ホテル白菊（つるみ観光）の宿泊予約・販売管理システムへの不正アクセス（個人データ流出確認・PC1台マルウェア感染・件数非公表）
公表日
大分県別府市のホテル白菊を運営するつるみ観光で、宿泊予約・販売管理システムへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。により、氏名や連絡先など一部の個人データの流出が確認されました。影響を受けた人数は公表されていません。
対象者は？
2026年4月8日以前にホテル白菊の予約・予約変更・予約取消をした人のうち、宿泊日が2025年10月9日〜10月30日、または2026年4月9日〜2027年1月9日に当たる人です。OTA、旅行会社の店舗、公式サイト経由の予約も含まれます。流出したのは氏名、住所、電話番号、メールアドレス、年齢、性別、宿泊日、利用人数です。クレジットカード情報は含まれないとしています。
ご自身の予約の宿泊日と、上の対象宿泊日を照らし合わせて確認できます。個別の連絡の有無や問い合わせ方法は、確認した資料には書かれていません。
いますぐできること
- 「宿泊予約がキャンセルされた」といった英語のメールが届いても、本文のリンクを開かず、添付ファイルも開かないようにする。
- 予約内容を確認したいときは、メール内のリンクからではなく、ご自身で調べた公式サイトや予約サイトから確認する。
- 氏名・住所・電話番号などを使った不審な電話やメールが来たら、相手に情報を伝えず、公式の窓口へ確認する。
何が起きたのか
2026年4月10日、ホテル白菊は、同館の名前やロゴを悪用した英語のメールが一部のお客様に送られていることを確認して発表しました。メールは「宿泊予約がキャンセルされた」という内容でした。同館は警察に相談し、専門機関とも調べを進めました。4月30日の中間報告では、予約システムの提供会社から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の疑いが伝えられ、預けていた個人データが流出した可能性があるとしました。8月27日の最終報告では、同館のパソコン1台のウイルス（マルウェアパソコンやスマートフォン、サーバーに入り込んで悪さをするソフトウェアの総称です。「ウイルス」もマルウェアの一種です。情報を盗む、データを壊す、他のパソコンへの攻撃の踏み台にする、などの目的で使われます。）感染と、システムへの不正アクセス、個人データの流出が確認されたと発表しました。
なぜ起きたのか・なぜ広がったのか
ウイルスに感染した経路や、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。に至った詳しい入り口は、まだ発表されていません。個人データの流出と、4月のメールが送られたこととの関係も、最終報告では説明されていません。
いまの状況2026-09-16 時点
同館は、感染したパソコンの初期化、セキュリティ体制の見直し・強化、従業員向けの研修などを行ったとしています。影響を受けた人数、感染の経路、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。の有無は、まだ発表されていません。
企業として考えたいこと
自社の予約や顧客のデータを預けている委託先で問題が起きたとき、どのデータが、どの範囲で預けられているかをすぐに説明できますか。
技術的な要約
大分県別府市のホテル白菊を運営するつるみ観光株式会社は、2026年4月10日に同館の名称やロゴを悪用した英語のフィッシングメールが一部顧客に送信されていることを確認・発表した。4月30日の中間報告では、宿泊予約・販売管理システムの提供ベンダーから不正アクセスが疑われるとの報告を受け、委託先へ預けていた一部個人データが流出した可能性があるとした。8月27日の最終報告で、同館のパソコン1台のマルウェア感染と個人データの流出が確認済みの事実として更新された。流出したのは氏名、住所、電話番号、メールアドレス、年齢、性別、宿泊日、利用人数で、クレジットカード情報は対象に含まれないとしている。影響人数・件数、詳細な侵入経路、流出とフィッシングメール送信との因果関係は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明警察や専門機関の調査でPC1台のマルウェア感染が確認されたが、マルウェアへの具体的な感染経路や、不正アクセスに至った詳細な侵入経路は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止については公表されていない。
