オーストラリアのサービスアパートメント運営会社で、委託先のソフトの脆弱性を経由して宿泊客約199万人分の情報が漏洩

何が起きたか

この事故で流出した、または流出したおそれがある情報は、主に2025年6月より前の記録で、氏名、メールアドレスなどの連絡先、一部は生年月日。約199万1613人分。報道では、旅券・運転免許証の番号10万4268件、車両登録番号22万5300件、セキュリティコード付きのカード番号4万6727件、コードなしのカード番号29万7739件も含まれるです。その後の対応と影響は、接続を遮断して復旧作業を終え、外部のセキュリティ・個人情報の専門家と調査した。対象者に連絡して支援を案内し、個人情報とサイバーセキュリティの当局と連携している。豪外務貿易省も事案を把握していると報じられたです。

原因になったのは「委託先のソフトウェアの脆弱性を経由したデータベースへの不正アクセス」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

会社の説明では、攻撃者は委託先が提供するソフトウェアの脆弱性を使って宿泊会社の環境に入った。委託先の名前と脆弱性の内容は公表されていない。犯行声明を出したグループは報道時点で確認されていない。

原因の種類は「委託先での事故」です。業務を任せていた会社のシステムで起きた事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は40件あります。

事故が起きてから公表されるまで

1. 2026年8月17日ウェブサイトの障害をきっかけに、データベースへの不正アクセスを確認する
2. 2026年8月19日委託先のソフトの脆弱性が経路だったとする声明を出す
3. その後接続を遮断し、対象者への連絡を始める
4. 2026年9月中旬親会社の幹部名義の続報で、約199万1613人が対象と公表する

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

委託先のソフトに脆弱性が見つかった時の連絡と修正の期限を契約で決め、古い予約記録やカードのセキュリティコードを保存しない設定にしていれば、取得される情報の量と種類を減らせた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 予約・顧客管理に使っている外部のソフトとその提供会社を一覧にする
2. それぞれの脆弱性情報を誰が確認し、何日以内に修正するかを契約書で確かめる
3. 保存期間を過ぎた予約記録と、保存してはいけないカードのセキュリティコードが残っていないかを調べる

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• Statement from Quest Apartment Hotels（Medianet）2026.08.19
• Quest breach included thousands of credit card CVVs（Information Age / ACS）2026.09.22