H.I.S.ホテルホールディングス、ホテル会員約14万人の個人情報が漏えいした可能性　メール配信委託先に不正アクセス

H.I.S.ホテルホールディングス株式会社は2026年10月22日、会員向けメールマガジンの配信に使用している外部サービスの運営会社が不正アクセスを受け、ホテル会員約14万人分の氏名とメールアドレスが外部に流出した可能性があると発表しました。

同社によると、外部サービス側からは、まず同社との契約情報の漏えいが確定したとの連絡があり、その後、会員向けメールの「配信先リスト」も漏えいした可能性が判明しました。カード情報は対象に含まれていません。ホテル予約サイトについては、別途公表されたPHPの脆弱性への更新対応を完了しており、正常に運用していると説明しています。

H.I.S.ホテルホールディングスの情報漏えい事案のサマリー

• 公表日：2026年10月22日。
• 公表企業：H.I.S.ホテルホールディングス株式会社。
• 関係するサービス：自社サイトのホテル会員向けメールマガジンを配信する外部サービス。
• 発生した事象：外部サービス運営会社が第三者から不正アクセスを受けました。
• 漏えいが確定した情報：外部配信会社が管理する、H.I.S.ホテルホールディングスとの契約情報。
• 漏えいした可能性がある情報：ホテル会員約14万人分の氏名、メールアドレス。
• 対象に含まれない情報：クレジットカード情報。
• 対応状況：委託先の報告を受けて詳細を調査し、二次被害の防止を進めています。
• 関係機関への報告：個人情報保護委員会に速やかに報告する方針を示しています。
• 予約サイトへの対応：PHPの脆弱性対策としてバージョンアップを完了し、正常な運用を継続していると説明しています。

委託先の契約情報は漏えい確定、会員配信リストは調査中

H.I.S.ホテルホールディングスは、ホテル会員へのメールマガジンを毎月外部サービスを通じて配信しています。10月22日の発表によると、外部サービスの運営会社が不正アクセスを受け、契約情報が流出したことを知らせる連絡を受けました。その後の追加報告で、会員の配信先リストも持ち出された可能性が示されました。

「契約情報の漏えいが確定した」という報告と、「約14万人分の氏名・メールアドレスが漏えいした可能性がある」という報告は、確定状況が異なります。約14万人は漏えいが疑われる会員情報の規模であり、14万人すべての情報が外部へ流出したと確定した人数ではありません。また、公表対象はメール配信先情報であり、宿泊履歴、予約番号、旅券情報、会員パスワードなどが漏えいしたとの発表ではありません。

公表文では外部メール配信サービスの運営会社名・サービス名は明記されていません。同時期には、ラクスライトクラウドのメール配信サービス「ブラストメール」でも契約者情報の持ち出しと一部の配信先リストの漏えいが公表されていますが、現時点でH.I.S.ホテルホールディングスの発表だけを根拠に両者を同一事案と断定することはできません。外部メール配信基盤への攻撃と利用組織への波及については、ブラストメール不正アクセスの影響先まとめでも整理しています。

氏名・メールアドレスを悪用した偽の宿泊案内や本人確認に注意

メールアドレスと氏名が第三者に渡った場合、ホテル会員であることを前提にした、より自然な文面のフィッシングメールに悪用されるおそれがあります。たとえばホテルの運営会社や予約窓口を装い、「会員情報の更新」「予約内容の再確認」「返金手続き」「アカウントの安全確認」などと称して偽サイトへ誘導する手口が考えられます。

これは流出が疑われる情報の性質から想定される二次被害であり、今回そのような不正利用が実際に発生したとの発表ではありません。氏名とメールアドレスを把握されたとしても、直ちにパスワードやカード番号を知られたことにはなりません。ただし、偽サイト上で利用者自身に情報を入力させる手口には注意が必要です。

利用者は、ホテルからの案内を名乗るメールのリンクをそのまま開かず、事前に保存したブックマークや正規サイトから予約・会員情報を確認できます。被害通知や補償案内を装ったメールへの対応については、情報漏えい後の「おわび」フィッシング詐欺の注意点も参考になります。

予約サイトはPHPの脆弱性対策を完了、今回の情報漏えいとは分けて公表

同社は今回の発表の中で、2026年10月に公表されたPHPの脆弱性に関しても言及しました。自社予約サイトではPHPのバージョンアップを実施し、セキュリティ対策を完了したと説明しています。発表時点で予約サイトは正常に運用されているとしています。

この説明は予約サイトのソフトウェア更新状況に関するものであり、外部メール配信サービスへの不正アクセスがPHPの脆弱性によって起きたという説明ではありません。会員配信先リストへの影響と、予約サイトでのPHP更新は別々の論点として扱う必要があります。

影響範囲を調査、個人情報保護委員会への報告を予定

H.I.S.ホテルホールディングスは、外部サービス運営会社からの報告と追加調査によって被害状況の詳細を確認し、会員情報の不正利用などが発生した場合には適切に対応する方針です。個人情報保護委員会に対しては速やかに報告を行うとしています。

問い合わせ先として、同社のお客様窓口「050-1743-0810」を案内しています。会員情報や予約に関して不審な連絡を受けた際には、その連絡に記載された窓口ではなく、公式発表に掲載された連絡先と照合する方法があります。

企業の会員運営部門・情報システム部門が確認したい点

今回の事案では、会員サービス本体への侵入が公表されたわけではなく、メール配信を外部委託していたことが個人情報への影響につながっています。会員向け配信基盤を利用する企業は、自社の顧客データベースと外部配信リストを区別し、委託先に登録した情報項目、人数、更新履歴、データ保管先を把握する必要があります。

配信会社から漏えいの連絡を受けた場合は、契約担当者の情報とエンドユーザーの配信先情報を区別し、どちらが確定した漏えいなのか、調査中なのかを確認します。顧客への注意喚起には、偽の「重要なお知らせ」や再認証要求と区別できるよう、公式サイトで同じ内容を掲載することも考えられます。

出典

• 個人情報流出の可能性に関するお知らせ（2026年10月22日）―H.I.S.ホテルホールディングス株式会社
• 【第2報】当社子会社が提供する「ブラストメール」における不正アクセスによる情報漏えいおよびサービス停止について（2026年10月21日）―株式会社ラクス