楽天から、「普段ご利用のない環境から、お客様の楽天IDを使ったログインが確認されました。」というメールが届きました。楽天にログインし確認したところ全く知らない人の名前と住所で商品が注文されていました。 ただ、カードはその方のもので注文されていたのでお金などの被害はないんですが、自分のメールアドレス以外はその方の情報で使われていて逆に怖いです。パスワードは変更したんですがこのまま放置で大丈夫でしょうか。

足が付かないようにする有名な手口です。 最終的に賞品を受け取る場所は送り状番号が出た後に転送を掛けます。 必要なのは購入する為のダミーの楽天ID（今回は質問者さんのID）、支払いする為の他人のカード情報（個人情報を含む）、商品を受け取る転送先（普通はスーパーやホームセンターにある宅配ボックスを指定します）です。 買ったのは質問者さん、払ったのは他の人、最終的な受け取りは犯人ということで足が付き難いようにする手口となっています。

少しややこし事に関わることになるのですが、犯罪にあっています。 カードも実行犯のものではないかもしれません。 警察に届ける手もあります。 ただし、最初は質問者殿も取り調べられたりするでしょう。 黙っていても 後日、カード不正利用で事件化されるでしょう。 その時は、質問者も取り調べの対象になるでしょう。 そうなった時のために事前に届けておく考えもあります。