楽天トラベルの不正アクセス報道を見たら：予約確認とアカウント保護の手順

楽天グループは2026年10月26日付で、楽天トラベルの一部海外ホテル予約ページと多言語予約サイトへの不正アクセスについて告知しました。告知では、影響を受けた可能性のある情報の範囲、対処、個別連絡の方針を説明しています。これは「楽天トラベルの全利用者のパスワードが流出した」という発表ではありません。まず対象サイトと自分の予約経路を分けて確認しましょう。

2026年10月26日付の公式告知で分かること

告知は二つの事象を区別しています。第一は、Rakuten Travel Xchangeが管理・運営する一部の海外ホテル予約ページです。楽天の説明では、2026年9月10日に異常を検知し、9月15日に原因を特定、9月16日にシステム改修を完了しました。対象となった情報には、最大約4万件の予約者情報・予約情報が含まれ、そのうち最大約3万6,000件は支払い情報も対象でした。また、該当ページにログインした最大約260万件について、氏名、メールアドレス、電話番号、社内用識別番号が対象情報として挙げられています。

第一の事象について、告知はカード番号全桁、セキュリティコード、パスワード、パスポートなどの身分証明書情報、住所は含まれないと明記しています。支払い情報にはカード発行者識別番号と下4桁、名義、有効期限、ブランド区分が含まれたものの、その情報のみでは不正決済などはできないとも説明しています。

第二は楽天トラベルの多言語予約サイトで、2026年10月20日に不正アクセスの可能性を検知し、10月21日にシステム改修を完了したとしています。対象情報として、同サイトにログインした利用者最大約86万件のメールアドレスと社内用識別番号、さらに管理画面に入力された宿泊施設従業員最大約4万件のアカウント名、メールアドレス、社内用識別番号が記されています。告知時点で、同社は対象サイト以外で同様の事象を確認しておらず、本件に起因すると考えられる二次被害も確認していないとしています。

詳しい対象条件や個別の問い合わせ先は楽天トラベルの公式告知で確認できます。対象に該当する利用者には個別連絡を順次行うとされています。通知が届いたかどうかだけで対象・対象外を自己判断せず、海外ホテル予約の有無や予約番号も確認してください。

架空の例で見る、確認の進め方

以下は手順を説明するための架空例です。Aさんが以前に海外ホテルを予約し、不正アクセスのニュースを見て不安になったとします。予約やアカウントに問題が実際に起きたという事例ではありません。Aさんは、メールのリンクを押す前に公式告知を自分で開き、予約を照合し、必要な場合だけパスワードを見直します。

1. メールのリンクを使わず、公式告知を開く

検索結果や保存済みのブックマークから楽天トラベルの公式サイトへ進み、そこから告知とヘルプを確認します。不正アクセスの報道後は「予約が停止された」「本人確認が必要」などと急がせる偽メールが届く可能性もあります。送信者名だけで本物と判断せず、メール内のURL、添付ファイル、返信先に注意してください。楽天は一部メールサービスでブランドシンボル等を表示する仕組みを案内していますが、表示の有無だけで正規・偽装を断定できるわけではありません。

旅行予約サービスのログイン画面を模した概念図。メール内リンクではなく公式サイトを自分で開く確認場面。 — 公式サイトをブックマークなどから開いてログイン先を確かめる場面の概念図。実際の楽天トラベル画面ではありません。

2. ログイン通知とパスワードを見直す

楽天トラベルのログインページは、他サイトと同じID・パスワードを使い回さないことと、ログインアラートの設定を案内しています。まだ設定していなければ、公式ページからログインアラートを確認してください。今回の告知では、第一の事象はパスワードが対象外と明記され、第二の事象も公表された対象情報の一覧にパスワードは記載されていません。そのため、ニュースを見ただけで一律に変更が必須と決めつける必要はありません。一方、同じパスワードを他サービスで使っている、メール内リンク先に入力してしまった、見覚えのないログイン通知がある場合は、公式の会員管理画面から変更し、使い回していたサービスもそれぞれ別のパスワードにしてください。メールアカウント側のパスワードも使い回しているなら、そちらも見直します。

パスワード変更とログイン通知を確認する画面の概念図。実際の設定画面の配置を示すものではない。 — パスワードの使い回しを避け、ログインアラートを確認する場面の概念図。実際の設定画面の配置を示すものではありません。

3. 予約一覧と確認メールを照合する

公式サイトに直接ログインしたら、予約一覧で「現在の予約」「過去の予約」「キャンセル済」を順に確認します。施設名、宿泊日、代表者と同行者、泊数、金額、支払い方法、キャンセルや変更の履歴を予約完了メールと照らし合わせてください。過去・キャンセル済みの一覧は表示期間が初期設定のままでは古い予約が見えないことがあるため、必要に応じて期間も変更します。身に覚えのない予約や変更があっても、まず予約を勝手にキャンセルせず、確認メールに記載された施設や公式の問い合わせ先へ連絡してください。予約を取り消すとキャンセル料が発生する場合があります。

予約が見つからなくても、ただちに不正アクセスとは限りません。楽天のヘルプによると、予約時と異なる楽天IDでログインしている、会員IDを使わない予約だった、または表示中のタブが違う可能性があります。非会員予約は、予約完了メールにある予約番号と確認キーで確認します。予約確認メールも一覧への反映もない場合は、少し待ってから公式ヘルプの案内に沿って問い合わせます。

現在の予約、過去の予約、キャンセル済みの区分を見比べる予約一覧の概念図。個人情報は架空で伏せてある。 — 「現在の予約」「過去の予約」「キャンセル済」の区分を確認する予約一覧の概念図。表示された予約情報は架空です。

4. 「RTRVO～」の海外予約は専用ページで確認

海外ホテルの予約番号が「RTRVO～」で始まる場合、楽天の公式ヘルプはRakuten Travel Xchangeシステム提供の予約として案内しています。この予約は通常の楽天トラベル予約確認ページには表示されず、専用ログインページで確認・管理します。したがって、通常の一覧に出ないだけで予約消失や不正アクセスと判断しないでください。まず「RTRVO～」予約についての公式ヘルプを読み、案内された専用ページから確認します。メールに記載された不審なリンクから専用ページへ移動するのは避けましょう。

「RTRVO～」で始まる海外予約を専用ページで確認する場面の概念図。予約内容は架空で伏せてある。 — 「RTRVO～」で始まる海外予約を専用ページで確認する場面の概念図。表示された予約情報は架空です。

異常を見つけたときの連絡と限界

予約内容や連絡先が自分の記録と違う場合は、予約を変更・取消する前に、公式告知に掲載された問い合わせ窓口または宿泊施設へ確認する。
カード利用明細に身に覚えのない請求があれば、カード裏面などから発行会社へ連絡する。公表情報だけで決済できないとされていても、明細の確認は続ける。
偽メールのURLにパスワードを入力した場合は、メールへの返信を止め、公式サイト経由でパスワードを変更する。同じパスワードを使っていたサービスも更新する。
問い合わせる際は予約番号など必要な情報だけを公式窓口に伝える。パスワード、ワンタイムコード、カードのセキュリティコードはメール返信や一般の問い合わせ欄に書かない。

告知の対象範囲は、楽天トラベルの一部海外ホテル予約ページと多言語予約サイトです。全利用者のアカウントが侵害されたと結論づける資料ではありません。また、個別連絡を受け取っていないことだけで、対象外だと確定することもできません。予約した地域・サイト、予約番号、登録メールアドレスを手掛かりに、公式告知と自分の予約記録を照合するのが現実的です。