Tier表楽天トラベル／海外ホテル予約の一部ページ事案の概要と評価
ログイン情報最大約260万件と予約情報最大約4万件が対象。予約の内数にカードの一部情報約3万6千件が含まれます。区分は合算しません。
- 発生日
- 未確認
- 公表日
- ログイン利用者の情報
- 最大約260万件
- 予約情報
- 最大約4万件
事案の概要
- 企業・サービス
- 楽天トラベル／海外ホテル予約の一部ページ
- 確認状況
- 不正アクセス確認・情報流出のおそれ
- 発生日
- 未確認
- 公表日
経緯
楽天グループは10月26日、海外ホテル予約を扱う楽天トラベルの一部ページで不正アクセスがあったと公表しました。対象は楽天トラベルエクスチェンジが管理・運営するページです。9月10日に異常を検知し、9月15日に原因を特定、翌16日に修正を完了したとしています。
同時に公表された多言語予約サイトの不正アクセスとは、検知日・運営環境・情報の範囲が異なるため別事案として整理します。
対象となった情報
海外ホテル予約は最大約4万件で、予約者の氏名、メールアドレス、電話番号、居住国、内部管理IDと、予約した施設や金額、同行者の氏名・居住国などが対象です。
この予約のうち最大約3万6千件には、カードの発行会社を示す番号と下4桁、名義、有効期限、ブランドが含まれます。カード番号の全桁とセキュリティコードは含まず、この情報だけで決済やキャッシングはできないと説明しています。
ページへログインした利用者の氏名、メールアドレス、電話番号、内部管理IDは最大約260万件が対象です。予約情報との重複が不明なため合算せず、260万人の確定流出とも扱いません。パスワード、パスポート番号、住所は含まれません。
対応
対象となった利用者へ順次メールで連絡し、個人情報保護委員会へ報告しています。公表時点で二次被害は確認されていません。
対象情報
- 氏名流出のおそれログイン利用者
不正アクセスの対象になった最大約260万件。実人数と取得確定範囲は未公表。
- メールアドレス流出のおそれログイン利用者
不正アクセスの対象になった最大約260万件。実人数と取得確定範囲は未公表。
- 電話番号流出のおそれログイン利用者
不正アクセスの対象になった最大約260万件。実人数と取得確定範囲は未公表。
- ID・識別子流出のおそれログイン利用者
不正アクセスの対象になった最大約260万件。実人数と取得確定範囲は未公表。
- 氏名流出のおそれ海外ホテル予約
最大約4万件の予約情報。居住国・同行者・施設・金額等を含み、住所は含まない。
- メールアドレス流出のおそれ海外ホテル予約
最大約4万件の予約情報。居住国・同行者・施設・金額等を含み、住所は含まない。
- 電話番号流出のおそれ海外ホテル予約
最大約4万件の予約情報。居住国・同行者・施設・金額等を含み、住所は含まない。
- ID・識別子流出のおそれ海外ホテル予約
最大約4万件の予約情報。居住国・同行者・施設・金額等を含み、住所は含まない。
- 決済情報流出のおそれ予約の内数・カードの一部情報
予約の内数最大約3万6千件。発行会社識別番号と下4桁、名義、有効期限、ブランド。全桁とセキュリティコードは対象外。
Sとした理由（暫定）
S3：氏名・電話・メールを含むログイン利用者の情報が最大約260万件、不正アクセスの対象。顧客情報レコードの最大値を用いる条件付きS。予約件数との重複は不明で合算せず、人数・アカウント累計へ換算しない。カード全桁やセキュリティコードは含まれず、S2を適用しない。
Sの評価基準深い私的情報・本人確認書類画像・有効な認証情報の侵害、それと同等の管理機能・アカウント支配、大規模な連絡先流出、又は主要な提供機能の停止。