楽天トラベルに不正アクセス、3.6万件のカード情報でも不正決済できないのはなぜ？最大260万件の中身

2026年10月26日、楽天グループは楽天トラベルへの不正アクセスを発表した。対象は最大約260万件の個人情報と約3.6万件の支払情報だ。カード情報を含むのに不正決済はできないとする説明が論点になっている。

クレジットカードの情報が漏れたと聞けば、まず勝手に使われる心配が浮かぶ。それなのに楽天は、今回の支払情報だけでは不正利用はできないと説明した。なぜそう言えるのか。そして利用者は本当に何もしなくてよいのか。

• 海外ホテル予約サイトでログイン利用者の情報が最大約260万件対象になった
• 支払情報は約3.6万件で、カード番号の頭と下4桁、名義、有効期限が対象だ
• カード番号の全桁とセキュリティコード、パスワードは含まれない
• 多言語予約サイトでも最大約86万件のメールアドレスなどが対象になった
• 楽天は対象者に順次個別に連絡し、二次被害への注意喚起を行うとしている

2つのサイトで何が起きたか

今回の発表は、性格の違う2つの事象をまとめたものだ。楽天トラベルの公式お知らせによると、1つ目は海外ホテル予約サイトの一部ページで起きた。このページは子会社のRakuten Travel Xchangeが管理・運営している。

時系列はこうだ。2026年9月10日に異常を検知し、9月15日に原因を特定した。翌16日にはシステムの改修を終えている。その後の社内調査で、利用者の情報が不正アクセスの対象だったと分かった。

2つ目は外国語で使う多言語予約サイトだ。10月20日に不正アクセスの可能性を検知し、同じ日に原因を特定した。改修は21日に終わっている。

対象地域はヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国・地域だ。韓国や台湾、香港などは対象外とされる。楽天はアクセス経路を遮断し、個人情報保護委員会と国外の当局に報告した。

では、260万件という数字には何が含まれているのか。次に中身を分けて見ていく。

260万件と3.6万件の違い

報道で目立つ「最大約260万件」は、海外ホテル予約サイトにログインした利用者の数だ。対象は氏名、メールアドレス、電話番号、社内用の識別番号である。この260万件にカード情報は含まれない。

カード情報が関わるのは、実際にそのページで予約した人だ。予約者は最大約4万件で、居住国や施設名、予約金額、同伴者の氏名なども対象になった。このうち最大約3万6千件に支払情報が含まれる。

支払情報の中身は限られている。カードの発行者識別番号と下4桁、名義、有効期限、国際ブランドの区分だ。発行者識別番号はカード番号の頭の数桁で、どの会社のカードかを示す。

多言語予約サイトでは、ログイン利用者の最大約86万件が対象だ。こちらはメールアドレスと識別番号だけである。宿泊施設の従業員アカウントも最大約4万件対象になった。INTERNET Watchの集計では、単純合計は約354万件になる。

一方で、どの対象者にも含まれない情報がある。カード番号の全桁とセキュリティコード、パスワード、パスポートなどの身分証の情報、住所だ。この「含まれない」側に、決済に使えない理由がある。

なぜ下4桁では決済できないのか

楽天のお知らせは「今回対象となる支払情報のみでは、決済（お買い物・旅行予約）やキャッシングなどの不正利用は出来ません」と書く。理由の中心は、カード番号の全桁がそろっていない点にある。

ネットでカードを使うには、カード番号を全桁入力する必要がある。今回漏れたのは頭と末尾だけで、真ん中の数桁が欠けている。さらに、裏面のセキュリティコードも対象外だ。名義と有効期限があっても、番号が欠けていれば決済の入力はできない。

この「頭と下4桁」という組み合わせには意味がある。カード業界の国際的な安全基準PCI DSSは、画面に表示してよい番号を最大で先頭6桁と末尾4桁までとしている。つまり今回の範囲は、基準上は表示が認められる部分に収まる。

日本の被害統計も、全桁の重要さを示す。日本クレジット協会によると、2025年のカード不正利用被害は510.5億円だった。このうち番号盗用が475.4億円で、全体の約93%を占める。被害の大半は、番号そのものを盗んで使う手口によるものだ。

ただし、決済に使えないことと、悪用されないことは別の話だ。次の節では、残るリスクを見ていく。

それでも残る偽メールのリスク

今回の情報には、氏名、メールアドレス、電話番号がそろっている。予約者なら施設名や予約金額も対象だ。こうした情報は、本物らしい偽メールの材料になりうる。

フィッシングの規模は大きい。フィッシング対策協議会への報告は、2025年3月に24万9936件と過去最多を記録した。同じ月にかたられたブランドは84あり、クレジット・カード系が24で最も多かった。

カードの下4桁や予約内容が文面に入っていれば、受け取った人は本物と思いやすい。そこでカード番号の全桁やセキュリティコードを入力させられれば、漏れていなかった情報まで渡ってしまう。

同じ構図は、ほかの企業の情報漏えいでも指摘されてきた。バーガーキングの会員情報漏えいで偽メールや電話への注意が呼びかけられた例を読むと、パスワードが無事でも警戒が要る理由がつかめる。

楽天は、対象者に順次個別の連絡と注意喚起を行うとしている。二次被害を防ぐ措置も講じるという。現時点で、本件による二次被害は確認されていない。

最後の整理の前に、利用者が気になりそうな疑問に答えておく。

よくある質問

Q. 日本の国内宿を楽天トラベルで予約した人も対象か？

発表の対象は、Rakuten Travel Xchangeが運営する海外ホテル予約サイトの一部ページと、多言語予約サイトの2つである。対象地域はヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部とされる。対象者には楽天から順次個別に連絡が届く。

Q. パスワードは漏れたのか？

漏れていない。楽天の発表では、パスワードはどの対象者についても含まれないとされる。カード番号の全桁、セキュリティコード、住所、パスポートなどの情報も対象外である。

Q. 楽天トラベルの不正アクセスはいつ分かったのか？

海外ホテル予約サイトでは、2026年9月10日に異常を検知した。9月16日に改修を終え、その後の調査で利用者情報が対象だったと分かった。多言語予約サイトでは10月20日に検知し、翌21日に改修を終えている。

Q. 二次被害は出ているのか？

楽天によると、現時点で本件による二次被害は確認されていない。ほかのサービスへの影響も確認されていないとしている。セキュリティの専門チームが監視を続けている。

Q. 問い合わせ先はどこか？

海外ホテル予約サイトについては、楽天トラベルのお知らせに専用のメール窓口が載っている。多言語予約サイトについては、英語や韓国語など言語別の問い合わせフォームが用意されている。宿泊施設の関係者向けの窓口も別にある。

Q. この先、楽天はどう対応するのか？

楽天は対象者への個別連絡と注意喚起を順次進めるとしている。二次被害を防ぐ措置を講じ、再発防止のためにセキュリティ対策を強めるという。日本の個人情報保護委員会と国外の当局にはすでに報告済みだ。

決済を守ったのは全桁の不在

楽天トラベルの支払情報は、カード番号の頭と下4桁、名義、有効期限に限られていた。全桁とセキュリティコードがないため、それだけでは決済に使えない。これが楽天の説明の根拠である。

一方で、氏名や連絡先、予約内容は約260万件規模で対象になった。決済は守られても、それらを使った偽の連絡には備える必要がある。カード番号やコードを求めるメールには、入力する前に公式サイトから確かめることが身を守る近道だ。