楽天トラベルの海外ホテル予約などで最大260万件。カードは「下4桁」まで。それだけで詐欺が本物らしくなる

• 楽天グループが10月26日、楽天トラベルの海外ホテル予約サイトの一部ページと多言語予約サイトに、第三者の不正アクセスがあったと発表した
• 海外ホテル予約では最大約260万件の氏名・メールアドレス・電話番号、予約した最大約4万件の予約内容、そのうち最大約3万6千件の支払情報（カードの下4桁など）が対象
• カードの番号の全桁とセキュリティコードは含まれていない。楽天は、これだけでは不正な決済はできないとしている。ただし、下4桁や泊まったホテルを知っている連絡は、本物に見えやすくなる

発表されたこと

不正アクセスは2つある。

カード番号の全桁、セキュリティコード、パスワード、パスポートなどの身分証の情報、住所は含まれていない。事象1の対象は、ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国・地域の予約で、韓国、台湾、香港、シンガポール、マカオなどは対象外だという。

楽天は、二次被害やほかのサービスへの影響は現時点で確認されていないとし、対象者には順次、個別に連絡するとしている。どうやって入られたのかは公表されていない。

「下4桁」が知られていると、何が起きるか

楽天の説明どおり、発行者識別番号（番号の頭の数桁）と下4桁、名義、有効期限だけでは、ふつうの決済には使えない。それでも、詐欺には使える（ここは筆者の見方）。

• 「末尾1234のカードで不正利用の疑いがあります」と、本当の下4桁を言われると、多くの人は本物だと思う
• 「パリの〇〇ホテル、〇月〇日のご予約について」と、本当の予約内容を書かれると、さらに信じやすい
• そこで「確認のため、カード番号の全桁とセキュリティコードを」と聞かれる。欠けている部分を、本人に言わせるのが狙いだ

知っている情報が正しくても、相手が本物だという証拠にはならない。漏れた情報そのものだからだ。

対象になりうる人がやること

1. カード番号の全桁、セキュリティコード、パスワード、認証コードを、電話やメール、SMSで聞かれても答えない。楽天もカード会社も、それを聞くことはない
2. カードの明細を確かめる。不安ならカード会社に（カードの裏の番号から）相談する
3. 「予約の確認」「支払いの失敗」などのメールのリンクから入らない。楽天トラベルのアプリやサイトを自分で開いて予約を確かめる
4. 問い合わせは、楽天トラベルのお知らせに載っている専用の窓口へ（海外ホテル予約：travel-support@faq.rakuten.co.jp）

宿泊施設の担当者も注意を

事象2では、宿泊施設の従業員のアカウント名とメールアドレスも対象になった。挙げられているのはアカウント名、メールアドレス、社内用の識別番号だが、アカウント名と連絡先が分かれば、施設の担当者をねらった偽のログイン画面への誘導がしやすくなる（ここは筆者の見方）。

予約サイトの管理画面を乗っ取られると、施設を名乗って宿泊客に連絡される危険がある。施設側は、管理画面のパスワードを使い回していないか確かめ、二段階認証があれば設定しておきたい。宿泊客の側も、ホテルを名乗る「追加の支払い」の連絡には、予約サイトやホテルの公式の連絡先で確かめてから応じたい。

9月の検知から、10月26日の発表まで

事象1は、9月10日に異常を検知し、16日に改修を終えている。発表は10月26日で、検知からおよそ1か月半後だった。楽天はその間の社内調査で対象の情報を確認したとしている。対象の確定に時間がかかることはあるが、利用者にとっては、その間に詐欺が来ても気づきにくい。漏えいの発表を見たら、発表より前に届いていた不審な連絡も思い出してみてほしい。

今日だけでも、Joshin、ユミルリンク、バンダイロジパルと、漏えいの発表が続いた。共通する対策は一つで、知っている情報で信用させる連絡ほど、自分で公式の窓口を開いて確かめることだ。

まとめ

• 楽天トラベルの海外ホテル予約サイトの一部ページで最大約260万件、多言語予約サイトで最大約86万件が不正アクセスの対象
• 支払情報は最大約3万6千件で下4桁・名義・有効期限など。全桁とセキュリティコードは含まれない
• 下4桁や予約内容を知っている連絡でも、全桁やコードを聞かれたら詐欺
• 宿泊施設は管理画面の守りを、宿泊客はホテルを名乗る追加の支払いに注意

出典

• 楽天トラベル「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」（2026年10月26日。経緯、対象の情報、対象地域、問い合わせ先）
• ロイター「楽天トラベル、顧客情報260万件に不正アクセス　クレジットカード情報3.6万件」（2026年10月26日配信）

本記事は2026年10月26日時点の公式発表に基づく。下4桁を使った詐欺、宿泊施設をねらう手口、発表までの期間についての記述は筆者の見方である。