2つのサイトで別々に起きた不正アクセス

楽天グループが公表したお知らせのタイトルは「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」。中身は、時期も対象サイトも異なる2つの事象をまとめて報告したものだ。件数や漏えいした情報の種類はそれぞれ違うため、分けて見る必要がある。

海外ホテル予約サイトの一部ページ（最大約260万件）

1つ目は、楽天グループの子会社「Rakuten Travel Xchange」が管理・運営する海外ホテル予約サイトの一部ページで起きた。9月10日に異常を検知し、15日に原因を特定、16日にシステムの改修を終えた。

漏えいした可能性がある情報は2種類に分かれる。ログインした利用者の情報は最大約260万件で、氏名、メールアドレス、電話番号、社内用の識別番号が含まれる。実際に予約した人の情報は最大約4万件。こちらは氏名や連絡先に加え、居住国、予約した施設名や金額などの予約情報、同伴者の氏名と居住国まで対象となった。

予約者約4万件のうち、最大約3万6千件には支払い情報も含まれていた。対象はカードの発行者識別番号と下4桁、名義、有効期限、国際ブランドの区分だ。

外国人向けの多言語予約サイト（最大約86万件）

2つ目は、楽天トラベルが海外の利用者向けに展開する多言語予約サイトで起きた。10月20日に不正アクセスの可能性を検知すると同日中に原因を突き止め、翌21日に改修を終えている。

対象はログインした利用者の情報が最大約86万件で、内容はメールアドレスと社内用の識別番号。さらに、宿泊施設の従業員が管理画面に登録したアカウント情報も最大約4万件が漏えいした可能性があり、アカウント名、メールアドレス、社内用の識別番号が含まれる。

海外ホテル予約の件と多言語予約サイトの件は、別々の事象として公表された。260万件と86万件を足し合わせた数字は、楽天グループの発表には出てこない。

カード情報は悪用できるのか

利用者が最も気にするのは、カードが不正に使われないかという点だろう。

海外ホテル予約の件で漏えいの可能性がある支払い情報は、カード番号の一部と名義、有効期限などに限られる。楽天グループは、カード番号の全桁とセキュリティコードは含まれていないと明記した。パスワード、パスポートなどの身分証の情報、住所も対象外としている。

そのうえで、同社はお知らせで次のように説明した。

「今回対象となる支払情報のみでは、決済（お買い物・旅行予約）やキャッシングなどの不正利用は出来ません。」

一方で、氏名やメールアドレス、電話番号、予約した施設名といった情報は漏えいの対象に入る。楽天グループは対象となった利用者に個別に連絡し、あわせて注意を呼びかけるとしている。

国内の宿の予約やパスワード変更はどうなる

日本語の通常サイトで国内のホテルや旅館を予約した人は、対象になるのか。

楽天グループは「国内予約は対象外」とは書いていない。示したのは、社内のセキュリティチームが監視した範囲で、2つのサイト以外に同様の事象は確認されていないという説明だった。この件が原因とみられる二次被害や、ほかのサービスへの影響も、現時点では確認されていないとしている。

海外ホテル予約の件には対象地域の線引きがある。ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国・地域が対象で、韓国、台湾、香港、シンガポール、マカオは含まれない。タイ、ベトナム、フィリピン、インドネシアの一部地域と、ハワイ、グアム、ロサンゼルスなど米国の一部地域も対象から外れた。

楽天グループのお知らせには、パスワードの変更を求める記載はない。海外ホテル予約の件では、パスワードは漏えいの対象外と明記されている。多言語予約サイトの件で対象として挙げられた情報は、メールアドレスと社内用識別番号だ。

自分が対象かどうかは、楽天グループからの個別連絡が判断の手がかりになる。問い合わせ窓口は2つの件で分かれており、海外ホテル予約の件はメール（travel-support@faq.rakuten.co.jp）で受け付ける。多言語予約サイトの件は、英語、韓国語、繁体字中国語（香港・台湾）の言語別フォームを楽天トラベルのFAQサイトに用意した。宿泊施設の従業員向けにも専用のフォームがある。電話窓口はお知らせに記載されていない。

発表までの対応と当局への報告

楽天グループは、不正なアクセスの経路の遮断やシステムの改修を行ったと説明している。個人情報保護委員会と国外の関係当局にも報告した。

海外ホテル予約の件は9月中旬に改修を終えていたが、お知らせの掲載は10月26日。多言語予約サイトの件は検知から6日後の公表となった。検知から公表までにかかった日数の差について、お知らせの中で理由は説明されていない。

9月末から大型の流出発表が続く

楽天トラベルの発表は、大規模な情報流出の公表が相次ぐ中で出てきた。

自治体や企業のメール配信システムを手がけるユミルリンクは、不正アクセスで情報が漏えいした恐れのある件数が延べ5162万件を超えたと公表した。同社のシステムを使うJR東海、JR西日本、JR九州の3社からは、新幹線のネット予約サービス「エクスプレス予約」「スマートEX」の会員情報が漏えいした可能性があるとの発表も出ている。佐川急便も最大約5323万件の情報が流出した可能性を明らかにし、家電量販店のジョーシンも、最大600万件余りの個人情報が漏えいした可能性を公表した。報道機関の集計では、9月末からの約1か月で、不正アクセスによる個人情報などの流出は約2億2000万件に上る可能性がある。

旅行の予約には、氏名や連絡先に加えて行き先や日程といった情報が付いて回る。楽天グループからの個別連絡を受け取った利用者は、案内に沿って内容を確かめることになる。

関連記事：ユミルリンクの情報漏えい、延べ5162万件超に拡大　セゾンカードを装う「cuenote.jp」の迷惑メールと、スマートEXなど公表した企業・自治体

関連記事：佐川急便、最大約5,323万件の情報流出の可能性　対象情報と荷物追跡の再開状況

[文/構成 by ライター 飯田タツヤ]