楽天が用意した施設向けのフォームには、次のように書かれています。
本フォームは「楽天トラベル多言語予約サイト」管理画面のアカウントへの不正アクセスに関する、宿泊施設ご担当者様専用のお問い合わせ窓口です。
フォームの入力欄には「宿泊施設名」と並んで「ご案内を受信したメールアドレス」があります。つまり、対象になった施設の担当者には、楽天からすでに個別の案内がメールで届いているということです。案内が届いているかどうかが、自館が対象かどうかを知るいちばん確かな手がかりになります。
対象の項目として挙がっているのはアカウント名・メールアドレス・識別番号で、パスワードは挙がっていません。だからといって安心はできません。「どのホテルの、誰が、どのアドレスで管理画面を使っているか」は、攻撃者が狙いを定めるのにいちばん欲しい情報だからです。
想定される悪用の流れ
楽天は10月26日時点で二次被害を確認していません。以下は、2026年に宿泊業で実際に起きた手口から考えられる流れで、今回の件で起きたと報じられているものではありません。
- 担当者あてに、楽天を名乗るメールが届く。「不正アクセスの影響確認のため」「セキュリティ強化のため」などと書かれ、ログイン画面に見せかけたページへのリンクが付いている
- 偽のページでアカウント名とパスワードを入力してしまう。アカウント名とメールアドレスが本物と一致しているので、見破りにくい
- 攻撃者が管理画面に入る。予約者の氏名・連絡先・宿泊日などを見られる
- 予約者に「ホテルから」のメッセージが送られる。「カードの確認が取れない」「事前決済が必要」などとして、外部のページでカード情報を入力させる
- 登録情報が書き換えられる。連絡先や精算に関わる情報が変えられると、被害が施設のお金にまで及ぶ
4と5は想像ではありません。ポラリス・ホールディングスは2026年5月28日、Booking.comのグループアカウントへの不正アクセスで、傘下のホテルの売上金の受領口座が書き換えられ、1ホテルで約900万円の損失が出たこと、一部のホテルで宿泊予約者へのフィッシングメッセージが確認されたことを公表しています（OTA管理画面の守り方はOTA管理画面の乗っ取りを防ぐ棚卸し術）。
もう一つ、今回のニュースそのものが格好の口実になる点にも注意が要ります。「楽天トラベルの不正アクセスの件で確認が必要です」というメールは、対象でない施設にも届きえます。
ホテルが今週やること（対応の手順）
多言語予約サイトで販売しているかどうかにかかわらず、楽天トラベルに掲載しているホテルは次の順で確かめてください。1〜4は予約・Webの担当者、5はフロントの責任者が中心になります。
- 楽天からの個別の案内を確認する
管理画面に登録しているメールアドレスの受信箱（迷惑メールのフォルダも）を確かめます。届いていた場合も、メールのリンクは使わず、楽天トラベルの公式サイトに掲載されたお知らせ（travel.rakuten.co.jp/info/announce/20261026.html）を自分で開き、そこから施設向けの問い合わせ先に進みます。案内を受けたアドレス、日時、担当者名は記録しておきます - 管理画面のアカウントを棚卸しする
誰が、どのメールアドレスでアカウントを持っているかを一覧にします。退職者のアカウント、フロント全員で使い回している共有アカウント、個人のフリーメールで登録したアカウントは、この機会に整理します - パスワードを変え、入口をブックマークに固定する
流出した項目にパスワードは挙がっていませんが、変えておくのが無難です。ほかのサービスと同じパスワードを使い回していれば、必ず変えます。以後、管理画面にはブックマークからだけ入り、メールやメッセージのリンクからはログインしないとスタッフ全員で決めます。楽天が追加の認証の仕組みを案内している場合は、それに従って設定します - 身に覚えのない変更がないか確かめる
連絡先のメールアドレスや電話番号、精算に関わる登録情報、ユーザーの追加、宿泊客へのメッセージの送信履歴を見ます。おかしな点があれば、すぐに楽天の施設向け窓口へ連絡します - フロントと予約係に周知する
「楽天トラベルを名乗る、ログインや支払いを求める連絡には応じない」「宿泊客から問い合わせがあったら、下の答え方で返す」の2点を、朝礼や引き継ぎで伝えます
楽天トラベル以外のOTAの管理画面やサイトコントローラーも、狙われ方は同じです。手間がかかるのは最初の棚卸しだけなので、同じ一覧にまとめてしまうと次の事故のときに早く動けます。
宿泊客から問い合わせが来たときの答え方
宿泊客が知りたいのは「メールは本物か」「自分の予約は大丈夫か」「情報はどこから漏れたのか」「入力してしまったらどうするか」の4つです（答えの型は予約詐欺メールに宿が返す4つの答えで詳しく扱いました）。今回の件では、次のように答えられます。
- メールは本物か：当館は、メールやチャットのリンクからカード情報を入力するようお願いすることはない、と答えます
- 自分の予約は大丈夫か：予約は有効であることを、管理画面や台帳で確かめたうえで伝えます
- どこから漏れたのか：楽天トラベルの多言語予約サイトで予約した人であれば、楽天が10月26日に不正アクセスを公表していること、楽天によれば対象の情報はメールアドレスと識別番号であることを、事実として伝えます。漏えい元を断定する言い方は避けます
- 入力してしまった：カード会社にすぐ連絡するよう勧め、楽天の問い合わせ先を案内します
訪日客には英語で返すことが多くなるので、文例を用意しておくと慌てません。
