何が起きたか
この事故で流出した、または流出したおそれがある情報は、2026年4月8日〜9月14日にWebサイトで予約した客7,919人の氏名、電話番号、メールアドレス、国籍、宿泊日、施設名、宿泊料金などの予約情報。住所、クレジットカード情報、パスポート情報は含まれていないです。その後の対応と影響は、システム運営会社が当該アカウントを停止し、不正アクセス元を遮断した。9月17日に個人情報保護委員会へ速報した。対象の客へメールで連絡し、専用の問い合わせ窓口を設けたです。
原因になったのは「引き継ぎで把握していなかった宿泊管理システムのアカウント」です。公表された内容では、生成AIは事故に関わっていません。
- 中心 直接の原因確定
2022年に旧運営会社から引き継いだ際の資料に載っていなかったアカウントを通して、宿泊管理システムに不正アクセスがあった。第三者がこのアカウントを使えた原因は不明としている。
- 1つ外側 流出した情報確定
2026年4月8日〜9月14日にWebサイトで予約した客7,919人の氏名、電話番号、メールアドレス、国籍、宿泊日、施設名、宿泊料金などの予約情報。住所、クレジットカード情報、パスポート情報は含まれていない。
- いちばん外側 その後の対応と影響確定
システム運営会社が当該アカウントを停止し、不正アクセス元を遮断した。9月17日に個人情報保護委員会へ速報した。対象の客へメールで連絡し、専用の問い合わせ窓口を設けた。
なぜ起きたか
会社は2022年に経営破綻した旧運営会社から運営を引き継いだが、引き継ぎ資料に当該アカウントの情報がなかった。第三者がこのアカウントを利用できた原因は不明としている。
原因の種類は「認証情報の漏れ」です。IDやパスワードが漏れ、なりすましで入られた事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は28件あります。
事故が起きてから公表されるまで
- 2022年、旧運営会社から運営を引き継ぐ（当該アカウントは引き継ぎ資料に無し）
- 9月14日、システム運営会社が不正アクセスを検知しアカウントを停止
- 9月15日、システム運営会社から報告を受け流出が判明
- 9月17日、個人情報保護委員会へ速報
- 10月、ホームページで公表し、対象客へメールで連絡
どうすれば防げたか
上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。
止められた可能性がある所（当社の見立て）事業や運営を引き継いだ時に、使っているシステムのアカウントを提供会社側の一覧と照らして棚卸しし、使途の分からないものを止めていれば、不正利用の入口を減らせた可能性がある。
この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。
自社で確認する3つの手順
上から順に、短い時間で確認できるものを並べています。
- 業務で使う外部システムごとに、提供会社からアカウント一覧を取り寄せ、社内の台帳と照合する
- 使う人や目的が分からないアカウントを停止し、必要なものだけ戻す
- 事業や担当を引き継いだ時に、アカウントの棚卸しを手順に入れる
自社に同じ原因があるか
当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。
