ワシントンホテルへのランサムウェア攻撃（外部接続機器経由で一部サーバー暗号化、一部ホテルでクレジットカード端末が停止）
公表日
全国43のホテルを運営するワシントンホテルがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を受け、一部のサーバーが暗号化されました。一部のホテルでは、しばらくクレジットカードの端末が使えなくなりました。
対象者は？
ワシントンホテルの一部の従業員と退職者です。感染した社内管理用のサーバーに個人情報が保存されていました（人数と項目は公表されていません）。情報が盗まれた明確な痕跡は見つかっていないとされています。会員組織「ワシントンネット」の会員情報と、外部の予約サイト経由の宿泊者の情報は、別の会社の環境で管理されており、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は確認されていません。
対象の従業員・退職者には、会社から順次個別に連絡されています。退職者向けのお知らせも出ています。
いますぐできること
- ワシントンホテルで働いていた方は、会社からの個別の連絡や退職者向けのお知らせを確認する
- ホテルを名乗るメッセージで、予約の確認や支払いを求められても、リンクは開かず、公式サイトや予約したサイトから確認する
何が起きたのか
2026年2月13日の夜10時ごろ、ワシントンホテルの一部のサーバーに、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。とみられる不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が見つかりました。会社は外部とのネットワークを遮断し、翌14日に公表しました。その影響で、一部のホテルでクレジットカードの端末が使えなくなりました。ExcelやWordなどの業務用ファイルの一部が壊れたり消えたりしましたが、バックアップから元に戻しました。
なぜ起きたのか・なぜ広がったのか
会社の最終報告では、外部とつなぐための機器を通って侵入されたと説明しています。どの機器の、どんな弱点が使われたかは公表されていません。お客様の情報への影響が確認されなかったのは、会員や予約の情報が、別の会社が管理する環境に置かれていたためです。一方で、社内のサーバーには従業員の個人情報が保存されていたため、それが対象に含まれていました。
いまの状況2026-09-25 時点
2026年4月6日の時点で、すべてのホテル・直営の飲食店・宴会場が通常どおり営業し、現金・カード・QRコードの決済も正常に動いています。9月7日の最終報告では、攻撃者がほのめかしたダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。（闇サイト）での情報公開は確認されていないとしています。再発防止として、パソコンやサーバーの監視の強化、ログインの管理の強化、バックアップの見直しなどを進めています。業績への影響は小さいと見込んでいます。
企業として考えたいこと
自社では、お客様の情報だけでなく、従業員や退職者の情報がどこに保存されているかを把握しているでしょうか。いらなくなった人事の情報を消す決まりはあるでしょうか。
技術的な要約
名古屋に本社を置き全国43ホテルを展開するワシントンホテル株式会社で、2026年2月13日22時ごろ、一部サーバーへのランサムウェアと推測される不正アクセスとサーバー内への侵入が検知された。同社は外部ネットワークを遮断して2月14日に第1報を公表し、一部ホテルでクレジットカード端末が使用できなくなった。4月6日の第3報で全ホテル・直営飲食店舗・宴会場の通常営業と決済機能（現金・クレジットカード・QR決済）の正常稼働を報告し、Excel/Word等の管理業務用ファイルはバックアップから順次復元された。9月7日の最終報で、侵入起点は「外部接続機器を経由した不正アクセス」、一部サーバーが暗号化されたが情報窃取の明確な痕跡はなく、攻撃者が示唆したダークウェブ上での情報公開も確認されていないとした。感染した社内管理用サーバーに一部従業員の個人情報が保存されていたため対象者へ個別通知を行い、9月25日には退職者向けの個人情報に関するお知らせも掲出した。業績への影響は軽微と見込んでいる。
公開情報が限られている点について
攻撃の分類
- 侵入口
- VPN/境界機器公表で確認最終報（2026-09-07）で侵入起点を「外部接続機器を経由した不正アクセス」と説明（報道の引用による）。機器の種類（SSL-VPN、リモートアクセス機器、ルーター等）、ベンダー名、脆弱性悪用か認証情報の悪用かは公表されていない。初期侵入日も非公表で、2/13 22時は検知時刻であり侵入時刻ではない。第三者のベンダー記事（Aviatrix）は『フィッシングまたは脆弱性悪用の可能性』と推測しているが根拠は示されていない。
- 脆弱性
