楽天トラベルへの不正アクセスで最大約260万件などが対象に。何が分かり、何が分かっていないのか

1はじめに

2026年10月26日、楽天グループ株式会社は、旅行予約サービス「楽天トラベル」のサイトに「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」を掲載しました。海外ホテル予約サイトのうち、楽天グループの子会社であるRakuten Travel Xchangeが管理・運営する一部のページと、楽天グループが管理・運営する多言語予約サイトに、社外の第三者による不正アクセスがあったことを確認したという内容です。

発表は2つの事象を1本にまとめています。事象①は海外ホテル予約サイトの一部ページ、事象②は多言語予約サイトです。対象となった情報は、事象①では予約した利用者とログインした利用者、事象②ではログインした利用者と宿泊施設の従業員で、それぞれ「最大約」の件数が示されています。

発表の当日から、報道各社がこの件を伝えました。ただ、件数が4つに分かれ、同じ「約4万件」が別の意味で2回出てくるため、要約のしかたによっては一部の件数が抜け落ちます。このレポートでは、楽天グループの発表の原文を最初に読み、何が何件なのかを書き分けたうえで、次の問いに答えます。

• 2つの事象は、いつ検知され、いつ改修され、いつ公表されたのか
• それぞれの事象で、どの情報が何件対象になったのか。何は含まれていないのか
• 侵入の経路について、何が公表され、何が公表されていないのか
• 10月上旬の「楽天会員1億100万件」の販売投稿と、どう違うのか
• 旅行や宿泊の予約情報は、なぜ狙われるのか
• 利用者、宿泊施設、企業は、いま何を確かめればよいのか

22つの事象と、公表までの経緯

事象①の異常の検知は9月10日、事象②の不正アクセスの可能性の検知は10月20日で、約6週間離れています。楽天グループは、どちらについても、検知のあと原因を特定し、システムを改修したと書いています。公表は2つ同時に、10月26日に行われました。

事象①では、改修の完了（9月16日）から公表（10月26日）まで40日あります。発表には、改修のあとに「社内調査の結果」対象となった情報を確認したと書かれていますが、その確認がいつだったかは書かれていません。公表までの期間の多くが調査に使われたのかどうかは、発表からは分かりません。

楽天グループは、時期も運営する会社も違う2つの事象を、1本の発表にまとめました。発表の中では「事象①」「事象②」と見出しを分け、概要、対象となる情報、問い合わせ先をそれぞれ別に書いています。2つをまとめて公表した理由は書かれていません。読む側は、どの件数がどちらの事象のものかを、見出しで確かめながら読む必要があります。

発表の掲載先は楽天トラベルのサイトです。編集部が10月26日20時40分ごろに確認した時点では、楽天グループのコーポレートサイトの「プレスリリース」と「お知らせ」の一覧に、この件の掲載はありませんでした。

3事象①：海外ホテル予約サイトの一部ページ

事象①の舞台は、楽天トラベルの海外ホテル予約サイトのうち、子会社のRakuten Travel Xchangeが管理・運営する一部のページです。業界紙のトラベルボイスによると、Rakuten Travel Xchangeはシンガポールを拠点に、楽天グループで宿泊施設のホールセールと旅行テクノロジー事業を担う会社で、楽天トラベルの在庫に加えて、世界のホテルの在庫を仕入れて流通させています。

楽天グループは、事象①で対象となった情報を、予約した利用者とログインした利用者の2つに分けて示しています。

予約した利用者の情報には、施設名と予約金額を含む予約情報と、同伴者の氏名と居住国が含まれます。同伴者は、楽天トラベルを自分で使っていない人の場合もあります。楽天グループは「対象となる利用者様・予約者様」に個別に連絡するとしていますが、同伴者に直接連絡するかどうかは発表に書かれていません。予約した人から同伴者に伝えることが、同伴者が事案を知る主な道になると考えられます。ログインした利用者の最大約260万件は、件数が最も多い一方、項目は氏名、メールアドレス、電話番号、社内用の識別番号に限られています。

