海月館グループ宿泊施設で不正アクセス、氏名・連絡先など個人情報流出の可能性フィッシングメールに注意|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月05日更新日時: 2026年08月05日

淡路島洲本温泉の海月館は2026年8月3日、海月館グループの宿泊施設において、悪意のある第三者による不正アクセスが発生し、顧客の個人情報が外部へ流出した可能性があると公表しました。

公表によれば、不正アクセスが発生したのは2026年7月29日夕刻から7月30日午前にかけてです。流出した可能性がある情報は氏名、連絡先などとされています。一方で、宿泊内容の詳細およびクレジットカード番号などが流出している可能性はないと説明されています。

宿泊施設のインシデントでは、氏名や連絡先だけでも、予約確認や決済確認を装ったフィッシングメール、偽の宿泊キャンセル通知、旅行予約サイトや宿泊施設を名乗る不審な連絡に悪用されるおそれがあります。海月館グループも、メール等でクレジットカード番号やパスワードの入力を求めることはないとして、不審なメールのURLにアクセスしないよう注意を呼びかけています。

海月館グループ不正アクセス事案のサマリー

海月館グループの宿泊施設で、2026年7月29日夕刻から7月30日午前にかけて第三者による不正アクセスが発生したと公表されました。
氏名、連絡先などの顧客個人情報が外部へ流出した可能性があります。一方で、宿泊内容の詳細やクレジットカード番号などが流出している可能性はないとされています。
同グループは不正アクセスの遮断、専門機関を交えた調査、セキュリティ強化対策を実施していると説明しています。
個人情報保護委員会への報告状況、影響人数、対象施設名、侵入経路、原因の詳細は、公式公表文では確認できません。
宿泊施設や予約関連サービスを装ったフィッシング、追加決済を求める偽メール、不審なURLへの誘導に注意が必要です。

項目	内容
公表日	2026年8月3日
被害企業	海月館グループ
対象	同グループの宿泊施設
発生日時	2026年7月29日夕刻から7月30日午前
事案の内容	第三者による不正アクセス
漏えい情報の内容	氏名、連絡先などの顧客個人情報が外部へ流出した可能性
流出可能性がないとされた情報	宿泊内容の詳細、クレジットカード番号など
影響人数	公式公表文では未公表
原因・侵入経路	公式公表文では未公表
対応状況	不正アクセスの遮断、専門機関を交えた調査、セキュリティ強化対策を実施
個人情報保護委員会への報告状況	公式公表文では確認できず
問い合わせ窓口	海月館グループシステム管理部 [email protected]

何が起きたか

海月館は2026年8月3日、海月館グループの宿泊施設で悪意のある第三者による不正アクセスが発生し、顧客の個人情報が流出した可能性があると発表しました。

発生時期は2026年7月29日夕刻から7月30日午前にかけてとされています。公表文では、第三者による不正アクセスにより、顧客の氏名、連絡先などが外部へ流出した可能性が確認されたと説明されています。

一方で、宿泊内容の詳細およびクレジットカード番号などが流出している可能性はないとされています。宿泊施設の予約情報では、氏名や連絡先に加えて宿泊日、同行者、決済情報などが組み合わさると二次被害の精度が上がりますが、今回の公表文では宿泊内容の詳細とクレジットカード番号については流出可能性が否定されています。

同グループは、判明後に不正アクセスを遮断し、専門機関を交えた調査とセキュリティ強化対策を実施していると説明しています。ただし、対象となった具体的な施設名、影響人数、侵入経路、原因、個人情報保護委員会への報告状況は、8月3日の公表文では明らかにされていません。

漏えいの可能性がある情報と公表されていない論点

今回、流出した可能性があるとされた情報は、氏名、連絡先などです。公表文の範囲では、住所、メールアドレス、電話番号のいずれが含まれるのか、また何人分の情報が対象となるのかは確認できません。

氏名と連絡先は、単体ではクレジットカード番号ほど直接的な金銭被害に結びつかないように見えます。しかし、宿泊施設名と組み合わさると、宿泊予約や問い合わせ履歴に関係があるように見せかけたメールや電話を作りやすくなります。特に、宿泊施設を名乗って追加決済、予約確認、キャンセル手続き、本人確認などを求める連絡には注意が必要です。

個人情報保護委員会は、外部からの不正アクセスにより個人データが窃取された場合や、ウェブサイトが改ざんされて入力情報が第三者に送信された場合などを、漏えい等報告が必要となり得る事例として示しています。今回の公表文では個人情報保護委員会への報告状況は確認できないため、今後の続報で、影響範囲や当局報告の有無が明らかになるかが焦点になります。