- CVE 非公表不明非公表の外部接続機器最終報は外部接続機器経由の侵入とするのみで、製品名・CVE・脆弱性悪用の有無（既知脆弱性の未修正か、ID/パスワードの流用か）はいずれも公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 外部ネットワーク遮断に伴い、一部ホテルでクレジットカード端末が使用できなくなった（第1報、同社は営業への大きな影響はないと説明）。一部ネットワーク制限が続き、問い合わせ等の顧客対応に通常より時間がかかる状態が第3報時点でも継続。管理業務用ファイル（Excel・Word等）の一部が一時的に破損・消失し、バックアップから復元。期間：クレジットカード端末停止の解消日は非公表。2026-04-06の第3報時点で全ホテル・直営飲食店舗・宴会場が通常営業、決済機能（現金・クレジットカード・QR決済）は正常稼働。最終報（09-07）で業務運営に支障のない状態に復旧と説明。
- データ
- おそれ上限 —確定 —従業員情報業務データ第1報では『サーバーに保存されていた各種業務データへの不正アクセス』を確認（報道）。最終報では情報窃取の明確な痕跡は確認されないとしつつ、感染した社内管理用サーバーに一部従業員の個人情報が保存されていたため対象者へ順次個別通知（人数・項目は非公表）。9/25に『退職者の皆様の個人情報に関するお知らせ』を掲出（本文は未確認）。会員組織『ワシントンネット』の会員情報は別会社管理のサーバー、外部予約サイト経由の情報は外部事業者管理のクラウド環境にあり、いずれも不正アクセスは確認されていない。
- 波及先
- —
- 金銭影響
- 最終報で復旧対応費用等の業績影響は『軽微』と見込み、2026年5月公表の通期業績予想に関連費用を一定程度織り込み済みと説明（報道）。2026年3月期決算短信（2026-05-14）の特別損失（固定資産除却損5,889千円、減損損失34,184千円）にサイバー事案起因の記載はない。
- サプライチェーン
- 取引先への波及は公表されていない。顧客情報（ワシントンネット会員・外部予約サイト経由）を外部事業者の環境に置いていたことが、自社環境侵害時の顧客情報への影響を避ける結果になった。
時系列
- 2026-02-13 22:00
- 2026-02-14
- 2026-02-16
- 2026-02-20
- 2026-04-06
- 2026-05-142026年3月期決算短信を開示。サイバー事案に関する記載・特別損失計上は見当たらない17
- 2026-09-07
- 2026-09-25
技術解説
攻撃の構造：境界機器から社内サーバー暗号化まで 事実
公表された事実は、(1)侵入起点が『外部接続機器を経由した不正アクセス』、(2)一部サーバーの暗号化と管理業務用ファイル（Excel・Word等）の一時的な破損・消失、(3)社内管理用サーバーへの従業員個人情報の保存、(4)情報窃取の明確な痕跡なし、の4点に集約される。検知は2月13日（金）22時ごろで、夜間・週末前に暗号化が起きる国内ランサムウェア事案の典型的なパターンに当てはまる。ただし初期侵入日、滞留期間、横展開の手法（AD侵害の有無など）、ランサムウェアの種類、身代金要求の有無は最終報でも明らかにされていない。カード決済端末の停止は暗号化そのものではなく、外部ネットワーク遮断の副作用として発生したと読める（端末が本部ネットワーク経由で決済センターに接続していた構成と推測されるが、構成は非公表）。
被害を限定した要因：顧客データの外部分離とバックアップ 事実
顧客情報の保管場所が自社環境から分離されていた点が、本件の被害範囲を決めた。会員組織『ワシントンネット』の顧客情報は別会社管理のサーバー、外部予約サイト経由の情報は外部事業者管理のクラウド環境にあり、いずれも不正アクセスは確認されなかった。また、暗号化された管理業務用ファイルはバックアップの安全性を確認したうえで復元でき、第3報（4/6）時点で全43ホテルが通常営業していた。再発防止策の一つに『バックアップ運用・復旧体制の強化』が挙げられていることから、復元に一定の時間と課題があった可能性はあるが、詳細は公表されていない。業績影響も『軽微』とされ、大型事案（アスクル等）と比べ事業への打撃は小さい。
公表の評価：第1報は速いが、技術情報は最後まで薄い 解釈
検知の翌日（2/14）に第1報を出し、2/20・4/6・9/7と約7カ月で4回の報告を出した点は、ホテル利用者に向けた透明性として評価できる。一方で最終報でも、外部接続機器の種類、脆弱性か認証情報か、初期侵入日、攻撃グループ、従業員情報の対象人数・項目は示されなかった。『外部接続機器』という表現はVPN装置やリモートアクセス機器を指すことが多いが、どの製品・どの弱点が悪用されたかが分からなければ、同業他社が自社の同種機器を点検する手掛かりにならない。また海外メディアの一部（BleepingComputer）は本件を藤田観光（WHG Hotels）の事案として報じ、拠点数等を混同していた。社名が似た別企業がある場合、公表文で企業を明確に識別させる配慮も必要になる。
従業員情報という見落とされがちな資産 解釈
顧客情報が守られた一方で、社内管理用サーバーには一部従業員の個人情報が保存されており、9月25日には退職者向けのお知らせまで出している。ホテル業は雇用の流動性が高く、退職者を含めた人事データが社内ファイルサーバーやExcelに長期間残りやすい。顧客データは外部SaaS・委託先で保護されていても、人事・労務データは社内のファイル共有に置かれたままになっていることが多く、ランサムウェアの暗号化・窃取の対象になる。最終報は窃取の明確な痕跡はないとしつつ『完全には否定できない』立場であり、通知対象を退職者まで広げた判断は、保存期間を超えたデータがリスクを増やすことを示している。
対応
- 封じ込め