支払情報に含まれるもの、含まれないもの

楽天グループは、事象①の支払情報に含まれる項目を示し、事象①の予約者の項目の直後に、含まれない情報についての注記を付けています。この注記は、ログインした最大約260万件の項目の前に置かれており、260万件にかかるかどうかは発表の書き方からは読み取れません。

発行者識別番号と下4桁、名義、有効期限がそろうと、カードの番号の全桁はなくても、「どの会社の、末尾が何番のカードか」を示すことができます。これは一般論ですが、カード会社や予約サイトを名乗る連絡で、本物らしく見せる材料になりえます。楽天グループは、対象の利用者に個別に連絡し、注意喚起を行い、二次被害の防止措置を講じるとしています。

対象となったページのエリア

楽天グループは、事象①の対象となった海外ホテル予約ページのエリアも示しています。対象は宿泊先のエリアで、利用者の居住地ではありません。

4事象②：多言語予約サイト

事象②の舞台は、楽天グループが管理・運営する多言語予約サイトです。楽天トラベルのサイトの言語切り替えからは、英語、韓国語、繁体字中国語（台湾・香港）、簡体字中国語、タイ語、インドネシア語、ベトナム語のページに移ります。発表に載っている事象②の問い合わせ先は、英語、韓国語、繁体中文（香港）、繁體中文（台灣）の4つです。

事象②の利用者の情報は、メールアドレスと社内用の識別番号の2項目です。氏名や電話番号、予約情報、支払情報は、事象②の対象の項目に挙げられていません。一方、事象②には利用者だけでなく、宿泊施設の側で多言語予約サイトの管理画面を使う従業員の情報が含まれています（6章）。

事象②は、検知した10月20日のうちに原因を特定し、翌21日に改修を終えています。検知から公表までは6日でした。

10月26日20時40分ごろの時点で、編集部は英語版のサイト（travel.rakuten.com）のトップページから、同じ内容のお知らせへのリンクを見つけられませんでした。楽天グループは対象者に個別に連絡するとしており、その連絡がどの言語で届くかは発表に書かれていません。

楽天グループが挙げた対応

発表の後半には「当社の対応」として、アクセス経路の遮断、システムの改修、お知らせのサイト掲載とお客様への個別通知、個人情報保護委員会と国外の各関係当局への報告の4つが挙げられています。あわせて、当社のセキュリティ専門チームによるモニタリングの結果、当該サイト以外では同様の事象は確認されていないこと、本件を厳粛に受け止め、セキュリティ対策の強化など再発防止に引き続き取り組むことが書かれています。

「アクセス経路の遮断」という言葉からは、第三者が使った経路を楽天グループが特定し、閉じたことが読み取れます。一方で、その経路が何だったのか（脆弱性なのか、認証情報なのか、設定なのか）は書かれていません。再発防止策の具体的な内容も、10月26日時点では公表されていません。

54つの「最大約」を読み分ける

発表に出てくる件数を並べると、最大約260万件、最大約4万件、最大約3万6千件、最大約86万件、最大約4万件の5つです。このうち最大約3万6千件は予約者の約4万件の内数なので、独立した集団は4つになります。どの件数にも「最大約」が付いています。

件数の多い順に並べると、事象①のログイン者（最大約260万件）、事象②のログイン者（最大約86万件）が上位で、事象①の予約者と事象②の従業員はどちらも最大約4万件です。4つを足すと最大約354万件になりますが、楽天グループは合計を示していません。同じ人が事象①と事象②の両方に含まれる場合や、事象①の予約者がログイン者にも含まれる場合があるかどうかは公表されていないため、足した数を「影響を受けた人の数」として扱うことはできません。

