東海大学山中湖セミナーハウスの予約サイトに不正アクセス、274名分の宿泊予約情報が漏えいした可能性|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月07日更新日時: 2026年08月07日

東海大学は2026年8月5日、研修厚生施設である東海大学山中湖セミナーハウスのウェブサイトが改ざんされ、宿泊予約に関する個人情報が外部に漏えいした可能性があると公表しました。対象となる可能性があるのは、2022年5月9日から2026年4月22日までに同施設のWeb予約サイトを利用した274名分の情報です。

東海大学山中湖セミナーハウスのウェブサイト改ざんが2026年4月22日に確認されました。
サーバーに保存されていた274名分の宿泊予約情報について、外部漏えいの可能性が否定できないとしています。
漏えいの可能性がある情報には、氏名、電話番号、メールアドレス、教職員番号・在籍時学生証番号、団体名、所属機関などが含まれます。
住所、生年月日、要配慮個人情報、クレジットカード情報、金融機関口座情報は含まれていません。
原因は第三者による不正アクセスの可能性が高いとされていますが、具体的な侵入経路や手口は公表されていません。

項目	内容
公表日	2026年8月5日
被害企業・組織	学校法人東海大学、東海大学山中湖セミナーハウス
発覚日	2026年4月22日
事案の内容	東海大学山中湖セミナーハウスのウェブサイトが改ざんされ、不正アクセスを受けた可能性が高い
漏えいの可能性がある件数	274名分
対象期間	2022年5月9日から2026年4月22日までにWeb予約サイトを利用した方
漏えい情報の内容	氏名、電話番号、メールアドレス、ファクシミリ番号、教職員番号・在籍時学生証番号、団体名、所属機関、学部・学科・学校名
含まれていない情報	住所、生年月日、要配慮個人情報、クレジットカード情報、金融機関口座情報
原因	第三者による不正アクセスが行われた可能性が高い。具体的な侵入経路や攻撃手法は公表されていません
二次被害の状況	現時点で本件に関連する不正利用や具体的な被害は確認されていません
対応状況	対象者へ通知予定。連絡先不明者には公表をもって通知に代える対応。対象サーバーは外部ネットワークから遮断
個人情報保護委員会への報告状況	2026年8月5日の公表文では明記されていません

何が起きたか

学校法人東海大学が運営する研修厚生施設、東海大学山中湖セミナーハウスのウェブサイトで、2026年4月22日に改ざんが確認されました。同サイトの運用は予約サイトの管理を含めて外部事業者へ委託されており、セミナーハウスの管理運営も別の外部事業者へ委託されていたと説明されています。

東海大学は事案発覚後、関係する各事業者と連携し、事実関係と影響範囲の特定に向けた調査を実施しました。その結果、外部から当該サイトへ不正アクセスが行われた可能性が高いことが判明したとしています。情報が実際に外部へ持ち出されたかどうか、漏えい範囲がどこまで及ぶかについては、確定的な事実は確認されていません。

一方で、サーバーに保存されていた274名分の宿泊予約に関する情報について、外部漏えいの可能性を否定できないことから、東海大学は対象者への通知を行う予定です。連絡先が不明な対象者については、今回の公表をもって通知に代えるとしています。

教育機関のWebサイト改ざんでは、過去にも日本大学文理学部、学生ポータル改ざんの最終報告を公表-既知脆弱性を悪用されるも個人情報漏えいは確認されずのように、外部サイトへの誘導や個人情報保管領域への影響確認が論点になりました。大学や学校法人のサイトは広報用途に見えても、予約、申込、問い合わせ、学生向けポータルなどと接続しているケースがあり、改ざん発覚後は見た目の復旧だけでなく、保存データや管理画面へのアクセス履歴まで確認する必要があります。

漏えいの可能性がある個人情報

漏えいの可能性があるのは、2022年5月9日から2026年4月22日までの間に、東海大学山中湖セミナーハウスのWeb予約サイトを利用した方の宿泊予約に関する情報です。公表文では、氏名、電話番号、メールアドレス、ファクシミリ番号、教職員番号・在籍時学生証番号、団体名、所属機関、学部・学科・学校名が対象として示されています。

住所、生年月日、要配慮個人情報、クレジットカード情報、金融機関口座情報は含まれていないと説明されています。金融情報やカード情報が含まれていない点は利用者にとって一定の安心材料ですが、氏名、連絡先、所属、予約施設の情報が組み合わさると、本人確認を装った連絡や、大学・施設関係者を装うフィッシングに悪用される可能性は残ります。

宿泊予約や施設予約に関する情報は、氏名やメールアドレスだけでなく、利用日、所属、団体名と結びつくことで、攻撃者が自然な文面のなりすまし連絡を作りやすくなるデータです。予約システムを起点にした不正アクセスでは、三菱地所ホテルズ＆リゾーツ運営の丸ノ内ホテルの予約システムへ不正アクセス、個人情報漏洩の可能性でも同様に、予約情報の扱いと委託先管理が実務上の焦点になりました。