- 2/13の検知後ただちに外部ネットワークを遮断し、2/14に社内対策本部を設置。外部専門家（専門調査会社）によるフォレンジック調査を実施し9月までに完了。バックアップの安全性を確認したうえでサーバー・業務ファイルを復元。再発防止策として、(1)EDR導入等による端末・サーバー監視の強化、(2)認証・アクセス管理の強化、(3)ネットワーク・システム基盤のセキュリティ強化、(4)バックアップ運用・復旧体制の強化、(5)従業員への情報セキュリティ教育・訓練の継続、の5分野を公表。
- 公表の仕方
- 2/14第1報（検知翌日）、2/20第2報、4/6第3報、9/7最終報、9/25退職者向けお知らせ。いずれも自社コーポレートサイトのお知らせで公表。最終報で侵入起点（外部接続機器）を開示したが、機器種別・脆弱性・攻撃者名・従業員情報の件数は非公表。
- 当局対応
- 警察：第1報時点で相談済みと公表
- 個人情報保護委員会：報告の有無は公表文（報道ベース）では確認できず
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部接続機器（VPN・リモートアクセス機器等）が侵入起点になった | インターネットに露出する全機器を台帳化しShodan/Censys等で外部から棚卸し。ファームウェアはベンダー勧告から72時間以内に適用し、管理画面をインターネットから遮断。VPNは多要素認証必須、退職者・委託先の不要アカウントを月次で削除し、ログイン成功ログ（国・ASN・時間帯）をSIEMで監視 |
| ネットワーク遮断でクレジットカード端末まで止まった | 決済端末をLTE/専用回線で決済センターに直結できる構成にし、社内LAN遮断時にも決済だけ継続できるようセグメントと回線を分離。遮断手順書に『止めてよい系統／止めてはいけない系統』を事前に定義し、年1回の机上訓練で確認 |
| 顧客情報を外部事業者の環境に分離していたことが被害を限定した | 会員・予約データは自社ファイルサーバーに複製せず、SaaS/委託先側に集約。委託先とのAPI連携は最小権限トークンで行い、社内PCからのCSV一括エクスポートを禁止または監査ログ化する |
| 社内管理用サーバーに従業員・退職者の個人情報が残っていた | 人事・労務データの保存場所と保存期間を定め、退職後一定期間を超えたデータを自動削除。ファイルサーバー上の個人情報をDLP/スキャンで定期検出し、人事システムへ集約する |
| バックアップから復元できたが、復旧体制の強化が再発防止策に挙がった | バックアップをイミュータブル（オブジェクトロック）またはオフラインで保持し、ドメイン資格情報から切り離す。四半期ごとにサーバー単位のリストア訓練を行い、RTO/RPOを実測して記録 |
自組織などでの確認項目
- 自社で『外部接続機器』に当たるもの（VPN、リモート保守回線、複合機・監視カメラのクラウド接続など）をすべて挙げられるか。誰がパッチと認証を管理しているか。
- 社内ネットワークを今夜遮断したら、決済・予約・入退室など顧客接点のどの機能が止まるか。止めずに済む構成にできるのはどれか。
- 顧客データは外部SaaSに置いていても、従業員・退職者のデータは社内のどこに何年分残っているか。
- 本件のように『窃取の明確な痕跡なし』だが『完全には否定できない』とき、従業員・退職者への通知範囲をどう判断するか。
未解明点
- 侵入起点となった外部接続機器の種類・製品名・脆弱性（CVE）または認証情報悪用の有無
- 初期侵入日と検知までの滞留期間、横展開の手法（Active Directory侵害の有無）
- 攻撃グループ名・ランサムウェアの種類、身代金要求の有無と対応方針
- 通知対象となった従業員・退職者の人数と情報項目、個人情報保護委員会への報告の有無
- 9/24・9/29に告知された『当社ホテルを装った不審なメッセージ』と本件との関係（公式には関連付けられていない）
- クレジットカード端末停止の原因（遮断の副作用か）と解消日
出典
- 1ワシントンホテル2026-10-10公式本文確認済
- 2ワシントンホテル2026-02-14公式未確認
- 3ワシントンホテル2026-02-20公式未確認
- 4ワシントンホテル2026-04-06公式未確認
- 5ワシントンホテル2026-09-07公式未確認
- 6ワシントンホテル2026-09-25公式未確認
- 7ワシントンホテル公式本文確認済
- 8ITmedia NEWS2026-02-16報道本文確認済
- 9マイナビニュース TECH+2026-02-17報道本文確認済
- 10セキュリティ対策Lab（Rocket Boys）2026-02報道本文確認済
- 11セキュリティ対策Lab（Rocket Boys）2026-04報道本文確認済
- 12セキュリティ対策Lab（Rocket Boys）2026-09-15報道本文確認済
- 13ScanNetSecurity2026-03-04報道本文確認済
- 14ScanNetSecurity2026-09-25報道本文確認済
- 15BleepingComputer2026-02-16報道本文確認済
- 16UpGuard2026-02-17研究者本文確認済
- 17ワシントンホテル（TDnet）2026-05-14公式本文確認済
- 18セキュリティ対策Lab（Rocket Boys）2026-09報道本文確認済
- 19Aviatrix2026-02-16研究者本文確認済