楽天トラベルの不正アクセスを受けて、自社の管理画面で確認したい3つのこと

楽天トラベルの不正アクセスを受け、自社の管理画面やアクセス履歴をどう確認するか。架空の予約サイトを例に、管理者と開発会社が確認したい項目を解説します。

自社サイトの管理画面について、「誰がログインできるか」「不審な操作があったときに調べられるか」をすぐに答えられるでしょうか。

担当者が異動した後もアカウントが残っていたり、外部の開発会社に渡した権限が何年も見直されていなかったりすると、管理状況を把握しにくくなります。

2026年10月26日、楽天グループは楽天トラベルの一部サイトに対する不正アクセスを公表しました。この記事では、その発表をきっかけに、自社の管理画面とアクセス履歴を確認する方法を、システムを運用する立場から整理します。

後半の確認項目は一般的な対策です。楽天で管理画面の権限やログ管理に問題があったと述べるものではありません。

公表内容から分かること、分からないこと

楽天は、海外ホテル予約サイトの一部ページと多言語予約サイトに対して、不正アクセスがあったと発表しました。

海外ホテル予約サイトの一部ページでは、利用者の氏名やメールアドレス、予約情報などが不正アクセスの対象となりました。多言語予約サイトでは、利用者のメールアドレスや、宿泊施設の従業員のアカウント名などが対象となりました。

楽天は、それぞれの事象について原因を特定し、システム改修を完了したとしています。また、アクセス経路を遮断したと発表しています。一方、具体的な侵入方法や、どの設定に問題があったのかは公表していません。

そのため、「管理画面が原因だった」「ログイン情報が盗まれた」といったことは、この発表だけでは判断できません。

※楽天の公表内容は2026年10月27日確認時点です。最新情報は公式発表をご確認ください。

たとえば、架空の会社で、予約担当者2人、管理責任者1人、外部の開発会社の担当者1人が管理画面を使っているとします。予約担当者は予約内容を確認し、管理責任者はアカウントを管理します。開発会社の担当者は不具合の調査や改修を行います。

このとき、4人全員が同じアカウントを使っていると、画面上の操作が誰によるものだったかを後から区別しにくくなります。また、使わなくなったアカウントが残っていると、不正に利用されるおそれがあります。

まずは管理画面にログインできる人を一覧にし、それぞれに必要な操作を確認します。

アカウントの例	必要な操作	確認したいこと
予約担当者	予約の確認・変更	担当業務に必要な範囲か
管理責任者	アカウントの追加・削除	管理者権限が必要な人に限られているか
外部の開発会社	不具合調査・改修	誰が使うか、どの権限が必要か、作業後に権限をどうするか決まっているか

※架空の例です。システムに応じて適切な権限や運用は異なります。

現在の担当者だけでなく、異動・退職した人や、以前作業を依頼した外部の人のアカウントも確認します。アカウント一覧を表示できない場合は、管理会社に確認方法を聞いてください。

不要なアカウントが見つかった場合は、業務への影響を確認したうえで無効化や削除を検討します。共通アカウントが必要な場合もあるため、すぐに削除せず、利用目的と管理方法を確認しましょう。

予約内容の確認だけでよい人に、アカウント追加や設定変更まで許可されていないか確認します。権限を分けられるシステムなら、業務に必要な範囲に絞ることを検討します。

外部の開発会社に管理者権限が必要な作業もあります。その場合は、誰が使うか、いつまで必要か、作業後に権限をどうするかを事前に決めておくと管理しやすくなります。

アクセス履歴や操作履歴を、一般に「ログ」と呼びます。ログインの成功・失敗、日時、対象アカウント、重要な設定変更などが記録されているかを確認します。

ただし、ログがあるだけで原因や影響範囲が必ず分かるわけではありません。記録される内容や保存期間、確認できる担当者を確かめ、調査に必要な情報が足りるか管理会社と相談します。

ログに個人情報が含まれる場合もあるため、閲覧できる人や保存期間の管理も必要です。

「セキュリティ対策はできていますか」と尋ねるだけでは、どこまで確認できているか分からないことがあります。次のように、何を確認し、どう対応するのかを具体的に聞いてみてください。

回答を受け取ったら、「確認済み」「要対応」「確認中」に分け、担当者と期限を決めます。対策の必要性や優先順位は、扱う情報や業務への影響に応じて判断します。

まず、顧客情報を扱う予約システムやお問い合わせ管理画面を一つ選び、「誰が使えるか」「何を操作できるか」「履歴を確認できるか」を調べてみてください。

分からない点を一覧にして管理会社へ聞くだけでも、次に取り組むべきことが見えやすくなります。

楽天トラベル「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」 https://travel.rakuten.co.jp/info/announce/20261026.html

中小企業向けサイバーセキュリティ実践ハンドブック「自組織の情報セキュリティの状況を確認する」 https://security-portal.cyber.go.jp/guidance/pdf/handbook/handbook-06.pdf

ニチコマでは、Webシステムや業務システムの開発についてご相談を承ります。