結論
2026年に宿泊業で相次いでいる情報流出は、ホテルの自社サーバーが破られて起きているのではありません。破られているのは、OTAの管理画面やサイトコントローラーといった「他社のシステムに置いた、自ホテルのアカウント」です。
実害も一般企業とは形が違います。ポラリス・ホールディングスは2026年5月23日にBooking.comのグループアカウントの異常を検知し、傘下の複数ホテルで売上金の受領口座が第三者の口座に書き換えられ、1ホテルで約900万円の損失が出たと5月28日に開示しました。個人情報が漏れただけでなく、ホテル自身の売掛金が抜かれたのです。
したがってDX担当が今すぐ着手すべきは、ファイアウォールでもウイルス対策ソフトの入れ替えでもありません。①予約系アカウントの台帳化、②共有IDの廃止と多要素認証の必須化、③振込口座変更をシステム内で完結させない二重確認、④漏えい報告のタイムラインの事前決定。この4点です。いずれも新規投資をほとんど伴わず、今週から着手できます。
はじめに
ホテルのDXが進むほど、管理すべきIDは増えます。PMS（宿泊管理システム）、サイトコントローラー※注1、Booking.comやExpediaのエクストラネット※注2、楽天トラベルやじゃらんの管理画面、自社予約エンジン、決済代行の管理画面、レビュー管理ツール、清掃管理アプリ。1施設で10〜20の外部サービスにログインしているのは珍しくありません。
問題は、そのIDが誰の手元にいくつあるのか、答えられるホテルがほとんどないことです。フロント共有の1アカウントをパートも含む全員が使い、パスワードは休憩室に貼ってある。前任者のアカウントが生きたまま残っている。──この状態が、2026年の攻撃者にとって最も入りやすい入口になっています。
2026年、宿泊業では何が破られたのか
公表資料と報道から、2026年に明らかになった主な事案を整理すると、狙われている場所に共通点が見えます。
| 公表時期 | 施設・企業 | 破られた場所 | 実害の内容 | 発生・検知から公表まで |
|---|---|---|---|---|
| 2026年3月19日 | ホテル日航プリンセス京都 | 自ホテルのExpedia管理者用アカウント | 従業員になりすましWhatsAppで宿泊客にカード情報の入力を要求。氏名・電話番号・宿泊日・宿泊金額等が漏えいの可能性 | 17日（発生3月2日） |
| 2026年5月28日 | ポラリス・ホールディングス | Booking.comのグループアカウントおよび各施設の管理画面 | 売上金受領口座の改ざんで1ホテル約900万円の損失。宿泊予約者へフィッシングメッセージ送信 | 5日（検知5月23日） |
| 2026年5月 | アソビュー（レジャー予約プラットフォーム） | パートナー向け予約管理システム | 27,163件の予約者情報が流出 | — |
| 2026年7月 | 海月館グループ | 宿泊施設の顧客情報 | 氏名・連絡先の外部流出の可能性、フィッシング注意喚起 | — |
| 2026年8月17日 | GHP（クラブチャペルホテルズ） | 公式サイトの宿泊予約システムのデータベース | 氏名・メールアドレス・電話番号が閲覧された可能性 | 11日（検知8月6日） |
並べて分かるのは、破られた場所がすべて「予約に関わる外部システムのアカウント」だという点です。館内のWi-Fiでも、フロントのPCでもありません。
もう1つ、公表までの日数にも注目してください。5日から17日と幅があります。個人情報保護委員会への速報期限（後述、概ね3〜5日）と一般公表は別の手続きですが、社外に説明が出るまでの間、宿泊客は騙され続けているという事実は動きません。日航プリンセス京都の事案では、不正ログインの発生から公表まで17日が空いています。
これは新しい傾向ではなく、2024年8月以降にも共立メンテナンス系施設やホテルリソル京都 四条室町など複数の宿泊施設が、共通のサイトコントローラーを経由したとみられる不正アクセスで個人情報を出力される被害を公表しています。2年にわたって同じ入口が狙われ続けていると考えるべきです。
なぜホテルは「情報が漏れた」で済まないのか
一般的な企業の不正アクセスでは、被害は「個人情報の流出」に集約されます。ところが宿泊業では、被害が3層に重なります。
第1層：宿泊者の個人情報
氏名・住所・電話番号・メールアドレス、外国人宿泊者の旅券番号。旅館業法上、宿泊者名簿は保存義務があるため、施設は必ずこれらを持っています。個人情報保護法上の報告義務が発生する典型例です。
第2層：宿泊客への二次詐欺
ここがホテル特有の深刻さです。攻撃者は奪ったアカウントでOTAの正規のメッセージ機能から宿泊客に連絡します。「決済に不備があった」「12時間以内に確認しないと予約がキャンセルされる」といった文面で、偽の決済ページにカード情報を入力させる手口が確認されています。公式アプリの通知として届くため、宿泊客が疑う余地がほとんどありません。被害に遭った客から見れば、加害者はホテルです。
実例が、ホテル日航プリンセス京都の事案です。同ホテルの公式のお知らせによれば、2026年3月2日に第三者が同ホテルのExpedia管理者用アカウントを不正利用し、同ホテルの従業員になりすまして、WhatsApp経由で宿泊客にクレジットカード情報の入力を求める偽メッセージを送信しました。宿泊客にとっては、予約したホテルの担当者から届いた連絡です。
この手のフィッシングは、帝国ホテル、ホテルオークラ神戸、ホテルニューオータニ大阪、京王プラザホテル、アパホテル、東武ホテルなど、規模やブランドを問わず幅広い施設で類似事例が報じられています。「うちは小さいから狙われない」も「大手だから安全」も成り立ちません。
第3層：ホテル自身の売上金
ポラリス・ホールディングスの事案が示したのがこの層です。OTAからホテルへ支払われる売上金の受領口座を管理画面上で書き換えると、正規の請求フローに乗ったまま金銭が第三者に流れます。ビジネスメール詐欺※注3の変種で、システム上は何もエラーが出ません。同社は複数ホテルで改ざんを確認し、早期対応で多くは未然に防いだものの、1ホテルで約900万円の実損が発生したと開示しています。
詳細は同社の適時開示およびJ-CASTニュースの報道で確認できます。DX担当の方は、自社のOTA管理画面でいま登録されている振込口座が正しいかを、この記事を読み終えた直後に確認することをおすすめします。
攻撃はどこから入るのか：確認されている4つの手口
侵入の起点は、高度なゼロデイ攻撃ではありません。ほとんどが現場スタッフの「断りにくい依頼」への対応から始まります。
- ゲストを装ったマルウェア送付：「娘のアレルギー情報をファイルにまとめました」「車椅子利用なのでバリアフリー状況のチェックリストを確認してください」といった内容で、外部ストレージのリンクを開かせる。ホスピタリティが高い施設ほど開いてしまう設計になっています
- 認証情報の窃取と正規機能の悪用：感染端末からOTA管理画面のIDとパスワードを抜き、正規のチャット機能で宿泊客に追加決済を要求する
- 委託先・共通システム経由：サイトコントローラーや予約管理サービスのベンダー側が侵害され、そこにつながる複数施設が連鎖的に被害を受ける。IPAの「情報セキュリティ10大脅威 2026」でも「サプライチェーンや委託先を狙った攻撃」は組織編2位（1位はランサム攻撃、3位に初選出の「AIの利用をめぐるサイバーリスク」）に位置しています
- 口座情報の書き換え：管理画面に入った後、個人情報を持ち出すのではなく振込先だけを静かに変える。発覚は入金が来ない翌月になりがちで、発見が最も遅れる型です
DX担当の棚卸し：予約系アカウント台帳をつくる
対策の起点は、投資判断ではなく「うちにはどのアカウントが、いくつ、誰の権限であるのか」を紙に書き出すことです。以下の区分で棚卸しすると漏れません。
| システム区分 | 乗っ取られたときに起きること | 今週の確認項目 |
|---|---|---|
| OTAエクストラネット（Booking.com / Expedia 等） | 振込口座の改ざん、宿泊客への詐欺メッセージ、料金・在庫の改変 | 登録口座、二段階認証の有効化、ログイン履歴、退職者アカウントの残存 |
| 国内OTA管理画面（楽天トラベル / じゃらん 等） | 予約者情報の閲覧・出力、プラン改変 | 共有IDの有無、権限（閲覧のみ／編集可）の割当 |
| サイトコントローラー | 接続する全OTAの予約情報がまとめて流出 | ベンダーのインシデント通知窓口、CSV出力権限を持つ人数 |
| 自社予約エンジン・公式サイト | データベースの閲覧、カード情報の窃取 | 管理画面のIP制限、CMSプラグインの更新状況 |
| PMS | 宿泊者名簿・旅券情報の流出 | クラウド／オンプレの別、外部連携先の一覧 |
| 決済代行の管理画面 | 返金操作の悪用、カード情報の閲覧 | 操作権限者の限定、返金の承認フロー |
| 委託先（清掃・広告代理店・レップ） | 委託先経由での情報流出 | 契約書のインシデント即時通報条項、貸与アカウントの棚卸し |
この表を埋める作業自体が、最も費用対効果の高いセキュリティ投資です。埋まらない欄があるなら、そこが穴です。
今週着手できる7つの手当て
- アカウント台帳を作る：「誰が・どのシステムに・どの権限で」を1枚に。スプレッドシートで十分です
- 共有アカウントを個人IDに分ける：誰が操作したか追えない状態を解消する。監査ログは個人IDでなければ意味を持ちません
- 多要素認証※注4を必須にする：Booking.comをはじめ主要OTAは二段階認証を提供しています。共有していたアカウントほど優先度が高い
- 退職・委託終了と同時に停止する：物理鍵の返却と同じ運用に載せます。外部スタッフのアクセス権を自動で失効させる考え方はホテル外部スタッフ「鍵管理」を自動化！失敗しないアクセス管理DXの鉄則で整理しています
- 振込口座の変更をシステム内で完結させない：口座変更が発生したら、必ず別経路（登録済みの電話番号への架電など）で照合するルールを文書化する。これだけで第3層の被害はほぼ防げます
- ログイン履歴を週次で見る：曜日と担当者を決めて、身に覚えのない国・時間帯のアクセスを確認する。5分で終わります
- 宿泊客への方針を公式サイトに明記する：「当ホテルはメッセージ機能でカード情報を求めません」と書いておけば、二次詐欺の成功率を下げられます
検知した後の期限を、先に決めておく
実際に起きたとき、現場が最も混乱するのは技術対応ではなく報告の期限です。個人情報保護法では、報告対象となる事態が発生した場合、速報は発覚から概ね3〜5日以内、確報は30日以内（不正の目的によるおそれがある場合は60日以内）に個人情報保護委員会へ報告する義務があります。あわせて本人への通知も必要です。
報告対象は4類型で、①要配慮個人情報の漏えい、②財産的被害が生じるおそれがある事態（カード番号やログインID・パスワード等）、③不正の目的によるおそれがある事態（不正アクセス等）、④1,000人を超える漏えい、と定められています。不正アクセスは件数にかかわらず③に該当し得る点に注意が必要です。「10件だけだから報告不要」とはなりません。
なお同委員会が公表した令和7年度第2四半期の処理状況では、漏えい等報告の処理件数は個人情報で4,533件（前四半期は5,645件）。四半期あたり4,000〜7,000件で推移しており、報告はもはや例外的な事象ではありません。
DX担当が事前に決めておくべきは、次の3つだけです。誰が「発覚」を判断するか／その日から3日以内に誰が委員会へ報告するか／宿泊客への通知文は誰が書くか。この3行を防災マニュアルと同じ場所に置いておくことをおすすめします。
デメリット・リスク
ここまでの対策は低コストですが、副作用がないわけではありません。
- 多要素認証は現場を止めることがある：認証コードの受信端末が特定のスマートフォン1台だけだと、その持ち主が休みの日にOTA管理画面へ入れなくなります。深夜のフロントで在庫調整が必要になる施設では、予備の認証手段（バックアップコードの金庫保管など）を必ず用意してください
- 共有アカウント廃止にはライセンス制約がある：ユーザー数課金や追加ユーザー不可の設計もあります。その場合は個人ID化ではなく、操作ログの取得と棚卸し頻度の引き上げで代替します
- 研修だけでは止まらない：今回の手口は、正規のメッセージ機能と正規のログイン画面を使います。「怪しいメールを開かない」という教育の射程外です。人の注意力ではなく、認証と承認フローという仕組み側で止める設計が必要です
- 宿泊客への注意喚起は書き方を誤ると逆効果：不安を煽る表現は予約のキャンセルを招きます。「当ホテルが求めないこと」を淡々と列挙する形にとどめるのが実務的です
- ベンダー任せの限界：委託先が侵害された場合でも、宿泊客への説明責任はホテル側に残ります。契約書にインシデント発生時の即時通報義務が入っているか確認してください
DXを止めないための位置づけ
これは「DXを控えよう」という話ではありません。アカウントが増えたのは業務を外部サービスに載せて省力化してきた結果であり、方向自体は正しい。問題は、システムを増やす速度にアカウント管理という運用が追いついていないことです。連携が増えるほど、1つのアカウントが破られたときの影響範囲は広がります。設計思想についてはPMSの制約で63%が導入断念：観光庁の新標準252項目で連携を測るを、OTA依存度そのものを下げる打ち手は直販比率50%！10pct.社に学ぶ地方ホテルのAIネイティブ経営術を参照してください。OTA管理画面が単一障害点になっている構造は、収益面でもリスク面でも同じ問題です。
まとめ
2026年の宿泊業を襲っているのは、サーバーへの高度な攻撃ではなく、正規のIDで正規の画面から入られる、地味で確実な侵入です。そして被害は個人情報にとどまらず、宿泊客への二次詐欺と、ホテル自身の売上金にまで及びます。
逆に言えば、対策の大半はお金ではなく運用で解決できます。登録口座を目視する、二段階認証を入れる、共有IDをやめる、退職者を消す、ログイン履歴を週1で見る。どれもDX担当が今週から始められることです。
ホテルの防御線は、もはやサーバールームの中にはありません。OTAの管理画面という、他社のシステムの中にある自ホテルのアカウントが、いまの最前線です。
よくある質問（FAQ）
Q1. 自社サーバーを持たず、すべてクラウドサービスを使っています。それでも対策は必要ですか。
必要です。むしろクラウド中心の施設ほど、アカウント管理が唯一の防御線になります。サーバーの保護はベンダーの責任範囲ですが、ID・パスワード・権限の管理はホテル側の責任範囲です。2026年に公表された事案の多くは、この責任分界点のホテル側で起きています。
Q2. 二段階認証を入れると、深夜のフロント業務が回らなくなりませんか。
運用の設計次第です。認証コードの受信を特定個人のスマートフォン1台に集約すると業務が止まります。バックアップコードを印刷してフロント金庫に保管する、認証用の共用端末を1台用意する、といった逃げ道を必ず併設してください。逃げ道がないまま導入すると、現場が二段階認証を無効化してしまい、かえって悪化します。
Q3. OTAの管理画面が乗っ取られた場合、責任はOTA側にありますか。
原因により異なりますが、宿泊客に対する説明責任はホテル側に残ると考えて準備すべきです。宿泊客から見れば、連絡してきたのはホテルの名前だからです。認証情報がホテル側の端末から窃取されていた場合はなおさらです。事案発生時はOTAへアクセスログの開示を要請し、警察のサイバー犯罪相談窓口とIPAへも連絡してください。
Q4. 振込口座の改ざんは、どうすれば早く気づけますか。
入金の突合を待っていると1か月遅れます。有効なのは、①管理画面の登録口座を月次で目視確認する、②口座変更操作があった際の通知メールを、現場担当者ではなく経理・管理部門のアドレスにも届くよう設定する、の2点です。②が設定できるサービスであれば、これが最も早い検知手段になります。
Q5. 委託先のベンダーが侵害された場合、報告義務は誰にありますか。
個人データの取扱いを委託している場合、原則として委託元と委託先の双方に報告義務があります。ホテルは「ベンダーが報告するはず」と待つのではなく、自らの報告義務として期限を管理する必要があります。だからこそ、契約書にインシデント発生時の即時通報義務を明記しておくことが実務上きわめて重要です。
Q6. 宿泊客への注意喚起は、どのタイミングで出すべきですか。
アカウントの不正アクセスを確認した時点で、原因調査の完了を待たずに出すのが原則です。二次詐欺は侵害直後から始まるため、調査完了を待つと被害が拡大します。文面は「調査中である事実」「当ホテルがメッセージ機能で決済情報を求めないこと」「不審な連絡があった場合の問い合わせ先」の3点に絞り、憶測を書かないことが重要です。
Q7. まず何から手をつければよいですか。
OTA管理画面にログインし、登録されている売上金の受領口座を確認してください。5分で終わります。その後、二段階認証の有効化、ログイン履歴の確認、退職者アカウントの削除、と進めるのが最短経路です。台帳作成やベンダー契約の見直しは、その次で構いません。
※注1：サイトコントローラー＝複数のOTAの在庫・料金・予約情報を一元管理し、各サイトへ自動反映するシステム。1つ破られると接続先の全OTAの情報に影響が及ぶ。
※注2：エクストラネット＝OTAが宿泊施設向けに提供する管理画面。料金・在庫の設定、予約の確認、宿泊客とのメッセージ送受信、売上金の受領口座の登録などを行う。
※注3：ビジネスメール詐欺（BEC）＝取引先や経営者になりすまし、振込先の変更などを指示して金銭をだまし取る手口。IPA「情報セキュリティ10大脅威 2026」組織編で10位。
※注4：多要素認証（MFA）＝パスワードに加え、スマートフォンアプリの認証コードや生体情報など別の要素を組み合わせて本人確認する仕組み。二段階認証もこれに含まれる。
コメント