楽天グループは10月26日、旅行予約サービス「楽天トラベル」の海外ホテル予約サイトの一部ページと多言語予約サイトに第三者による不正アクセスがあったと発表した。海外ホテル予約サイトでは最大約260万件、多言語予約サイトでは最大約86万件の利用者情報が対象となる。このうち、海外ホテル予約ページから予約した最大約3万6000件にはクレジットカードの一部情報も含まれる。
海外ホテル予約サイトでは、子会社のRakuten Travel Xchangeが管理・運営する一部ページで9月10日に異常を検知した。15日に原因を特定し、16日にシステム改修を完了している。その後の調査で、同サイトにログインした最大約260万件の顧客の氏名、メールアドレス、電話番号、社内用の識別番号が不正アクセスの対象となったことが判明。また、子会社が管理・運営する一部ページから予約した最大約4万件の顧客についても、氏名や連絡先、宿泊施設名、予約金額、同伴者の氏名などが対象に。このうち最大約3万6000件には、クレジットカードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分が含まれる。カード番号の全桁やセキュリティコード、パスワード、住所、パスポートなどの身分証明書情報は含まれていないという。
一方、多言語予約サイトでは10月20日に不正アクセスの可能性を検知し、同日中に原因を特定。翌21日にシステム改修を完了した。調査の結果、同サイトにログインした最大約86万件の顧客のメールアドレスなどに加え、管理画面に入力された最大約4万件の宿泊施設従業員のアカウント名やメールアドレスなどが不正アクセスの対象となったことが分かった。
同社は不正アクセスの経路を遮断するとともに、システムを改修。対象となる利用者に順次個別通知し、注意喚起を行っている。なお、今回対象となった情報だけでは決済やキャッシングなどの不正利用はできないとしている。