樂天旅遊兩起入侵：海外飯店頁面最多約 260 萬筆登入用戶資料、最多約 3.6 萬筆預訂用戶資料另含卡號末四碼與效期，多語言訂房網站另有最多約 86 萬筆 email 在範圍內

趨勢新聞2026 年 10 月 29 日

日本樂天集團 10 月 26 日公告，旗下訂房服務「樂天旅遊」（楽天トラベル）有兩個網站被外部人士未經授權存取，也就是俗稱的被駭。兩起之中，第二起出在樂天旅遊的多語言訂房網站，樂天為這一起列出的客服窗口包括「繁體中文（台灣）」，台灣用戶可能在範圍內（本站的讀法）。最多約 86 萬筆登入用戶的 email 與內部編號在被存取的範圍內。涉及的資料不含密碼，也沒有完整卡號，樂天說單憑這些資料無法冒用來付款。本站的讀法：登入過樂天旅遊多語言網站的人，接下來收到樂天名義的信，先別點信裡的連結，直接開官網或 App 查。

兩起各涉及哪些資料

第一起出在日本樂天旅遊網站的「海外飯店」預訂頁，其中由子公司 Rakuten Travel Xchange 管理的一部分頁面。樂天 9 月 10 日發現異常，9 月 15 日查出原因，9 月 16 日修好。範圍分兩群：

• 透過這些頁面訂過房的，最多約 4 萬筆：姓名、email、電話、居住國、樂天內部編號、訂房資料（飯店名稱、金額等），以及同行者的姓名與居住國。
• 其中最多約 3.6 萬筆另含付款資料：發卡機構識別碼（卡號前段、用來辨認發卡機構的編碼）、卡號末四碼、持卡人姓名、有效期限、信用卡國際品牌（如 Visa、JCB）。
• 在這些頁面登入過的，最多約 260 萬筆：姓名、email、電話、樂天內部編號。

第二起出在多語言訂房網站。樂天 10 月 20 日察覺可能被入侵，當天查出原因，10 月 21 日修好。範圍是登入過的用戶最多約 86 萬筆 email 與內部編號，另有最多約 4 萬筆飯店員工在網站後台留下的帳號名稱、email 與內部編號。

四項的上限加起來約 354 萬筆，這是日本科技媒體 INTERNET Watch 直接相加的數字。官方寫的單位是「件」，不是人數。同一個人可能同時在兩群裡。本站的讀法：實際受影響的人數可能少於這個數字；官方沒有公布扣掉重複後的人數。

台灣用戶在不在範圍內

第一起，公告列出的地區是歐洲、美國與加拿大、亞洲與大洋洲的部分國家，並寫明不包括台灣、韓國、香港、新加坡、澳門，以及泰國、越南、菲律賓、印尼、美國（夏威夷、關島、洛杉磯等）的部分地區。本站的讀法：這裡排除的是飯店所在地，不是旅客國籍。台灣飯店的預訂頁面不在第一起的範圍；台灣人若曾在 Rakuten Travel Xchange 管理的那些頁面訂房或登入，仍可能在內。

第二起，公告沒有公布受影響用戶的國籍或使用語言。能確定的是：樂天為這一起開的客服窗口有繁體中文（台灣）版。本站的讀法：登入過多語言網站的台灣用戶有可能在 86 萬筆裡，有沒有，要等樂天的個別通知。

卡號末四碼加效期，能拿來做什麼

樂天的說法是：「僅憑本次遭未經授權存取的資料，無法進行付款（購物、預訂旅遊）或預借現金等不當使用」（本站譯）。公告也寫明，資料不含完整卡號、卡片背面的安全碼、密碼、護照等身分證件，也不含地址。到 10 月 26 日公告時，樂天說還沒發現因此衍生的二次受害，也沒發現對其他服務的影響。

本站的讀法：如果這些資料落到攻擊者手上，可能被拿來寫更像真的釣魚信或打詐騙電話。假設有人收到一封信，寫出他的姓名、上個月訂的飯店名稱、卡號末四碼，說「付款失敗，請重新輸入卡號」，細節都對，就容易相信。第一起的訂房資料列有姓名、電話、飯店名稱與卡號末四碼，組得出這種內容；第二起的旅客資料只列 email 與內部編號，沒有訂房明細。樂天說會陸續個別通知受影響的人；萬一有人假冒這種通知，用戶不容易分辨。公告沒有提到已發生這類詐騙。

在台灣，收到可疑的信或電話，可以打警政署 165 反詐騙專線查證。卡片若出現不認得的交易，打給發卡銀行。

還不知道的事

公告沒有說攻擊者是誰、從哪個漏洞進去，也沒說資料是否已被下載帶走，只說這些資料「成為未經授權存取的對象」。第一起從 9 月 16 日修好到 10 月 26 日公告，隔了 40 天，公告沒有說明原因。樂天表示已向日本個人情報保護委員會和「國外各相關主管機關」報告，沒列出是哪些國家，所以無法確認台灣主管機關有沒有收到通報。

台灣的《個人資料保護法》第 12 條也有個資外洩後通知當事人的規定，但有適用前提；本案是否適用、涉及多少台灣用戶，現有公告不足以判斷。樂天只說，截至公告時，資安團隊在這兩個網站以外沒有發現同樣的情況。