解説
ホテルのサイバー攻撃事例から学ぶ個人情報の守り方
2026年10月、予約管理システムを提供する手間いらずは、不正アクセスによって宿泊者情報が第三者に閲覧・取得された可能性と、施設を装う不審なメッセージを公表しました。予約内容を知っている相手からの連絡でも、正規の案内と即断できません。この記事では、この発表を含むホテル関連の三つの公表事例から、公式サイトと外部サービスで必要な確認を説明します。
公式サイトだけでなく予約管理やメール配信でも不正アクセスが起きています
ホテルの担当者が事例から学ぶ際は、件数の比較よりも、情報を置いていた場所と、その場所を管理する相手を確認することが役立ちます。
2026年11月10日時点で確認した公式発表から、経路の異なる三つの事例を取り上げます。漏えいが判明した事例と、第三者による閲覧・取得の可能性が公表された事例は、同じ確度の情報として扱いません。
| 公表事例 | 発表で示された範囲 | ホテル側で確認する相手 |
|---|---|---|
| リゾートトラスト | 管理するウェブサイトへの不正アクセスと個人情報漏えい | 公式サイトとサーバーの管理担当 |
| 手間いらず | 宿泊施設向け予約管理システムへの不正アクセスと情報の閲覧・取得の可能性 | 予約管理システムの提供会社と施設の予約担当 |
| 都ホテルズ＆リゾーツ「都プラス」 | 委託先が利用するメール配信サービスからのメールアドレス漏えい | メール配信の委託先と会員施策の担当 |
この分類は、各事例の攻撃手法が同じであることを意味しません。公表されていない侵入原因を推測し、古いPHPやWordPressが原因だったと結び付けることもできません。
公式サイトにどの個人情報が保存されているか確認します
公式サイトへの不正アクセスに備えるには、公開しているページだけでなく、そのサーバーが何の情報を保存しているかを把握します。
リゾートトラストの2026年10月9日の発表は、管理するウェブサイトへの不正アクセスに伴い、グループ会員情報の一部と、ザ・カハラホテル＆リゾート横浜の予約者情報の一部が漏えいしたことを公表しています。対象情報の範囲も示されており、すべての顧客情報が漏れたという発表ではありません。
ホテルの公式サイトにも、問い合わせ履歴、採用応募、資料請求、過去の会員機能などのデータが残っていることがあります。現在の画面に入力欄がなくても、以前使った保存先が消えているとは限りません。制作会社には、今動いている機能と、サーバーに残るデータの両方を確認してもらいます。
予約を外部のサービスに任せている場合も、公式サイト側が情報を受け取ったり保存したりしていないかを確認してください。必要なデータは守り、保存の必要がないものは、業務上の要件と保存期間を確認して整理します。
予約日や料金を知る相手からの連絡でも本物の案内とは限りません
予約管理システムに関係する事例では、予約内容を知っている相手からの連絡を、正規の案内と即断しない運用が必要です。
手間いらずの2026年10月7日の第二報は、宿泊者名や連絡先、宿泊施設名、チェックイン・チェックアウト日、宿泊料金が第三者に閲覧・取得された可能性を説明しています。同時に、施設などを装い、外部サイトへ誘導してカード情報の入力や支払いを求める不審なメッセージも確認したとしています。
ホテル側では、提供会社に自分の施設が対象かを問い合わせる仕事と、お客様からの照会に答える仕事を並行して進めます。誰が公式発表の続報を確認し、フロントへ何を共有するのかを決めておくと、担当者による案内の食い違いを減らせます。
予約日や宿泊料金が合っていても、追加の支払い依頼が本物とは限りません。問い合わせを受けたら、届いたメッセージの連絡先ではなく、ホテルや利用したOTAの公式窓口から確認してもらいます。カード情報を入力してしまった場合は、カード会社への相談も案内します。施設の正式な確認方法を、通常のお知らせや予約確認の案内にも載せておきます。
