大阪市住之江区のH.B.P HOTELは2026年10月9日、過去に利用していた宿泊管理システムへの不正アクセスにより、宿泊客の個人情報が漏えいしたと公表しました。不正アクセスが発生したのは9月18日夜から19日夕方にかけてで、システム提供会社側に残っていた旧方式のログイン情報が第三者に不正使用されたことが原因と説明しています。
同ホテルは2025年に当該システムの利用を終了していましたが、過去の宿泊・予約客の情報がシステム内に残されていました。漏えいした情報には氏名、住所、電話番号、生年月日、国籍、前泊地・次泊地などが含まれます。対象人数は公表されていません。
H.B.P HOTELの個人情報漏えいの概要
- 公表日：2026年10月9日
- 発生時期：2026年9月18日夜～19日夕方
- 影響を受けたシステム：以前利用していた外部提供の宿泊管理システム
- 原因：システム提供会社側に残っていた旧方式のログイン情報を第三者が不正使用
- 対象者：2020年11月30日～2025年9月5日に宿泊または予約した顧客
- 漏えいが確認された情報：氏名、連絡先、住所、生年月日、国籍、宿泊に関する情報など
- 対象人数：公表なし
- クレジットカード情報、予約サイト・SNS・メールなどのパスワードは漏えい対象に含まれないとの説明
- 不正アクセスはシステム提供会社が遮断済みで、公表時点で二次被害は確認されていない
- ホテルは対象者への通知を進めるとともに、提供会社に残存データの削除を要求
| 項目 | 内容 |
|---|---|
| 対象施設 | H.B.P HOTEL（大阪市住之江区） |
| 公表日 | 2026年10月9日 |
| 不正アクセスがあった期間 | 2026年9月18日夜～19日夕方 |
| 不正アクセス先 | 利用終了済みの宿泊管理システム |
| 原因 | 提供会社に残っていた旧方式のログイン情報の不正使用 |
| 影響を受ける顧客 | 2020年11月30日～2025年9月5日の宿泊客・予約客 |
| 漏えい情報 | 氏名、メールアドレス、電話番号、住所、生年月日、国籍など |
| 対象人数 | 非公表 |
| 対応 | 不正アクセス遮断、対象者への通知、保存データ削除の要求 |
利用終了したシステムに顧客情報が残存、旧方式のログイン情報を不正使用
H.B.P HOTELの公式発表によると、今回不正アクセスを受けたのは、同ホテルが過去に使用していた宿泊管理システムです。ホテル側は2025年に利用を終了しており、現在は別のシステムを使っています。
一方、システム提供会社側には旧方式のログイン情報が残っており、これが第三者によって不正に使用されました。提供会社の環境に保管されていた顧客情報が漏えいしたとされています。
ホテルは、提供会社によって不正アクセスが遮断されたと説明しています。今回の事態を受けて、旧システム内に残っているH.B.P HOTELの顧客情報の削除を提供会社へ求めました。さらに、現在利用するシステムを含む外部サービスについても、顧客情報の管理状況を再確認するとしています。
本件は、業務システムを切り替えて利用を終了した後も、旧サービス上に顧客データやアクセスに利用される情報が残り続けるリスクを示す事例です。
氏名・住所・生年月日・国籍・前泊地などが漏えい
ホテルが漏えいを確認したと公表している情報は、次のとおりです。
- 氏名
- メールアドレス
- 電話番号
- 郵便番号・住所
- 生年月日
- 性別
- 職業
- 国籍
- 国（予約情報）
- 前泊地・次泊地
- 事前チェックイン用の4桁の番号
顧客によって含まれる情報は異なります。ホテルは、クレジットカード情報、および予約サイトやSNS、メールなどのパスワードは対象に含まれていないと明示しています。
対象は2020年11月30日から2025年9月5日までにH.B.P HOTELへ宿泊した、または予約した顧客です。この期間外の顧客は対象ではないとしています。
対象者へメールで通知、不審な請求への注意を呼びかけ
H.B.P HOTELは、メールアドレスを預かっている顧客に対し、同ホテル名義で「[email protected]」から個別に通知しています。また、対象者かどうかを確認できる問い合わせ窓口を設置しました。
- 電話：050-1809-4180（平日9:00～17:00）
- メール：[email protected]
ホテルは、宿泊施設や予約情報を装ったメール、SMS、WhatsApp、電話による詐欺への注意を呼びかけています。特に、宿泊料金の追加支払いやカード情報の入力を要求する連絡には応じないよう案内しており、ホテル側からそのような依頼はしないと説明しています。
公式に掲載された通知元アドレスと一致する場合でも、メールに書かれたリンクや振込先を無条件に信用せず、疑わしい連絡はホテルの公式サイトに掲載された窓口で確認することが安全です。
旧システムの契約終了後も残る情報をどう管理するか
今回の事案で管理上の論点となるのは、システムを停止・解約した後に、提供会社側で顧客情報と旧方式の認証情報がどのように扱われるかという点です。
宿泊予約・顧客管理に限らず、外部SaaSや委託先システムを切り替える際には、データ移行の完了に加えて、旧環境に保存された個人情報の削除状況を確認する必要があります。
情報システム部門とサービスの所管部門は、契約終了時に少なくとも「保存データの削除範囲と完了確認」「旧アカウントや連携用認証情報の失効」「バックアップを含むデータの保存期限」「再委託先・提供会社に残るアクセス経路」を確認する運用が考えられます。
出典
関連記事
サイバー攻撃集団 ロックビット(LockBit)とは？
富士通で個人情報漏洩の恐れ マルウェア感染も
不正アクセスで「よどいこ！」から個人情報流出の可能性
モバイルファクトリーがSuishow 株式会社の現代表取締役へ訴訟提起 背景に「NauNau」のセキュリティ管理問題か？
国分生協病院がランサムウェア攻撃を受け、一部診療記録のPDFが閲覧不可に
北海道大学が不正アクセスで約2.3万の個人情報が流出した事を発表
ベネッセ 個人情報流出事件で地裁から賠償命令 3338人に計1100万円
WelcomeHRを運営するワークスタイルテックが約15万人の個人情報漏洩を発表
福島県郡山市の委託先社員がマイナンバーカードの個人情報を私的に利用
