楽天グループは10月26日、旅行予約サービス「楽天トラベル」の海外ホテル予約サイトの一部ページと、多言語予約サイトに不正アクセスがあったと発表した。海外ホテル予約のページでログインした最大約260万件の氏名・メールアドレス・電話番号が対象になり、そのページから予約した最大約4万件のうち最大約3万6千件では、クレジットカードに関する支払情報も含まれる。
日本語のサイトで国内の宿を予約しただけなら、今回の発表の対象には入っていない。関係するのは、ヨーロッパや北米、アジア・オセアニアの一部の国のホテルを楽天トラベル経由で探したり予約したりした人と、外国語版の予約サイトを使った人だ。
2つの事象と、それぞれの対象
楽天の発表は、別々の2つの事象をまとめている。
1つ目は、楽天グループの子会社 Rakuten Travel Xchange が管理・運営する海外ホテル予約の一部ページだ。9月10日に異常を検知し、9月15日に原因を特定、9月16日にシステムの改修を終えた。対象は次のとおり。
- そのページから予約した最大約4万件: 氏名、メールアドレス、電話番号、居住国、予約情報 (施設名・予約金額など)、同伴者の氏名と居住国
- うち最大約3万6千件の支払情報: カードの発行者識別番号と下4桁、名義、有効期限、国際ブランドの区分
- そのページでログインした最大約260万件: 氏名、メールアドレス、電話番号
2つ目は、楽天トラベルの多言語予約サイトで、10月20日に検知し、翌21日に改修した。ログインした最大約86万件のメールアドレスと、管理画面を使う宿泊施設の従業員最大約4万件のアカウント名・メールアドレスが対象になった。
1つ目の対象エリアは、ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国と地域だ。韓国、台湾、香港、シンガポール、マカオと、タイ・ベトナム・フィリピン・インドネシア・米国 (ハワイ、グアム、ロサンゼルスなど) の一部地域は除かれている。
カード番号の全桁は出ていない、それでも残る隙
楽天は、カード番号の全桁とセキュリティコード、パスワード、パスポートなどの身分証明書、住所は対象に含まれないとし、今回の情報だけでは決済やキャッシングの不正利用はできないと説明している。
一方で、名前と泊まるホテル、予約金額、カードの下4桁まで知っている相手からの連絡は、本物と区別しにくい。「ご予約の確認」「お支払い方法の再登録」といった形で、カード番号の残りやセキュリティコードを入力させようとする連絡には、とくに気をつけたい。海外の宿では予約のあとにホテルから直接メールが来ることもあるため、なおさら紛れやすい。
自分が対象か、どこで分かるか
楽天は対象者に順次、個別に連絡して注意を促すとしている。海外ホテル予約サイトについての専用の問い合わせ先はメール (travel-support@faq.rakuten.co.jp) だ。連絡を待つあいだにできることとしては、カードの利用明細に見覚えのない請求がないかを一度見ておくのが確実だろう。日本の個人情報保護委員会と国外の関係当局には報告済みだという。
次に確かめたいのは、楽天トラベルのお知らせ「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」の更新と、自分のもとに個別の連絡が届くかどうかだ。9月の検知から公表まで1か月半かかった経緯が、続報で説明されるかも見ておきたい。
ことば
- 発行者識別番号 — クレジットカード番号の先頭の数桁で、どのカード会社が発行したかを示す番号。下4桁と合わせても番号の全体にはならないが、カード会社を名乗る偽の連絡には使われやすい。
- 国際ブランド — Visa、Mastercard、JCB など、カードがどの決済網で使えるかを示す区分。名義や有効期限と並ぶと、カード会社からの本物の案内のように見せかける材料になる。
海外の宿を予約したあとに届くメールを、あなたはどこまで本物だと信じて開いているだろうか？