委託先がどのサービスに顧客情報を渡しているか確認します
外部へ個人情報を渡す業務では、直接の委託先だけでなく、その先で利用しているサービスと、事故時の連絡経路を把握します。
都ホテルズ＆リゾーツの公式サイトに掲載された2026年11月3日のお知らせは、「都プラス」のメール配信委託先が利用するアララのサービスで不正アクセスが発生し、メールアドレスが漏えいしたことを説明しています。同じ案内では、発表元と委託先のシステム内にある会員情報や利用履歴の漏えいはないとしています。
ホテル側が聞くべきなのは、「委託しているので安全か」という一問ではありません。どの項目をどこへ渡すのか、配信終了後も残るのか、再委託先で事故が起きたら誰から連絡が来るのかを確認します。担当者の異動や委託先の変更時も、過去の保存先とアカウントを引き継ぎます。
事故が起きた際は、対象の特定、配信の停止、正規の案内の作成などを、関係する会社と分担します。個人情報に関する報告・通知の要否は、取得した事実をもとに責任者と専門家へ確認します。
顧客情報の保存先と管理会社と緊急連絡先を一覧にします
公表事例を読んだあとに始めたいのは、公式サイト、予約管理、メール配信などの情報の置き場所と担当者を一枚に整理することです。
一覧には、扱う情報、管理会社、施設側の担当、緊急連絡先、利用を終えた後の削除・権限整理を記載します。サービス名だけ並べても、事故時に必要な相手へ連絡できなければ使えません。夜間に気づいた場合の連絡先や、担当不在時の引き継ぎも確認します。
Webサイトの点検を依頼する場合は、その一覧を渡し、調査対象に含まれる場所と含まれない場所を明らかにします。公式サイトを調べた結果を、そのまま予約システムや委託先の安全確認として扱わないことが大切です。対策の始め方と費用の考え方で、依頼範囲の決め方を説明しています。
考察：事故の情報を誰が集めお客様に何を伝えるか決めます
三つの公表事例で、ホテル側の確認先は公式サイトの管理担当、予約管理システムの提供会社、メール配信の委託先に分かれました。ホテル側でつなぎたいのは、各担当が把握した事実と、お客様へ伝える案内です。どの会社が何を保管し、事故時に誰へ連絡するかがつながっていれば、フロントへ伝える内容も整理できます。
自分の施設で最初に調べる範囲は、セキュリティ対策の始め方と費用の考え方で決められます。また、予約情報を知る相手からの連絡や、ホテルを装ったページへの対処は、サイトの修復だけでは終わりません。偽サイト・無断掲載への対処法では、証拠を残し、申告先を分け、消えたあとも確認する仕事を扱います。
Maximizeは、公式サイトとサーバーの点検・対処・継続監視、施設名をかたるなりすましへの対応を担当します。外部の予約管理やメール配信サービスについては、提供会社が受け持つ範囲を区別して確認します。セキュリティ対策の内容はこちら。
この記事の前提と条件
この記事は2026年11月10日に確認した各社の公式発表に基づく解説です。各段落に参照した発表日とリンクを示しています。当社が各社のシステムを調査した記事ではなく、対応を担当した事例でもありません。事例から導いた確認事項とサービスの選び方は、当社の実務上の提案です。
この記事で言えないこと
各社の未公表の原因、最終的な被害範囲、対策の優劣は判断していません。公表内容は調査の進展によって変わります。紹介した事例が、特定のCMSや外部サービスを使うすべての施設で同じ被害が起きることを示すものではありません。
Maximize株式会社について
ホテル・旅館の集客を、Webサイト制作、写真・映像制作、広告運用、AI検索対策で支援し、業務のソフトウェアも開発している。セキュリティ対策の詳細
この記事の内容は、出典「Maximize株式会社『ホテルのサイバー攻撃事例から学ぶ個人情報の守り方』」を明記して引用してください。調査・参照資料の条件は本文に記載しています。