要約で件数の一部が抜けることがある

編集部が10月26日20時40分ごろまでに見た報道には、5つの件数をすべて書いたものと、一部の件数だけを挙げたものがありました。一部だけを挙げた要約の中には、事象①の予約者の約4万件（うち支払情報約3万6千件）と事象②のログイン者の約86万件だけを挙げ、事象①のログイン者の最大約260万件と、事象②の従業員の最大約4万件が入っていないものもありました。

要約だけを読むと、事象①の対象は約4万件と受け取れます。実際には、事象①の件数として最も大きいのは、ログインした利用者の最大約260万件です。件数の多い発表では、要約のどこかで内訳が落ちることがあります。数字を引用するときは、発表の原文の該当箇所に当たることが確実です。

6宿泊施設の従業員の情報

事象②の最大約4万件は、多言語予約サイトの「管理画面で入力された」宿泊施設の従業員のアカウント名、メールアドレス、社内用の識別番号です。楽天グループは、宿泊施設の関係者向けに別の問い合わせフォームを用意しています。発表には、パスワードが事象②の対象に含まれるかどうかの記載はありません。事象①の「パスワード…も含まれておりません」という注記は、事象①の予約者の項目の直後に付いており、ログインした最大約260万件や事象②にかかるものかは、発表の書き方からは読み取れません。

宿泊施設の従業員のメールアドレスとアカウント名は、それだけで予約を操作できる情報ではありません。ただ、一般に、宿泊施設の担当者は予約サイトの運営会社からの連絡を日常的に受け取っています。運営会社を装った連絡が担当者に届くと、本物との見分けがつきにくくなります。これは一般論で、本件で従業員あての不審な連絡が確認されたとは公表されていません。

対象となった施設の従業員は、楽天グループの宿泊施設向けフォームで、自分の情報が含まれるかを問い合わせることができます。あわせて、多言語予約サイトの管理画面のパスワードを、ほかのサービスと使い回していないかを確かめておくと、今後の不正なログインへの備えになります（編集部の推奨）。

Microsoftは2025年3月、旅行予約サイトのBooking.comを装うメールで宿泊業の担当者を狙う攻撃を報告しました。偽のCAPTCHA（人間かどうかを確かめる画面）を表示して、利用者に不正なプログラムを実行させる手口で、目的は認証情報の窃取と金銭の詐取とされています。Booking.comも宿泊施設向けのページで、フィッシングとなりすましメールの見分け方と、疑わしいメールを受け取ったときの報告の方法を案内しています。Booking.comの案内は、急がせる言い回しや、送信元のアドレスの不自然さを見分けの手がかりに挙げ、疑わしいメールを報告すること、送信ドメインの認証の仕組み（DMARC）を使うことなどを勧めています。Microsoftは、同じ攻撃者が2023年には、Booking.comを使う宿泊客を似た手口で狙っていたとも報告しています。宿泊施設の担当者と宿泊客の両方が、同じ種類の手口の対象になってきたことが分かります。宿泊施設の担当者のメールアドレスが外に出た場合、こうした連絡への備えが一段と大切になります。

7分かっていること、分かっていないこと

10月26日時点で、楽天グループの発表はこの1本です。侵入の経路や原因の中身は、まだ公表されていません。

4つの集団のすべてに「社内用の識別番号」が含まれています。楽天グループは、この番号が何に使われるものかを説明していません。一般に、社内用の識別番号は、それだけで本人に連絡したりログインしたりできる情報ではありません。ただ、同じ番号を使う別のデータと突き合わせると、事象①と事象②の両方に含まれる人を見つける手がかりになりえます。これは一般論で、本件でそうした突き合わせが起きたとは公表されていません。

発表は「不正アクセスの対象となった」という言い方で書かれています。対象となった情報が実際に外部へ持ち出されたのか、閲覧された可能性があるという段階なのかは、発表の文言からは区別できません。このレポートでは、発表の言い方に合わせて「対象となった」と書いています。

