リゾートトラスト約6万2千件の個人情報漏えい、漏れた会員・予約者の情報で何をされるのかまとめました

2026年10月9日、リゾートトラスト株式会社は、同社が管理するウェブサイトが外部の第三者から不正アクセスを受け、サーバに保管されていた顧客の個人情報の一部が外部に漏洩したと公表しました[1]。漏えいが確認されたのは、一部のグループ会員の情報が約2万6千件、ザ・カハラ・ホテル＆リゾート 横浜の予約者の情報が約3万6千件です。クレジットカード情報やメールアドレスなどは対象のシステムに含まれていないとされていますが、それで安心とは言い切れません。

「自分の会員情報や予約の情報で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、会員サービスの中で特に狙われやすくなった場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• メールアドレスは対象外とされる一方、電話や郵便、SMSを使った「本物らしい連絡」には引き続き注意が要ります。
• 10月13日から予約サイトやアプリの一部機能が止まり、Web専用プランは電話で受け付けています。電話での本人確認が、いま一番の入口になっています。
• 会社側がまず見直したいのは、電話窓口の本人確認と、再開するログイン・契約情報の変更の確かめ方です。

なお、本記事は公表文や公式サイト、アプリストアの説明など、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

同社は、心当たりのない不審な連絡が届く可能性があるとし、届いたメッセージのURLや電話番号ではなく、公式ホームページなどから正しい連絡先を確かめるよう呼びかけています[1]。対象者には順次、個別に案内するとしています。ホテルや施設の運営には直接の影響はないとしています。

その後、10月13日には「メンテナンスのお知らせ」として、統合予約サイト、法人会員様専用予約サイト、アプリ内のマイページやスマートチェックイン・チェックアウトなどの停止が告知されました[2]。このお知らせに、不正アクセスとの関係は書かれていません。

漏れた情報で、何ができてしまうか

今回の公表文は、漏れなかった項目は挙げている一方で、漏れた項目そのものは書いていません。会員情報や予約者情報には、一般的に氏名・住所・電話番号・生年月日などが含まれることが多いため、ここでは「もし含まれていれば」という前提で整理します。

メールアドレスが対象外とされている点は、不幸中の幸いです。ただ、その分だけ電話や郵便、SMSが「本物らしく見せやすい道」として残ります。さらに今回は、Web予約の一部が止まり、電話での受付に寄っています[2]。利用者が電話で予約や問い合わせをする機会が増える時期に、「予約の確認です」という電話がかかってきても、見分けるのは簡単ではありません。

この会員サービスで認証が使われる場所

公式サイトとアプリストアの説明から、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、対象システムの脆弱性の改修、監視体制の強化、ネットワークアクセス権限の厳格な見直しが挙げられています[1]。一方で、会員のログインや本人確認の方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 電話窓口の本人確認から、今回の情報を外す。Web予約の一部が止まっている今、電話が予約と問い合わせの主な道になっています。「氏名・生年月日・住所・電話番号が合えば本人」という扱いになっていないか、運用の見直しから始められます。
2. 再開するマイページや予約サイトで、ログインと再設定の確かめ方を「知っている」だけにしない。サービスを止めて作り直している今は、利用者の手間を増やさずに認証の土台を入れ替える好機でもあります。
3. 契約情報の変更、ポイントの利用、スマートキーの発行といった重い操作に、追加の確認を入れる。精算ではすでにSMSで確かめる仕組みがあり[4]、それを他の大事な場面にも広げる考え方です。

あわせて、再開の案内や個別の連絡を、どこから・どんな形で送るのかを先に伝えておくと、偽の連絡との見分けを助けられます。

認証の観点から：「番号を知っている」と「その電話を持っている」は違う

今回、6万件を超える会員・予約者の情報が外に出ました。漏れた項目の内訳はまだ公表されていませんが、会員サービスでは電話番号が連絡先にも、SMSの宛先にも使われています。ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。

前者は、漏えいで第三者に知られてしまう可能性があります。一方で後者は、情報が漏れても変わりません。認証の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[7]。禁止ではありませんが、端末の入れ替えやSIMの変更といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

サービスの再開に合わせて「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら