結論
2026年10月、企業がメールマガジンの一斉配信に使うクラウドサービスで、不正アクセスが立て続けに公表されました。
- ブラストメール（ラクスライトクラウド）：10月21日未明から全面停止。すべての契約者の会社名・担当者名・電話番号・メールアドレスなどが持ち出され、345件の契約では配信先リストなども漏えい（10月27日時点）
- Cuenote FC（ユミルリンク）：49システムから配信先のメールアドレスなど延べ5,162万件が出力された（10月26日の第二報）
- ホテルでは、変なホテルを運営するH.I.S.ホテルホールディングスが、ホテル会員約14万人の氏名とメールアドレスが漏えいした可能性を公表した
会員メールの配信先リストは、ホテルの顧客台帳そのものです。漏れれば、本物の宿泊客に「ホテルを名乗る偽メール」が届く材料になります。自館が使っている配信サービスに関係なく、ホテルが今週やることは次の5つです。
- 宿泊・婚礼・レストランの各部門で、メールを送っている外部サービスを洗い出す
- 該当するサービスを使っていたら、委託先からの個別の連絡と、漏えいした項目を確かめる
- 配信先リストが漏れていたら、個人情報保護委員会への報告と本人への通知を準備する（人数が少なくても対象）
- 公式サイトでの告知と、フロント・予約窓口の答え方をそろえる
- 配信サービスのパスワード・APIキー・接続元の制限を見直し、預けるデータを減らす
はじめに
宿泊業を取り巻く情報漏えいは、この1か月で途切れなく続いています。サイトコントローラー「手間いらず」の件（初動対応のSOP）、PHPの重大な脆弱性（php2shell：ホテルが今週やること）、そして10月26日の楽天トラベル（宿泊施設の従業員4万件も対象）です。
今回はその間に起きた、メール配信サービスの事故です。報道は鉄道会社や銀行、自治体の名前を中心に伝えていますが、ホテルや旅館も会員向けのメールマガジン、宿泊後のお礼メール、婚礼フェアやレストランの案内などで、こうしたサービスを日常的に使っています。本記事では、各社の公式発表をもとに、ホテルが確かめることと、法律上の義務、今週の手順をまとめます。
2つの事案の要点
どちらも「メールを一斉に送るためのクラウドサービス」ですが、漏れたものの中身が違います。
| 項目 | ブラストメール | Cuenote FC |
|---|---|---|
| 運営 | ラクスライトクラウド（ラクスの100%子会社） | ユミルリンク |
| 発覚 | 10月21日 0時30分に不審なアクセスを検知し、サービスを緊急停止 | 10月16日朝、担当者が自分のアカウントの異常に気付いた |
| 原因 | API用のサーバー2台に侵入され、販売管理システムとサービスのデータベースからデータを持ち出された（侵入経路は調査中） | ライブラリの脆弱性を突かれ、サポート担当者の認証情報を取られ、不正なプログラムでデータベースから出力された |
| 契約者 | 全契約者の会社名・担当者名・電話番号・メールアドレス・請求先のメールアドレス・契約と支払いの履歴など | 顧客管理システムで契約者情報190件（企業名・氏名・電話・メールアドレス）が閲覧できる状態だった |
| 配信先 | 配信先リストなどの漏えいを確認した契約が345件（10月27日時点。全件に個別連絡済み） | 49システムで延べ51,628,280件。16システムは件数を調査中で、今後増える可能性がある |
| 現状 | 管理画面・APIとも利用できず、メール配信も10月21日1時頃から停止。再開は未定 | 不正アクセスがあったサーバーを切り離し、予防的に止めた他のシステムは10月20日から順次再開 |
Cuenote FCで配信先として預かっている「アドレス帳」には、メールアドレスのほか、差し込みや抽出に使う氏名・都道府県・生年月日などが入ることがあり、項目は利用企業ごとに違います。ユミルリンクは、漏えいの可能性がある利用企業には10月26日12時30分までに個別に連絡し、連絡のない企業は現時点で漏えいが確認されていないとしています。
なお、ラクスは同じ10月21日、「楽楽メールマーケティング」など自社の7サービスを予防のために一時停止しましたが、翌22日に再開しており、本件による不正アクセスや漏えいは確認されていないと説明しています。
ホテル・旅行の分野で公表された影響
10月27日時点で、ホテルの運営会社として影響を公表した主な例は次のとおりです。
- H.I.S.ホテルホールディングス（変なホテル、ウォーターマークホテルなど）：10月22日に公表。毎月のホテル会員向けメールマガジンの配信を委託していた会社が不正アクセスを受け、契約情報の漏えいが確定した旨の連絡に続いて、会員約14万人分の「氏名」と「メールアドレス」の配信先リストも漏えいした可能性があると分かった。クレジットカード情報は含まない。公式のお知らせに委託先の名前はないが、ITmediaはラクスライトクラウドだと報じている
- JR東海・JR西日本・JR九州：新幹線の予約サービス「エクスプレス予約」「スマートEX」の会員のメールアドレスなどが、ユミルリンクへの不正アクセスで漏えい（JR東海の発表で約17万件と報道）
H.I.S.ホテルホールディングスの例で注目したいのは、最初は「契約情報が漏れた」という連絡だけで、配信先リストの漏えいは後から分かったという順番です。ブラストメールでは契約者情報は全契約者が対象なので、自館に届いた最初の連絡が「契約者情報」の話だけでも、続報を待たずに準備を始めたほうが安全です。
ホテルにとって何が問題か
配信先リストに入っているのは、メールアドレスと氏名だけかもしれません。それでも、ホテルにとっての損害は小さくありません。
- 「本物の宿泊客」の名簿になる：会員リストは、そのホテルに実際に泊まった人、泊まりたい人の一覧です。攻撃者は、ホテル名を名乗って「予約の確認」「カード情報の再登録」「会員ポイントの失効」といった偽メールを、ピンポイントで送れます
- 担当者も狙われる：ブラストメールでは契約者の担当者名・電話番号・メールアドレスが全件持ち出されました。配信サービスやその「サポート」を名乗って、ホテルの担当者にパスワードを入力させる手口が考えられます。管理画面に入られれば、会員リスト全体を取られるうえ、ホテルの名前で偽メールを一斉に送られかねません
- すでに偽メールが出回っている：ユミルリンクは、同社のドメイン（info@cuenote.jp）からセゾンカードを名乗る迷惑メール（件名「ご利用確認のお願い」「利用内容確認のご依頼」）が複数確認されていると公表しています
偽メールで宿泊客がカード情報を入力してしまう被害は、OTAのメッセージ機能を悪用した例で、すでに何度も起きています（宿泊客への答え方は予約詐欺メールに宿が返す4つの答え）。
ホテルに生じる法律上の義務
配信サービスに会員のデータを預けているとき、データの持ち主として責任を負うのはホテルの側です。個人情報保護法の関係する条文は次のとおりです。
| 条文 | 内容とホテルへの当てはめ |
|---|---|
| 法25条 | 個人データの取扱いを委託するときは、委託先に対して必要かつ適切な監督を行う。配信サービスに会員リストを預けるのは、この「委託」に当たる |
| 法26条1項 | 権利利益を害するおそれが大きい漏えい等が起きたら、個人情報保護委員会に報告する。委託先から委託元（ホテル）に通知した場合、委託先は報告を免れるので、報告するのはホテルの側になる |
| 規則7条 | 報告の対象は①要配慮個人情報、②財産的被害のおそれ、③不正の目的をもって行われたおそれがある行為による漏えい、④本人の数が1,000人超。不正アクセスは③に当たるので、人数が少なくても対象 |
| 規則8条 | 事態を知った後「速やかに」報告（速報）し、知った日から60日以内（③の場合）に報告（確報）する |
| 法26条2項 | 本人への通知も必要。通知が困難な場合は、公表など代わりの措置をとる |
ブラストメールの利用者には、ラクスライトクラウドが取りまとめて同社と連名で個人情報保護委員会に報告する手続きが用意されています。申込みの期限は10月29日（木）で、連名なら個別の報告は要らず、速報の目安を過ぎても遅延として扱わないことを委員会に確認したとしています。ただし、連名報告は委員会への報告だけで、読者（会員）への通知はホテル自身で行う必要があります。プライバシーマークを取得している場合は、JIPDECへの報告も別に要ります。
一方、ブラストメールで「契約者情報」として漏れたのは、ホテルの担当者の名前や連絡先です。これはラクスライトクラウドが自社の顧客として持っている情報なので、それだけならホテルに報告の義務は生じません。会員の配信先リストまで漏れたかどうかが分かれ目です。
ホテルが今週やること（対応の手順）
- メールを送っている外部サービスを洗い出す
会員向けメールマガジンだけでなく、宿泊後のお礼メール、アンケート、婚礼・宴会のフェア案内、レストランの予約案内も対象です。部門ごとに別のサービスを契約していることが多く、制作会社や広告代理店が代わりに契約している場合もあります。「どのサービスに、何人分の、どの項目を預けているか」を一覧にします。サービス名が分からなければ、委託している会社に書面で確かめます - 該当するサービスを使っていたら、連絡と項目を確かめる
ブラストメールは全契約者の情報が漏れているので、契約していれば必ず影響を受けています。配信先リストの漏えいについては個別の連絡が来ているはずなので、担当者の受信箱を確かめます。Cuenote FCは、個別の連絡がなければ現時点で漏えいは確認されていません。どちらも、連絡のメールのリンクは使わず、公式サイトのお知らせから窓口にたどります - 報告と通知を準備する
配信先リストの漏えいが確認されたら、漏れた項目（氏名、メールアドレス、生年月日、会員番号など）と人数を確定し、個人情報保護委員会への速報を出します。ブラストメールの利用者は、連名報告を使うかを10月29日までに決めます。会員への通知文も同時に用意します - 告知と、フロント・予約窓口の答え方をそろえる
公式サイトに「当館を名乗る不審なメールにご注意ください」というお知らせを出し、当館からメールでカード番号やパスワードをお尋ねすることはないと明記します。フロントと予約係には、問い合わせを受けたら公式サイトのお知らせを案内し、メールのリンクは開かないよう伝える、と決めておきます - 配信サービスの入口を固める
使い続けるサービスでは、管理画面のパスワードの変更、二段階認証の設定、退職者や共有アカウントの削除、APIキーの再発行、接続元のIPアドレスの制限ができるかを確かめます。ユミルリンクも、再発防止策として認証画面とAPIへの接続元の制限を挙げています
ブラストメールは10月27日時点で再開の日時が未定です。次の会員メールの送信日が迫っていても、会員リストを急いで別の無料サービスに移すのは避けます。移す先の安全性を確かめないまま全件を預けると、同じ事故の芽を増やすことになるからです。急ぎの連絡は、公式サイトや予約システムの機能など、すでに使っている経路で済ませます。
会員への通知文に入れること
通知の内容は、規則10条で、概要・漏えいした項目・原因・二次被害のおそれ・その他参考となる事項を、本人の権利利益を守るのに必要な範囲で伝えることになっています。ホテルの会員向けなら、次の項目を押さえれば足ります。
- 何が起きたか（メール配信を委託している会社への不正アクセス）と、ホテルが知った日
- 漏えいした可能性のある項目と人数（例：氏名・メールアドレス）。含まれないもの（カード情報、パスワード、宿泊履歴など）もはっきり書く
- 想定される被害（当館を名乗る偽メール）と、見分け方
- 当館からメールでカード情報やパスワードを尋ねることはないこと
- 問い合わせ先（電話番号と、公式サイトのお知らせのページ）
通知のメール自体には、リンクやファイルを付けないのが原則です。偽メールとの見分けがつかなくなるからです。各社のお知らせの書き方は手間いらず事案12社の読み比べが参考になります。
これを機に見直したい「預けるデータ」
今回、配信サービスから漏れた情報の量は、各社がそのサービスに何を預けていたかで決まりました。メールを送るだけなら、本来はメールアドレスと宛名があれば足ります。
- 差し込みに使わない項目は預けない：生年月日、住所、電話番号、宿泊履歴、会員ランクなどは、配信の抽出に本当に使っているかを見直す
- 配信停止・退会した人のデータを残さない：配信リストから外しただけで、サービスの中にデータが残っていることが多い
- 委託契約に事故時のルールを書く：事故を知ってから何時間以内に連絡するか、再委託の有無、契約終了時のデータ削除の方法を、契約書か覚書で決めておく。年に一度は、二段階認証や接続元の制限が使えるかを確かめる
法25条の「委託先の監督」は、こうした確認を続けることを指しています。委託先の事故でも、監督が不十分だったと見られれば、ホテルの責任が問われます。
