レゴランド・ジャパン・ホテル1,557件の情報漏えいの可能性、氏名・メールアドレス・電話番号で何をされるのかまとめました

2026年9月25日、LEGOLAND Japan合同会社は、レゴランド・ジャパン・ホテルの公式予約サイトで使っているオンライン予約プラットフォームについて、運営会社のAmadeus IT Group, S.A.社から「予約情報に含まれる一部の連絡先情報が不正アクセスされた」との報告を受けたと公表しました[1]。影響を受けた可能性のある予約は1,557件としています。対象は、氏名、メールアドレス、電話番号です。クレジットカード情報などの決済情報、パスワード、金融情報、パスポート情報へのアクセスは確認されていない、とのことです。

カード情報やパスワードが含まれていない点は、ひとまず安心材料です。ただ、それで安心とは言い切れません。「このホテルを予約した人」という事実と、本人に直接届く連絡先が、ひとそろいになっている可能性があるからです。

「自分の名前やメールアドレス、電話番号で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れたかもしれない情報が悪用されうる場面と、予約から宿泊までの中で本人確認が使われる場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• 予約内容に触れた、ホテルをかたるメール・SMS・WhatsAppが届きやすくなります。同社も、メッセージ内のリンクから追加の支払いを求めることはないとしています。
• 不審な連絡が来たら、返信やリンクのクリックをせず、公式サイトに載っている窓口から確かめるのが安全です。
• 会社側がまず見直したいのは、電話・メールでの予約の変更やキャンセルで、氏名・メールアドレス・電話番号が合えば本人と見なしていないかです。

なお、本記事は公表文、公式のよくある質問、利用規約、アプリストアの説明など、公開情報だけをもとにしています。予約画面などを実際に試す調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

公表文には、不正アクセスが起きた時期、原因、再発防止策の記載はありませんでした[1]。

漏れた情報で、何ができてしまうか

今回の3項目は、どれも「本人に連絡を届ける」ための情報です。加えて、「このホテルを予約した人」という事実がひも付いています。

公表文自体も、詐欺メール・SMS・WhatsAppへの注意を呼びかけています。そのうえで、正式な予約・決済システム以外で、クレジットカード番号やワンタイムパスコード、アカウント情報・認証情報の提供を求めることはないとしています[1]。ここにワンタイムパスコードが挙がっている点は大事です。偽の連絡で狙われるのは、お金だけでなく、本人確認の手段そのものだということです。

このホテルとリゾートで本人確認が使われる場所

公式のよくある質問、利用規約、アプリストアの説明など、公開情報で確認できた範囲で並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文には、再発防止策や認証の見直しについての記載はありませんでした[1]。認証の観点からは、次の順で見直すことが考えられます。

1. 電話・メールでの変更やキャンセルの本人確認から、漏れた3項目を外す。氏名・メールアドレス・電話番号が合うことを本人の証拠にしている部分があれば、そこが一番の穴になります。仕組みを作り直さなくても、運用の見直しから始められます。
2. Webでの予約の呼び出しに、もう一段の確認を足す。予約の変更やキャンセルで、何を入れれば予約を呼び出せるのかを確かめ、漏れた情報だけで届く形になっていないかを見ます。今回は委託先の予約基盤で起きた事故のため、委託先の管理側のログインがどう守られているかも、あわせて確かめておきたい所です。
3. お金が動く場面の連絡経路を一本にする。追加料金や返金などは、メッセージ内のリンクではなく、正式な予約・決済システムの中でしか扱わないと決めて伝え続けることで、偽の連絡との見分けがつきやすくなります。

認証の観点から：「番号を知っている」と「その電話を持っている」は違う

今回、1,557件分の予約の連絡先が、第三者の手に渡った可能性があります。ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。

前者は、もう第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。メールに届く確認コードも、メールアカウントが乗っ取られれば攻撃者の手に渡ります。年間パスポートの入場で顔写真を見ているように、「知っているか」ではなく「持っているか」「本人か」を確かめる形に寄せることが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を『制限付き（restricted）』の手段と位置づけています[6]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

予約の変更や窓口での本人確認に、「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら