大分県別府市の「ホテル白菊」を運営するつるみ観光株式会社は2026年8月27日、同館が利用する宿泊予約・販売管理システムへの不正アクセスについて最終報告を公表しました。警察や専門機関による調査の結果、同館のパソコン1台がマルウェアに感染していたことに加え、宿泊予約・販売管理システムへの不正アクセスと、一部の個人データの流出が確認されたとしています。
同館は4月30日の中間報告では「一部の個人データが流出した可能性」としていましたが、今回の最終報告で流出を確認済みの事実として更新しました。対象件数は公表されていません。
ホテル白菊の不正アクセスのサマリー
- ホテル白菊は2026年8月27日、宿泊予約・販売管理システムへの不正アクセスに関する最終報告を公表しました。
- 警察および専門機関などによる調査の結果、同館のパソコン1台がマルウェアに感染していたことが確認されました。
- 同館が利用する宿泊予約・販売管理システムへの不正アクセスが行われ、一部の個人データが流出したことが判明しています。
- 流出したデータには、氏名、住所、電話番号、メールアドレス、年齢、性別、宿泊日、利用人数が含まれます。
- クレジットカード情報は、流出対象の個人情報に含まれないとしています。
- 対象となるのは、2026年4月8日以前に同館への予約、予約変更、予約取消を行った利用者のうち、同館が示した対象宿泊日に該当する利用者です。
- OTA、旅行会社などの店舗、ホテル白菊の公式サイト経由の予約などが対象に含まれます。
- 対象件数は公表されていません。
- マルウェアへの具体的な感染経路や、不正アクセスに至った詳細な侵入経路は公表されていません。
- 個人情報保護委員会への報告有無は、公表資料では確認できませんでした。
- 同館は感染したパソコンの初期化、セキュリティ体制の見直し・強化、従業員へのITリテラシー研修などを実施しています。
- 4月10日には同館名やロゴを悪用したフィッシングメールが一部顧客へ送信されていたことも確認されています。ただし、最終報告では個人データ流出とフィッシングメール送信との具体的な因果関係までは説明されていません。
| 項目 | 内容 |
|---|---|
| 公表日 | 2026年8月27日 |
| 発生日・確認日 | 不正アクセスの具体的な発生日は公表されていません。2026年4月10日にフィッシングメール送信を公表し、4月30日に不正アクセスと個人データ流出の可能性を中間報告。8月27日に不正アクセスと個人データ流出を確認したと最終報告しました。 |
| 対象組織 | ホテル白菊（運営：つるみ観光株式会社） |
| インシデント | 宿泊予約・販売管理システムへの不正アクセス、個人データ流出、パソコン1台のマルウェア感染 |
| 侵入経路 | パソコン1台のマルウェア感染を確認。具体的な感染経路や、不正アクセスに至った詳細経路は公表されていません。 |
| 漏洩・流出した情報 | 氏名、住所、電話番号、e-mail、年齢、性別、宿泊日（チェックイン日／チェックアウト日）、利用人数 |
| 対象件数 | 公表されていません |
| 対応状況 | 感染したパソコンの初期化、セキュリティ体制の見直し・強化、従業員へのITリテラシー研修などを実施 |
| 個人情報保護委員会への報告 | 公表資料では確認できませんでした |
最終調査でパソコン1台のマルウェア感染と個人データ流出を確認
ホテル白菊は8月27日の最終報告で、警察および専門機関などによる調査結果を公表しました。
調査では、同館のパソコン1台がマルウェアに感染していたことを確認しています。また、同館が利用する宿泊予約・販売管理システムへの不正アクセスが行われ、一部の個人データが流出したことも判明しました。
一方、マルウェアの種類、感染日時、感染経路、攻撃者がどのように宿泊予約・販売管理システムへアクセスしたのかといった技術的な詳細は公表されていません。ランサムウェア被害や特定の脅威アクターによる攻撃だったとの説明もありません。
このため、本件は「パソコンのマルウェア感染」「宿泊予約・販売管理システムへの不正アクセス」「一部個人データの流出」が確認済みである一方、それ以上の攻撃手法や犯行主体については公表情報の範囲を超えて推測しないことが重要です。
4月時点では「流出した可能性」、8月の最終報告で流出を確認
一連の公表は、4月10日のフィッシングメールに関する注意喚起から始まりました。
ホテル白菊は4月10日、同館の名称やロゴを不正に使用し、「宿泊予約がキャンセルされた」などとする英語のフィッシングメールが一部の顧客に送信されている事実を確認したと発表しました。メール内には予約確認を促すリンクがあり、個人情報やクレジットカード情報などを入力しないよう呼びかけています。
同館はこの時点で別府警察署へ相談・報告し、外部の専門機関と連携して調査を進めていました。
4月30日の中間報告では、宿泊予約・販売管理システムの提供ベンダーから不正アクセスが疑われるとの報告を受け、同社が委託先へ預けていた一部個人データについて「流出した可能性」が確認されたと公表しました。
その後の調査を経て、8月27日の最終報告では表現が「一部の個人データが流出したことが判明」に更新されています。今回の記事では、この最終報告に基づき、個人データの流出を確認済みの事実として扱います。
流出した情報は氏名や住所、電話番号など 対象件数は非公表
ホテル白菊によると、流出したデータの対象となる宿泊日は、2025年10月9日から10月30日までと、2026年4月9日から2027年1月9日までです。
対象者は、2026年4月8日以前にホテル白菊への予約、予約変更、予約取消を行った利用者とされています。予約経路には、じゃらんや楽天などのOTA、旅行会社などの店舗、同館の公式サイトが含まれます。
流出した情報は以下のとおりです。
- 氏名
- 住所
- 電話番号
- 年齢
- 性別
- 宿泊日（チェックイン日／チェックアウト日）
- 利用人数
同館は、クレジットカード情報は対象となる個人情報に含まれないとしています。
一方で、影響を受けた人数や予約件数は公表していません。このため、対象宿泊日の期間だけから被害件数を推計することはできません。
フィッシングメールは確認済み 流出データとの具体的な因果関係は未公表
ホテル白菊は4月10日の時点で、同館を装ったフィッシングメールが一部の顧客へ送信されていることを確認しています。
不審メールでは、「予約がキャンセルされた」「確認が必要」など利用者の不安をあおる内容が記載され、予約確認を装ったリンクが設置されていました。同館は、メール内のリンクを開かず、個人情報、クレジットカード番号、パスワードなどを入力しないよう注意を呼びかけています。
ただし、8月27日の最終報告では、今回流出した個人データがフィッシングメール送信に利用されたのか、あるいは両者がどのように関連していたのかについて具体的な説明はありません。
そのため、「個人データ流出によってフィッシングメールが送信された」とまでは断定できません。一方で、氏名、メールアドレス、宿泊日などの予約関連情報が外部へ流出したこと自体は、今後のなりすましメールや宿泊予約を装った詐欺に悪用されるリスクを高める要因となります。
再発防止として感染PCを初期化、セキュリティ体制と従業員教育を強化
ホテル白菊は再発防止策として、感染したパソコンの初期化を実施しています。
あわせて、セキュリティ体制の見直しと強化、従業員に対するITリテラシー向上研修などを進めているとしています。
宿泊業では、ホテルの社内端末だけでなく、OTA、予約・販売管理システム、旅行会社、外部ベンダーなど複数のシステムや事業者が予約情報を取り扱います。このため、端末防御だけでなく、認証情報の管理、アクセス権限、外部サービスとの接続、委託先を含むインシデント対応体制を横断的に確認する必要があります。
セキュリティ対策Labでは、宿泊業で発生したサイバー攻撃や不正アクセス事例について「2025年に発生したホテル業や宿泊業へのサイバー攻撃や不正アクセスの事例と対策」でも整理しています。
情報システム部門への示唆
今回の事案では、従業員が利用するパソコンのマルウェア感染と、予約・販売管理システムへの不正アクセスが同じ調査の中で確認されました。宿泊施設に限らず、外部SaaSや業務システムへアクセスする端末が侵害された場合、端末単体の被害で終わらず、クラウドサービスや外部システムに保管された情報へ影響が広がる可能性があります。
情報システム部門では、EDRなどによる端末監視だけでなく、業務システム側の多要素認証、ログ監視、アクセス元制御、権限の最小化、認証情報の使い回し防止を組み合わせることが重要です。
また、顧客の予約情報には、氏名や連絡先だけでなく、宿泊日や利用人数など行動予定に近い情報が含まれる場合があります。こうした情報が流出すると、予約確認やキャンセル手続きを装ったフィッシングの説得力が増すため、インシデント発生後は顧客への注意喚起を早期に行い、正規の連絡経路や「組織から要求しない情報」を明確に示す対応が求められます。
今回のホテル白菊の公表では、対象件数、マルウェアの種類、具体的な感染経路、個人情報保護委員会への報告有無などは明らかにされていません。今後追加公表がある場合は、侵入経路と影響範囲、再発防止策の具体化が確認ポイントになります。
出典
- 【最終報告】 宿泊予約・販売管理システムへの不正アクセスに関する調査結果とお詫び – ホテル白菊
- 【重要】当館を装った不審なメール（フィッシングメール）に関する中間報告 – ホテル白菊
- 【重要】当館を装った不審なメール（フィッシングメール）に関する注意喚起 – ホテル白菊
- 会社概要 – ホテル白菊
- 2025年に発生したホテル業や宿泊業へのサイバー攻撃や不正アクセスの事例と対策 – セキュリティ対策Lab
関連記事
サイバー攻撃集団 ロックビット(LockBit)とは？
富士通で個人情報漏洩の恐れ マルウェア感染も
不正アクセスで「よどいこ！」から個人情報流出の可能性
モバイルファクトリーがSuishow 株式会社の現代表取締役へ訴訟提起 背景に「NauNau」のセキュリティ管理問題か？
国分生協病院がランサムウェア攻撃を受け、一部診療記録のPDFが閲覧不可に
北海道大学が不正アクセスで約2.3万の個人情報が流出した事を発表
ベネッセ 個人情報流出事件で地裁から賠償命令 3338人に計1100万円
WelcomeHRを運営するワークスタイルテックが約15万人の個人情報漏洩を発表
福島県郡山市の委託先社員がマイナンバーカードの個人情報を私的に利用