発表の言葉が示すこと、示さないこと

漏えいの発表では、似た言葉がそれぞれ別のことを指します。楽天グループの発表に出てくる言葉を、示していることと示していないことに分けて整理します。

10月にはJPCERT/CCが、国内で相次ぐ不正アクセスについて注意喚起を出し、公開しているアプリを解析してAPIの入り口や鍵を特定する手口や、既知の脆弱性を探して悪用を試みる手口などを報告しています。JPCERT/CCは、すべての事案で同じ手口が使われたことを示すものではないと断っています。楽天トラベルの事案がこれらに当たるかどうかは、公表された情報からは分かりません。

8別件：「楽天会員1億100万件」の販売投稿

10月上旬には、楽天の会員情報とされるデータの販売投稿が話題になりました。今回の楽天トラベルの発表とは別の件です。混同を避けるため、分かっていることを並べます。

ITmedia NEWSの10月7日の記事によると、盗んだデータなどが売買されるサイバー犯罪フォーラムに、楽天の会員情報とするデータ約1億100万件を販売すると主張する投稿が現れ、投稿は4日に確認されたと報じられました。販売者は「楽天のデータベース」と説明し、約1億100万件を700ドルで販売すると記載していたとされます。楽天グループはITmedia NEWSの取材に「情報漏えいが発生したという事実は確認されておりません」と回答し、投稿に掲載されたサンプルデータについても「該当するアカウント等は確認されておりません」と回答しました。

販売投稿の件数（約1億100万件）と、楽天トラベルの発表の件数（最大約260万件など）は、桁も中身も違います。販売投稿について楽天グループは漏えいを確認していないと回答しており、今回の楽天トラベルの発表もその投稿との関係に触れていません。そのため、このレポートでは、楽天トラベルの事案を「1億件の漏えいの一部」とは扱いません。

同じ月に公表された「楽天ドライブ」の件

販売投稿の報道と同じ週の10月6日には、クラウドストレージ「楽天ドライブ」のサポートサイトに「【重要】『楽天ドライブ』における不正アクセスの発生について」が掲載されました。それによると、第三者が楽天ドライブで使う一部システムの管理用アカウントの認証情報を不正に取得し、システムにアクセスしたことで、次の情報が取得・閲覧されたことを確認したとしています。1つ目は2026年8月27日、687件のアカウント名・ディスプレイネーム・プロフィール用画像URL。2つ目は同じ日、313件の、同じ項目に加えて暗号化されたパスワードと、暗号化の際に加えた文字列。3つ目は1月29日から9月17日、1万5382件の保存データ（写真・文書等を含む）です。発表元の会社名は、報道によって楽天モバイル、楽天シンフォニーと書き方が分かれています。

ITmedia NEWSによると、同誌が販売投稿と楽天ドライブの件の関連を楽天グループに質問したところ、回答は楽天ドライブについて顧客に案内しているというもので、関連の有無には触れていませんでした。楽天ドライブの件は、侵入の原因（管理用アカウントの認証情報の不正取得）が公表されている点で、原因が公表されていない楽天トラベルの件と違います。楽天ドライブの件と楽天トラベルの件の関係も、どちらの発表にも書かれていません。

9旅行・宿泊の予約情報が狙われる理由

旅行や宿泊の予約情報には、氏名や連絡先に加えて、いつ、どこに泊まるか、いくら払うかが含まれます。予約の内容を知っている相手からの連絡は、本人には本物の連絡に見えます。2026年9月以降に国内で公表された宿泊予約の事案では、この点が実際の被害の形として現れました。

宿泊予約サイトコントローラー「TEMAIRAZU」を提供する手間いらず株式会社は、9月21日深夜ごろに、複数の宿泊施設から、予約者にWhatsAppやメール、SMSなどで不審なメッセージが届いているとの連絡を受けたと発表しました。メッセージには、予約の確認・確定、クレジットカード情報の再入力、緊急の支払いなどを求めるものがあったとされます。同社は10月9日、最大で約445万人分の宿泊予約情報が第三者に閲覧または取得された可能性があると公表しています。

