Rakuten Group comunicó el 26 de octubre de 2026 dos incidentes de acceso no autorizado en Rakuten Travel: determinadas páginas de hoteles internacionales gestionadas por Rakuten Travel Xchange y un portal multilingüe. En el primer servicio, datos de hasta 2,6 millones de registros de usuarios pudieron quedar al alcance de terceros.
Información afectada
Los registros potencialmente expuestos incluyen nombres, correos electrónicos, teléfonos e identificadores internos. También se investigan hasta 40.000 reservas con información sobre alojamientos y acompañantes. De ellas, hasta 36.000 contenían datos parciales de tarjetas, como los últimos cuatro dígitos, el titular y la caducidad.
La empresa afirma que no se incluyeron números completos de tarjeta, códigos de seguridad ni contraseñas. En un segundo incidente, el portal multilingüe registró un posible acceso a hasta 860.000 direcciones de correo y datos de unas 40.000 cuentas de personal hotelero. Las cifras corresponden a ámbitos distintos y no deben sumarse como si todas fueran personas diferentes.
Respuesta de la compañía
El primer problema se detectó el 10 de septiembre y se corrigió el 16. El segundo se detectó el 20 de octubre y se corrigió al día siguiente. Rakuten ha informado a las autoridades y prevé contactar con los afectados. La cifra potencial de registros accesibles no demuestra un uso fraudulento de todos ellos.