- データ
- 確定上限 —確定 —氏名住所電話番号メール生年月日性別その他流出確認済みの項目は氏名、住所、電話番号、メールアドレス、年齢、性別、宿泊日（チェックイン日／チェックアウト日）、利用人数（data_typesの「生年月日」は年齢、「その他」は宿泊日・利用人数に対応）。対象は2026年4月8日以前に予約・予約変更・予約取消を行った利用者のうち対象宿泊日（2025年10月9日〜10月30日、2026年4月9日〜2027年1月9日）に該当する利用者で、OTA、旅行会社店舗、公式サイト経由の予約を含む。クレジットカード情報は対象外としている。影響人数・予約件数は公表されていない。
- 波及先
- —
- 一部顧客に、同館の名称・ロゴを悪用した英語のフィッシングメール（宿泊予約がキャンセルされた旨）が送信された。個人データ流出との因果関係は最終報告で説明されていない。
- 金銭影響
- —
- サプライチェーン
- 4月30日の中間報告で、宿泊予約・販売管理システムの提供ベンダーから不正アクセスが疑われるとの報告を受け、同社が委託先へ預けていた一部個人データの流出可能性が確認されたと公表。ベンダー側の詳細は公表されていない。
時系列
- 2026-04-08流出データの対象となる予約・変更・取消の受付日の区切り（2026年4月8日以前に行った利用者が対象）。1
- 2026-04-10
- 2026-04-10別府警察署へ相談・報告し、捜査への協力と詳細な状況調査を開始。外部専門機関とも連携し、セキュリティ強化と再発防止策を講じた。2
- 2026-04-30中間報告。システム提供ベンダーから不正アクセスが疑われるとの報告を受け、委託先へ預けていた一部個人データの流出の可能性が確認されたと公表。1
- 2026-08-27
- 2026-08-27宿泊予約・販売管理システムへの不正アクセスと一部個人データの流出が確認され、中間報告の「流出した可能性」から確認済みの事実に更新。1
- 2026-08-27流出データは氏名、住所、電話番号、メールアドレス、年齢、性別、宿泊日、利用人数。クレジットカード情報は対象外と公表。影響人数・件数は非公表。1
- 2026-09-02セキュリティ対策Labが最終報告について報道。1
- 2026-09-16ScanNetSecurityが調査結果の発表について報道。2
技術解説
公表された経緯 事実
ホテル白菊を運営するつるみ観光は、2026年4月10日に同館の名称・ロゴを使い「宿泊予約がキャンセルされた」とする英語のフィッシングメールが一部顧客に送られていることを確認し、発表した。同館は別府警察署へ相談・報告し、外部の専門機関と連携して調査を進めた。4月30日の中間報告では、宿泊予約・販売管理システムの提供ベンダーから不正アクセスが疑われるとの報告を受け、委託先へ預けていた一部個人データが流出した可能性があるとした。8月27日の最終報告で、不正アクセスと一部個人データの流出が確認済みの事実に更新された。
流出した情報と対象範囲 事実
流出が確認された情報は、氏名、住所、電話番号、メールアドレス、年齢、性別、宿泊日（チェックイン日／チェックアウト日）、利用人数である。クレジットカード情報は対象に含まれないとしている。対象は2026年4月8日以前に予約・予約変更・予約取消を行った利用者のうち、対象宿泊日（2025年10月9日〜10月30日、2026年4月9日〜2027年1月9日）に該当する人で、OTA、旅行会社の店舗、公式サイト経由の予約を含む。影響人数や予約件数は公表されていない。
侵入経路・攻撃者について公表されていないこと 事実
警察や専門機関の調査で、同館のパソコン1台がマルウェアに感染していたことが確認された。一方で、マルウェアへの具体的な感染経路や、不正アクセスに至った詳細な侵入経路は公表されていない。マルウェアの種類や感染日時などの技術的詳細も示されておらず、ランサムウェア被害や特定の脅威アクターによる攻撃だったとの説明もない。最終報告では、個人データの流出とフィッシングメール送信との具体的な因果関係も説明されていない。
端末感染とシステム側の関係（解釈） 解釈