楽天トラベルの事象①の予約者の情報には、施設名と予約金額、同伴者の氏名、カードの下4桁などが含まれます。こうした組み合わせは、一般に、なりすましの連絡を本物らしく見せる材料になります。楽天グループは、対象となった情報のみでは決済の不正利用はできないとしたうえで、対象の利用者に個別の連絡と注意喚起を行うとしています。本件に起因すると考えられる二次被害は、現時点で確認されていないとしています。

10旅行予約の業界で起きた過去の事案

旅行予約の会社や宿泊の予約を扱うシステムは、国内外で繰り返し不正アクセスの対象になってきました。公表された内容がはっきりしている事案を並べます。いずれも楽天トラベルの事案とは別の事案で、手口が同じだという意味ではありません。

JTBの事案について、日本経済新聞は、送信元のメールアドレスが取引先の全日本空輸のものを装っており、従業員は疑いを持たなかったと伝えています。旅行の会社は、航空会社やホテル、提携先と日常的にメールをやり取りします。取引先を装う連絡が紛れ込みやすい業種だという点は、6章で触れた宿泊施設の担当者を狙う手口とも重なります。

Marriottの事案では、攻撃は2014年に買収前のStarwoodの予約システムで始まり、Marriottは2016年にStarwoodを買収しました。英国の情報コミッショナー局は2020年10月、この件でMarriottにGDPR違反として1840万ポンドの制裁金を科しました。

2026年の秋には、旅行の分野で事案の公表が重なりました。The Japan Timesは10月9日、アドベンチャー、エイチ・アイ・エス、手間いらずの3社の事案をまとめて報じています。これらの事案と楽天トラベルの事案の関係は、どの会社の発表にも書かれていません。

The Japan Timesによると、skyticketを運営するアドベンチャーは、不正アクセスを遮断して調査を進めるとともに、保存したクレジットカードでの支払いを一時停止し、メールやテキストメッセージ、電話を使ったフィッシングへの注意を呼びかけました。エイチ・アイ・エスは、公表が遅れた理由について、個人情報と関係のない大量のデータが混ざっていて、手作業の調査が難しかったと説明しています。事案が起きてから公表までの期間は、調査の難しさによって大きく変わります。楽天トラベルの事象①で、改修から公表までに40日あった理由は公表されていません。

公表までの期間は、事案ごとに数日から10か月ほどまで幅があります。調査で何を確かめてから公表するか、確かめ終わる前にどこまで知らせるかの判断は、会社によって分かれます。一方で、利用者の側から見ると、気づいた時期と公表の時期の間に、なりすましの連絡が届く可能性があります。手間いらずの事案は、不審なメッセージが届いたことで発覚しました。

11国内の報告の決まりと、海外の規制

楽天グループは、本件を日本の個人情報保護委員会と、国外の各関係当局に報告したとしています。報告の日付と、海外のどの当局に報告したかは公表されていません。ここでは、日本と、事象に関わりうる国・地域の決まりを一般論として整理します。

日本：個人情報保護法の漏えい等報告

個人情報保護法は、要配慮個人情報が含まれる場合、財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合、1,000人を超える場合のいずれかにあたる漏えい等（そのおそれを含む）について、個人情報保護委員会への報告と本人への通知を求めています。報告は、速やかに（概ね3〜5日以内）行う速報と、30日以内（不正の目的をもって行われたおそれがある場合は60日以内）の確報の2段階です。

期限は、事業者が報告の対象となる事態を「知った日」から数えます。法律事務所の解説によると、個人情報保護委員会はパブリックコメントへの回答で、日数に土日・祝日を含むこと、初日を含めて数えることを示しています。楽天グループが報告の対象となる事態をいつ知ったかは公表されていないため、本件の報告が期限のどこに当たるかは、公開された情報からは判断できません。