フィッシングメールへの注意喚起が重要な理由

海月館グループは、同グループからメール等でクレジットカード番号やパスワードの入力を求めることは一切ないとし、不審なメールを受信した場合はURLにアクセスせず削除するよう呼びかけています。万が一、情報を入力した場合には、速やかにクレジットカード会社へ連絡し、利用停止などの手続きを行うよう案内しています。

宿泊施設や旅行予約に関するフィッシングは、利用者が「予約が取り消されるかもしれない」「決済に失敗したかもしれない」と感じやすいため、心理的に反応してしまいやすい領域です。特に旅行直前のタイミングでは、利用者が急いでメール内リンクを開き、カード情報や認証情報を入力してしまうリスクがあります。

セキュリティ対策Labでも、過去にBooking.com（ブッキングドットコム）で不正アクセスによる個人情報漏洩とフィッシングへの注意喚起や、新横浜グレイスホテルでBooking.com経由の不正アクセスによりフィッシングメッセージが送付された事例を取り上げています。宿泊施設を装う攻撃では、正規の予約情報や施設名が使われることで、利用者が偽メールを見分けにくくなる点が問題です。

宿泊・予約関連システムで相次ぐ不正アクセスとの共通点

宿泊業界では、公式サイト、予約管理システム、外部予約サービス、旅行代理店システム、宿泊施設のメールアカウントなど、顧客と接点を持つシステムが複数に分かれています。攻撃者から見ると、ホテル本体の基幹システムだけでなく、予約フォーム、問い合わせフォーム、外部予約管理サービス、メールアカウントのいずれも侵入口になり得ます。

過去には、セキュリティ対策Labでも2025年版ホテル・宿泊業を襲う不正アクセスやサイバー攻撃や個人情報漏洩の事例と対策で、宿泊予約システムや外部委託先を起点とする不正アクセス事例を整理しています。また、アソビューのパートナー向け予約管理システムへのサイバー攻撃のように、観光・レジャー・宿泊施設が利用する予約管理基盤が攻撃対象になるケースもあります。

今回の海月館グループの公表文では、どのシステムが不正アクセスを受けたのかは明らかにされていません。ただし、宿泊施設側のインシデント対応では、予約管理システムだけでなく、Webサーバ、CMS、問い合わせフォーム、メール送信基盤、管理画面、外部サービス連携、管理者アカウントの認証状況を横断的に確認する必要があります。

利用者が取るべき対応

海月館グループの宿泊施設を利用した可能性がある場合、当面は同グループや宿泊予約サイトを名乗るメール、SMS、電話に注意が必要です。公式発表では、同グループがメール等でクレジットカード番号やパスワードの入力を求めることはないとされています。

不審なメールを受け取った場合は、メール内のURLからアクセスせず、公式サイトをブックマークや検索から開いて確認することが重要です。カード情報やパスワードを入力してしまった場合は、カード会社への連絡、カードの利用停止、同じパスワードを使い回しているサービスの変更を優先してください。

フィッシングの見分け方として、差出人名だけを信用しないことも重要です。攻撃者は施設名や予約情報に似せた文面を作ることがあります。決済失敗、予約キャンセル、本人確認、返金手続きなどを理由に急いで入力を求めるメールは、正規の連絡に見えても慎重に確認する必要があります。

情報システム部門への示唆

宿泊施設や観光関連事業者に限らず、顧客の氏名と連絡先を扱う企業では、外部公開サイトと予約・問い合わせ系システムの管理を軽く見ないことが重要です。コーポレートサイトや宿泊施設サイトは、決済や基幹システムに比べて優先度が低く見られがちですが、フォーム入力データや予約導線を持つ場合、攻撃者にとっては十分な価値があります。

実務上は、CMSやプラグインの更新、管理画面のアクセス制限、多要素認証、不要アカウントの削除、ログ保全、WAFやEDRの監視、外部委託先を含めた権限管理を確認する必要があります。特に、管理者アカウントの使い回し、退職者アカウントの残存、共用IDの運用、外部ベンダー用アカウントの放置は、侵入経路になりやすい部分です。

インシデント発生時には、流出した情報の種類だけでなく、二次被害のシナリオを先に想定する必要があります。氏名と連絡先のみであっても、宿泊施設名と組み合わせることで、予約確認を装ったフィッシング、追加決済を求める偽メール、旅行予定に便乗したなりすまし連絡が成立します。利用者向けには「当社がメールでカード番号やパスワードを求めることはない」「不審メールのURLにアクセスしない」という注意喚起を早期に出すべきです。

個人情報保護委員会への報告判断については、漏えいが確定してからではなく、漏えいのおそれがある段階で要件に該当するかを確認する必要があります。特に、第三者による不正アクセスが関係する場合は、報告対象事態に該当する可能性が高いため、法務、個人情報保護担当、システム部門、外部専門機関が同じタイムラインで動ける体制を事前に整えておくことが重要です。