- 重要度
- 重要度：5段階中5 最大約260万件
- 公表日
- 2026.10.26
- 原因の分類
- 侵入口未公表
- 対策可能性
- 判定保留
この記事の3行まとめ
- 楽天トラベルの海外ホテル予約ページなどに、外部の第三者が不正にアクセスした。
- 最大約260万件の利用者情報などが対象で、侵入経路は公表されていない。
- 対象の利用者には会社から個別連絡と注意喚起が行われる。
楽天グループは、楽天トラベルの海外ホテル予約ページの一部と多言語予約サイトに第三者が不正にアクセスしたと公表した。対象は予約者や利用者の氏名、メールアドレス、電話番号などで、最大約260万件の利用者情報が含まれる。一部の予約者については、決済カードの発行者識別番号と下4桁などの支払情報も含まれた。侵入経路は公表されていない。
確認された経路・公表元の推定
- 2026年9月10日、海外ホテル予約ページの一部で異常を検知した。
- 9月15日に原因を特定し、9月16日にシステム改修を完了した。
- 2026年10月20日、多言語予約サイトへの不正アクセスの可能性を検知した。
- 同日に原因を特定し、10月21日にシステム改修を完了した。
- 社内調査で、対象となった利用者情報と宿泊施設従業員のアカウント情報を確認した。
- 2026年10月26日にお知らせを公表し、個人情報保護委員会などへ報告した。
根拠の要点
資料は2つの事象で不正アクセスを確認したと説明している。ただし侵入口、使われた脆弱性、認証情報の利用の有無は書かれていない。そのため原因は侵入口未公表とし、対策の欠落も判定しない。
資料の基準時点：2026年10月26日付のお知らせ（取得日2026-10-27）
当時、対策できたのか
判定保留
資料は侵入経路と、攻撃時点の防御条件（既知の脆弱性への対応状況や認証設定など）を書いていない。そのため対策の欠落は確認できず、判定を保留とする。
公表された対策
- アクセス経路の遮断
- 対象サイトを管理するシステムの改修
- 対象となる利用者・予約者への個別連絡と注意喚起、二次被害の防止措置
- 個人情報保護委員会ならびに国外の各関係当局への報告
- セキュリティ対策の強化など再発防止の継続的な取り組み
この事例を理解するための動画
【GMOサイバー攻撃の全貌】Active DirectoryとRDPの仕組み。なぜクラウドへの侵入が自宅PCの危険につながるのか？
【なりすましと不正アクセス】本物のアドレスから届いた詐欺メールの見分け方まだ分からないこと
- 不正アクセスの侵入経路と、攻撃に使われた脆弱性の有無は資料に書かれていない。
- 不正アクセスを行った主体と手口は資料に書かれていない。
- 侵入の正確な時期は示されず、異常を検知した日だけが書かれている。
- 件数は「最大」の値で、実際に流出した件数は資料に書かれていない。
- 改修の具体的な内容は資料に詳しく書かれていない。