本人への通知について、個人情報保護委員会は、状況に応じて速やかに、概要、個人データの項目、原因などを、本人にとって分かりやすい方法で知らせるよう求めています。通知が難しい場合は、ホームページでの公表や問い合わせ窓口の設置といった代替措置もとれるとしています。楽天グループは、サイトでの掲載と個別の連絡の両方を行うとしています。

事象①の対象エリアにはヨーロッパが含まれ、事象①のページを管理・運営するRakuten Travel Xchangeはシンガポールを拠点にしています（トラベルボイス）。ただし、海外の規制が適用されるかどうかは、事業者の拠点だけでなく、利用者の所在や処理の形などで決まります。GDPR第33条は、侵害が個人の権利と自由にリスクを生じさせる可能性が低い場合を除いて、管理者に監督機関への通知を求めています。シンガポールの個人データ保護委員会の案内は、影響を受けた人が500人以上の侵害を「重大な規模」とし、所定の個人データが含まれていなくても通知が必要だとしています。楽天グループは日本以外の当局にも報告したとしていますが、その国や当局は公表されていません。

個人情報保護委員会は10月7日、相次ぐ漏えいを受けて「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を公表しました。報道によると、フィッシングに強いものを含む多要素認証、不正アクセスの兆候を早く見つける監視、不要になった個人データの消去などの対策例を示しています。認証の対策例は、組織の外からのアクセス、管理者の権限でのアクセス、重要な個人データへのアクセスの3つの場面を挙げています。予約サイトでは、宿泊施設の担当者が外部から管理画面に入ることが日常的にあり、事象②で従業員の情報が対象になったことを考えると、施設向けの管理画面の認証をどう強めるかは、予約の仕組みを運営する企業に共通する論点になります。

JPCERT/CCの注意喚起は、APIを通じたアクセスへの対策として、単位時間あたりのリクエストの件数を制限すること、ログインやパスワードの再設定など悪用のおそれが高い機能に個別の回数制限をかけること、非公開のものを含む各APIの入り口でアクセス制御をかけること、APIのトークンに必要最小限の権限と適切な有効期限を与え、漏えいが疑われたらすぐ無効にできるようにすることを挙げています。さらに、法令や契約で定めた保存期間を過ぎたデータや、利用の目的を終えたデータを残さないことも求めています。予約の仕組みは、外部の予約サイトや施設の管理画面とAPIでつながることが多く、これらの項目は旅行予約の分野でもそのまま当てはまります。本件の原因がAPIに関わるものだったかどうかは公表されていません。

12利用者・宿泊施設・企業が取るべき対応

楽天グループは、対象の利用者・予約者に順次、個別に連絡と注意喚起を行うとしています。問い合わせ先は、事象①が専用のメールアドレス、事象②が言語ごとのフォーム、事象②の管理画面については宿泊施設の関係者向けのフォームです。楽天グループの案内に、一般的な備えを加えて整理します。

宿泊施設と、予約の仕組みを運営する企業が確かめること

手間いらずの事案では、システムを使っていた宿泊施設が、それぞれのサイトで宿泊客に注意を呼びかけました。INTERNET Watchによると、ホテルグランドヒル市ヶ谷は、一部の予約者にWhatsAppで不審なメッセージが送られたことを確認したとして、注意を呼びかけています。予約の仕組みの事案では、宿泊客が最初に問い合わせる相手は、予約サイトではなく宿泊施設であることも少なくありません。施設の側で、どの連絡が本物かを答えられる準備をしておくことが、宿泊客の被害を防ぐことにつながります。

宿泊施設と企業向けの確認項目は、公開された情報と、Microsoft、Booking.com、個人情報保護委員会の資料をもとにKEYRING編集部が整理したものです。関連する事案は、原因別の一覧「不正アクセス」「委託先での事故」でも読めます。

13提言

今回の事案では、運営する会社の違う2つのサイトで、利用者と宿泊施設の従業員の情報が対象になり、件数は4つの「最大約」に分かれました。予約の仕組みを運営する企業と、それを使う宿泊施設に向けて、4つの提言をまとめます。