まとめ
- ブラストメールは全契約者の情報が漏れ、345件の契約で配信先リストなども漏えい。10月27日時点で配信は止まったまま
- Cuenote FCは49システムで延べ5,162万件。個別の連絡がなければ、現時点で漏えいは確認されていない
- 変なホテルなどのH.I.S.ホテルホールディングスは、会員約14万人の氏名とメールアドレスが漏えいした可能性を公表した
- 委託先の事故でも、個人情報保護委員会への報告と本人への通知はホテルの義務。不正アクセスなら人数が少なくても対象
- メールを送っている外部サービスを部門ごとに洗い出し、告知と答え方をそろえ、預けるデータを減らす
よくある質問（FAQ）
Q1. ブラストメールを使っていますが、配信先リストの漏えいの連絡は来ていません。何をすればよいですか？
契約者情報（会社名・担当者名・電話番号・メールアドレスなど）は全契約者が対象なので、担当者あての偽メールに注意し、パスワードを変えてください。配信先リストについては、ラクスライトクラウドは漏えいが確認された契約に個別に連絡しているとしています。調査は続いているので、公式のお知らせの更新（10月28日12時頃に次の報告予定）を確かめてください。
Q2. 漏れたのが氏名とメールアドレスだけでも、報告は必要ですか？
不正アクセスによる漏えいは、施行規則7条3号の「不正の目的をもって行われたおそれがある行為による漏えい」に当たるため、項目や人数にかかわらず個人情報保護委員会への報告の対象になります。
Q3. 委託先が委員会に報告していれば、ホテルは報告しなくてよいですか？
法26条1項ただし書により、委託先は委託元に通知すれば報告を免れます。つまり報告の義務は委託元のホテルに残ります。ブラストメールのように連名報告の手続きが用意されている場合は、それを使えばホテルが個別に報告する必要はありません。本人への通知はホテルが行います。
Q4. Cuenoteから連絡が来ていません。対象ではないということですか？
ユミルリンクは、漏えいの可能性がある利用企業に10月26日12時30分までに個別に連絡し、連絡のない企業は現時点で漏えいが確認されていないとしています。ただし16システムは件数の調査が続いているので、続報は確かめてください。
Q5. 予約確認のメールも止まりますか？
予約確認メールは、予約エンジンやPMS、OTAの仕組みから送られていることが多く、メールマガジンの配信サービスが止まっても通常は影響を受けません。ただし、宿泊前の案内や宿泊後のお礼メールを配信サービスで送っている場合は止まるので、どのメールをどのサービスで送っているかを確かめてください。
Q6. 宿泊客から「ホテルを名乗るメールが来た」と問い合わせがあったら、どう答えればよいですか？
当館からメールでカード番号やパスワードを尋ねることはないこと、メールのリンクは開かず削除してほしいこと、予約の確認は公式サイトか電話で受け付けることを伝えます。届いたメールの送信元アドレスと件名を控えておくと、同じ手口の注意喚起に使えます。
出典：株式会社ラクス「【第1報】【第2報】当社子会社が提供する『ブラストメール』における不審なアクセスの検知／不正アクセスによる情報漏えいおよびサービス停止について」（2026年10月21日）、同「『楽楽販売』…の一時停止およびメンテナンスのお知らせ」（2026年10月21日）、株式会社ラクスライトクラウド「【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告」（2026年10月27日12時30分更新）、同「個人情報保護委員会への連名報告に関するご案内」（2026年10月23日）、ユミルリンク株式会社「当社システムへの不正なアクセスに関するご報告」（第一報 2026年10月19日、第二報 2026年10月26日）、H.I.S.ホテルホールディングス株式会社「個人情報流出の可能性に関するお知らせ」（2026年10月22日）、ITmedia NEWS「HIS子会社、約14万人の個人情報流出の可能性 委託先のラクスライトクラウドに不正アクセス」（2026年10月23日）、同「JR『スマートEX』会員メアドなど漏えい、約17万件か」（2026年10月27日）、個人情報の保護に関する法律・同施行規則（e-Gov法令検索）
コメント