Thank you for contacting us. Rakuten Group announced on October 26, 2026 that its multilingual booking site was accessed without authorization. According to Rakuten, the customer information involved was email addresses and internal ID numbers. Your reservation with us is confirmed. Please note that our hotel never asks guests to enter credit card details through a link sent by email or chat. If you have entered your card details, please contact your card issuer immediately. You can also contact Rakuten Travel at: https://travel.faq.rakuten.net/en-us/s/inquiries
楽天は、多言語予約サイトの利用者向けに英語・韓国語・繁体字（香港・台湾）の問い合わせ先を設けています。韓国語や中国語で問い合わせてきた人には、それぞれの言語の窓口を案内できます。
自館の管理画面に不正ログインがあった場合
4の確認で、身に覚えのないログインや変更が見つかった場合は、ホテル自身に個人情報保護委員会への報告と本人への通知の義務が生じることがあります。楽天が報告したのは楽天のシステムの件で、ホテルのアカウントから予約者の情報が見られた件は、ホテルの側の事故として扱われるからです。
- 個人情報保護法施行規則第7条第3号は、不正の目的をもって行われたおそれがある行為による漏えいを報告の対象としています。人数の下限はなく、1件でも対象になります
- 報告は、事態を知った後「速やかに」（速報）と、知った日から60日以内（確報。不正の目的による場合）の2段階です（同規則第8条）
- 本人への通知も、状況に応じて速やかに行います（同規則第10条）
初動の進め方はホテルのセキュリティSOPと初動対応に、お知らせの書き方は手間いらず事案12社の読み比べにまとめています。
まとめ
- 楽天トラベルの不正アクセスは2件。ホテルに直接関係するのは、多言語予約サイトの管理画面で入力された宿泊施設従業員の情報（最大約4万件）
- 対象の項目はアカウント名・メールアドレス・識別番号で、パスワードは挙がっていない。ただし担当者を狙った偽メールの材料になる
- 対象の施設には楽天から個別の案内が届いている。リンクは使わず、公式のお知らせから施設向けの窓口に進む
- アカウントの棚卸し、パスワードの変更、登録情報と送信履歴の確認、フロントへの周知を今週中に
- 訪日客からの問い合わせに備え、英語の答えを用意しておく
よくある質問（FAQ）
Q1. 自館が対象になっているかどうかは、どうすれば分かりますか？
楽天からの個別の案内が、管理画面に登録したメールアドレスに届いているかを確かめてください。施設向けの問い合わせフォームに「ご案内を受信したメールアドレス」という入力欄があることから、対象の施設には案内が送られていると考えられます。分からない場合は、公式のお知らせから施設向けの窓口に問い合わせます。
Q2. 管理画面のパスワードも漏れたのですか？
楽天が対象として挙げたのは、アカウント名・メールアドレス・社内用の識別番号で、パスワードは挙がっていません。ただし、これらの情報で狙いを定めた偽メールが届くおそれがあるので、パスワードの変更とログイン方法の見直しをおすすめします。
Q3. 日本語の楽天トラベル（国内の予約）の管理画面も対象ですか？
発表の対象は、海外ホテル予約サイトの一部のページと多言語予約サイトです。楽天は、セキュリティの専門チームが監視した結果、当該サイト以外では同様の事象は確認されていないとしています。
Q4. 宿泊客のクレジットカード情報は漏れたのですか？
事象①（海外ホテルの予約）で、最大約3万6千件の支払情報（カードの発行者識別番号と下4桁・名義・有効期限・国際ブランド）が対象になりました。カード番号の全桁とセキュリティコードは含まれません。事象②の利用者の情報は、メールアドレスと識別番号です。
Q5. ホテルとして、宿泊客にお知らせを出すべきですか？
自館の管理画面に不正ログインの形跡がなければ、ホテルとしてお知らせを出す義務はありません。ただ、訪日客の多いホテルは、公式サイトやメッセージの定型文に「当館はリンクからカード情報の入力をお願いしません」と一文入れておくと、問い合わせが減り、被害も防げます。
Q6. 楽天トラベルを名乗るメールが届きました。本物か見分ける方法は？
メールの見た目で見分けるのは難しいので、リンクを使わないのが確実です。楽天トラベルの公式サイトや、ブックマークした管理画面から自分でたどって、同じお知らせや依頼が出ているかを確かめてください。
出典：楽天グループ「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ【楽天トラベル】」（2026年10月26日）、楽天グループ「多言語予約サイトに関するお問い合わせ」フォーム（2026年10月27日確認）、ポラリス・ホールディングスの開示（2026年5月28日、TRAICYの報道による）、個人情報の保護に関する法律施行規則（e-Gov法令検索）
コメント