エイチ・アイ・エスのホテル事業を担うH.I.S.ホテルホールディングスは2026年10月22日、自社サイトの会員向けメールマガジンの配信に利用している外部サービスの運営会社が不正アクセスを受け、ホテル会員約14万人分の氏名とメールアドレスが不正に引き出された可能性があると発表した。クレジットカード情報は含まれていないとしている。
契約情報に続き配信先リストも
H.I.S.ホテルホールディングスは「変なホテル」などのホテルを国内外で運営しており、ホテル会員向けに毎月メールマガジンを外部のサービスを通じて配信している。発表によると、配信を委託している会社がハッキング被害を受け、H.I.S.ホテルホールディングスとの契約情報の漏えいが確認されたとの連絡があった。その後、追加情報として、会員の配信先リストも漏えいした可能性があることがわかったという。
委託先の会社名や、不正アクセスが起きた時期、手口は公表されていない。同社は事実関係を調査し、被害状況の把握と二次被害の防止に努めているとしている。個人情報保護委員会には速やかに報告するという。
宿泊予約を装うメールに注意
漏えいした可能性がある情報は氏名とメールアドレスで、住所や電話番号、決済情報は含まれていない。ただし、ホテルの会員であることがわかる名簿として悪用されると、予約の確認やキャンセル、ポイントの失効を装い、偽サイトに誘導してパスワードなどを盗むフィッシングメールが送られるおそれがある。宿泊の予定があれば、内容がもっともらしく見えることもある。
ホテルや旅行の予約に関するメールを受け取ったときは、メール内のリンクからログインせず、公式サイトやアプリから予約状況を確かめることで、被害に遭うリスクを減らせる。同社は、個人情報が悪用されるなどの事象が発生した場合は、適切な措置を講じるとしている。
委託先に預けた名簿の管理を見直す機会に
同社は今回の発表で、別件として、プログラミング言語PHPの脆弱性（セキュリティ上の弱点）については、予約サイトで使用するPHPのバージョンアップを実施し、対策を完了したことも報告している。自社サイトの対策を進めていても、メール配信などの業務で外部に預けた情報が漏えいすることはある。
10月はメール配信サービスへの不正アクセスを起点とした漏えいの発表が多くの企業で続いている。メールマガジンの配信先リストは、会員数の増加とともに外部サービスに蓄積されていく。退会した会員や長期間配信していない宛先が残っていないかを定期的に点検し、委託先で事故が起きた際の連絡や公表の手順を契約の段階で決めておきたい。
同じ手口に、自社は備えられていますか？