原因と調査状況

原因について、東海大学は第三者による不正アクセスが行われた可能性が高いと説明しています。ただし、現時点の公表文では、CMSや予約システムの脆弱性が悪用されたのか、管理アカウントの認証情報が不正利用されたのか、委託先環境を経由したのかといった詳細は明らかにされていません。

原因が不明確な段階では、特定の製品や運用ミスに絞り込んで判断するのは危険です。ネットワークエンジニアの目線では、Web改ざんが確認された場合、公開サーバー単体の問題に見えても、管理用ネットワーク、予約データベース、ファイルアップロード領域、委託先の保守経路までをまとめて確認する必要があります。特に予約サイトは、Webフロント、管理画面、通知メール、外部決済、委託先の運用端末がつながりやすく、侵入経路の切り分けが後回しになると影響範囲の把握が遅れます。

東海大学は、当該システムのサーバーについて外部ネットワークから遮断する等の措置を講じているとしています。現在、山中湖セミナーハウスのウェブサイトは一時停止中で、予約等については別途案内ページから確認するよう案内されています。

個人情報保護委員会への報告状況

2026年8月5日の東海大学の公表文では、個人情報保護委員会への報告状況は明記されていません。本件では、宿泊予約に関する個人情報が外部に漏えいした可能性が否定できないとされており、対象者への通知を行う予定と説明されています。

個人情報の漏えい、または漏えいのおそれが発生した場合、事業者は取り扱う情報の性質、件数、被害の可能性などを踏まえて、個人情報保護法上の報告義務や本人通知の要否を判断する必要があります。本稿では、公表文で確認できる範囲に基づき、個人情報保護委員会への報告状況は不明として整理します。

委託先管理と予約サイト運用の論点

今回の事案で気になるのは、予約サイトの管理を含むWebサイト運用と、セミナーハウスの管理運営が外部事業者へ委託されていた点です。委託そのものが問題というより、どの事業者がどの範囲のシステム、アカウント、データにアクセスできるのかを、平時から棚卸しできているかが問われます。

実務では、施設予約サイトやイベント申込サイトは、メインの学内システムとは別枠で導入されることがあります。担当部門の判断で外部サービスや委託先を使い始め、情報システム部門の台帳に十分反映されないまま運用されるケースも珍しくありません。私がサーバー運用に関わっていた頃も、公開Webサイトの小さなフォームや予約機能が、実は個人情報を長期間保存していたという場面を何度か見てきました。

委託先管理では、契約書上の安全管理措置だけでなく、管理画面の多要素認証、保守用アカウントの棚卸し、ログの保存期間、障害・インシデント発生時の報告期限、脆弱性診断の実施頻度まで確認する必要があります。特に学校法人や宿泊施設のように、部門ごとに外部委託先が分かれやすい組織では、委託先ごとのセキュリティ水準に差が出ないよう、共通のチェックリストを持つことが重要です。

利用者が注意すべき二次被害

東海大学は、現時点で本件に関連する不正利用や具体的な被害は確認されていないとしています。利用者に対しては、不審な連絡やメールに注意するよう呼びかけています。

対象情報にメールアドレス、電話番号、所属機関、学部・学科・学校名、教職員番号・在籍時学生証番号が含まれる可能性があるため、今後は東海大学、山中湖セミナーハウス、予約担当者、委託先を名乗るメールや電話に注意が必要です。予約内容の確認、返金、本人確認、セキュリティ確認などを装い、リンク先で認証情報を入力させる手口は十分に考えられます。

利用者側では、メール本文のリンクから手続きするのではなく、東海大学の公式サイトを直接開いて案内を確認することが基本です。電話で問い合わせを受けた場合も、その場で個人情報を答えず、公式に案内された窓口へ折り返す対応が安全です。

情報システム部門への示唆

情報システム部門にとって、今回の事案は外部委託された小規模な予約サイトでも、個人情報漏えいインシデントに発展し得ることを示しています。全社・全学の基幹システムだけでなく、施設予約、イベント申込、採用、資料請求、問い合わせフォームなど、部門単位で運用されているWebシステムを含めた棚卸しが必要です。

点検すべき項目は、公開サーバーやCMSのバージョン管理、管理画面のアクセス制限、多要素認証、不要アカウントの削除、WAFや改ざん検知の有無、ログの保全期間、バックアップからの復旧手順です。予約サイトの場合、データの保存期間も重要です。業務上必要な期間を過ぎた予約情報を残し続けると、侵害時の影響件数が増えます。

委託先との関係では、インシデント発生時の初動連絡、ログ提出、証跡保全、外部専門機関との連携、対象者通知の役割分担を契約と運用手順の両方で確認しておくべきです。外部委託先に任せているシステムほど、自組織の管理外に見えがちですが、利用者への説明責任は最終的にサービス提供者側に残ります。

今回のように原因の詳細が公表されていない段階では、自組織の同種システムについて、脆弱性診断の実施履歴、管理者権限の範囲、外部公開範囲、保存している個人情報の種類を確認するだけでも、次のインシデントを減らす現実的な対策になります。