提言は、公開された情報をもとにKEYRING編集部が考えたものです。

用語集

Rakuten Travel Xchange

楽天グループの子会社。シンガポールを拠点に、宿泊施設のホールセールと旅行テクノロジー事業を担う（トラベルボイス）

多言語予約サイト

楽天トラベルの、日本語以外の言語で予約できるサイト

管理画面

宿泊施設の担当者が、予約サイト上の施設の情報や予約を扱うための画面

発行者識別番号

クレジットカード番号の先頭の数桁。カードを発行した会社を示す

サイトコントローラー

複数の予約サイトの在庫や料金、予約を宿泊施設がまとめて管理するためのシステム

フィッシング

実在の会社などを装った連絡で偽のページに誘い、認証情報やカード情報を入力させる手口

漏えい等報告

個人情報保護法にもとづき、一定の漏えいが起きたときに事業者が個人情報保護委員会へ行う報告。速報と確報の2段階

GDPR

EUの一般データ保護規則。個人データ侵害が起きたとき、監督機関への通知を原則72時間以内に求める

PDPA

シンガポールの個人データ保護法。一定の侵害について、個人データ保護委員会（PDPC）への通知を求める

参考文献

• 楽天グループ（楽天トラベル）「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」2026.10.26
• 楽天グループ「プレスリリース」一覧2026.10.26 閲覧
• 楽天グループ「お知らせ」一覧2026.10.26 閲覧
• TRAICY「楽天トラベル、海外ホテル予約サイトなどに不正アクセス」2026.10.26
• トラベルボイス「楽天Gの旅行グローバル展開を聞いてきた、日本の宿泊施設を世界に流通、世界のホテル在庫を日本の旅行会社に提供」2026.09.28
• ITmedia NEWS「1億件超えの『楽天会員』情報が闇フォーラムで販売？　楽天『漏えいは確認されていない』」2026.10.07
• ITmedia NEWS「『楽天ドライブ』に不正アクセス　保存したデータなど1.5万アカウント分が取得・閲覧のおそれ」2026.10.06
• 楽天ドライブ「【重要】『楽天ドライブ』における不正アクセスの発生について」2026.10.06（10:10時点の版）
• ケータイ Watch「『楽天ドライブ』で不正アクセス、保存データ1万5382件が閲覧・取得」2026.10.06
• INTERNET Watch「宿泊予約管理サービス『TEMAIRAZU』に不正アクセス、予約者に不審なメッセージがあり判明」2026.10.01
• TRAICY「手間いらず、最大約445万人の宿泊予約情報が流出の可能性　不正アクセスで」2026.10.10
• The Japan Times「Data leaks at travel companies could impact millions of customer records」2026.10.09
• 日本経済新聞「『標的型メール』対策急務　JTBで顧客情報流出」2016.06.17
• Hunton Andrews Kurth「ICO Fines Marriott International £18.4 Million for Security Breach」2020.10
• Microsoft Threat Intelligence「Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware」2025.03.13
• Booking.com for Partners「Online security awareness: phishing and email spoofing」2026.10.26 閲覧
• JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」2026.10.08 公開、10.23 更新
• 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」2026.10.26 閲覧
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」2026.10.26 閲覧
• 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」の公表2026.10.07
• ITmedia NEWS「漏えい相次ぐ中、保護委が対策を緊急例示　強い多要素認証やEDR導入、不要な個人データの消去など」2026.10.08
• 牛島総合法律事務所「個人情報の漏えい等報告についてのFAQ」2024.06.19
• GDPR Art. 33「Notification of a personal data breach to the supervisory authority」2026.10.26 閲覧
• シンガポール個人データ保護委員会「Guide on Managing and Notifying Data Breaches under the PDPA」2021.03.15

このレポートは2026年10月26日時点の公開情報にもとづきます。楽天グループが続報を出した場合は、内容を更新します。