最終報告はPC1台のマルウェア感染と、予約・販売管理システムへの不正アクセスの双方を挙げている。ただ、この二つがどう結びつくのかは公表されていない。中間報告の端緒はベンダーからの報告であり、委託先側の環境と同館側の端末のどちらが流出経路だったのかは、公開情報からは読み取れない。一般に、予約システムは多数の利用者の個人データを一か所に集めるため、端末の感染や委託先の侵害が広い範囲の情報に及ぶ余地がある。ただし本件がそうだったかは確認できない。
公表の進め方の評価（解釈） 解釈
同館は、フィッシングメールの確認、流出の可能性、流出の確認と、調査の進み具合に合わせて段階的に公表を更新している。中間報告の「可能性」を最終報告で確認済みの事実に改め、対象宿泊日や予約経路まで示した点は、利用者が自分が対象か考える助けになる。一方で、影響人数、侵入経路、フィッシングメールとの関係といった、利用者や同業者が知りたい点は示されていない。これらが調査上の制約によるのか、公表方針によるのかは、公開情報からは判断できない。
対応
- 封じ込め
- 感染したパソコンの初期化、セキュリティ体制の見直し・強化、従業員へのITリテラシー研修などを実施。外部の専門機関と連携し、セキュリティの抜本的な強化と再発防止策を講じた。別府警察署へ相談・報告し、捜査への協力と調査を進めた。
- 公表の仕方
- 2026年4月10日にフィッシングメールの確認を発表、4月30日に中間報告（流出の可能性）、8月27日に最終報告（流出確認）。最終報告では個人データ流出とフィッシングメール送信との具体的な因果関係は説明されていない。
- 当局対応
- 別府警察署（相談・報告）
- 個人情報保護委員会への報告有無は公表資料では確認できなかった
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先やSaaSに預けた個人データも、自社の漏えいリスクとして管理する必要がある。 | 委託先ごとに保管データ項目・保存期間・アクセス権限を台帳化し、不要な過去予約データは定期的に削除またはマスキングする。委託契約にインシデント通知の期限と連絡窓口を明記する。 |
| 現場の端末1台のマルウェア感染が、予約・販売管理システムの情報流出につながりうる。 | 予約システムへのログインは多要素認証を必須にし、フロント業務用端末にEDRを導入する。端末ごとにシステムの権限を最小化し、ブラウザへのパスワード保存を禁止する。 |
| 名称やロゴを悪用したフィッシングは、個人データ流出の前後を問わず顧客を狙う。 | 自社ドメインにSPF・DKIM・DMARC（p=reject）を設定する。公式サイトに「送信元と連絡手段」を掲載し、顧客からの不審メール報告窓口を用意する。 |
| 流出の可能性が出た段階で、対象範囲を特定できるログを確保しておく必要がある。 | 予約システムの認証ログ・データ出力ログを一定期間保全し、ベンダー側のログも契約で提供できるようにする。感染端末は初期化の前にフォレンジック用イメージを取得する。 |
| 調査結果の公表では、確定した事項と未確認の事項を分けて示すと、利用者が判断しやすい。 | 続報の雛形に「確認済み／可能性／未確認」の欄を設け、対象範囲、対象期間、影響人数、因果関係の説明有無を毎回更新する。 |
自組織などでの確認項目
- 自社が予約・顧客データを預けている委託先やクラウドサービスを一覧にできるか。そのうち、過去の利用者データをどこまで保持しているかを把握しているか。
- フロントや事務で使う端末に、予約・販売管理システムへの権限やブラウザ保存のパスワードが残っていないか。端末が感染した場合に、どの範囲のデータが見られるかを説明できるか。
- 自社の名称やロゴを使った偽メールが顧客に届いたとき、誰が受け付け、どの手段で顧客へ周知するか決まっているか。送信ドメイン認証（DMARC）の設定状況はどうか。
未解明点
- 影響を受けた人数・予約件数はどれくらいか（公表されていない）。
- マルウェアに感染した経路と、不正アクセスに至った詳細な侵入経路は何か。感染したPCとシステム側の不正アクセスはどう関係していたのか。
- 個人データの流出と、4月10日に確認されたフィッシングメール送信との間に因果関係はあるのか。
- 個人情報保護委員会への報告は行われたのか（公表資料では確認できない）。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-02報道本文確認済
- 2ScanNetSecurity2026-09-16報道本文確認済