リゾートトラストのWebサイトに不正アクセス。会員約2万6千件と予約者約3万6千件の個人情報が漏えい

01発表されている事実

1. 10月5日20時30分ごろ〜23時30分ごろ

   ウェブサイトのシステムに異常な作動

2. 10月6日

   異常を認知

3. 10月7日

   不正アクセスによる情報漏えいを確認し、遮断

4. 10月9日

   公表（適時開示）

5. 10月16日

   漏えいした項目を公表。統合予約サイトなどを一時休止

漏えいが確認されたのは、一部のグループ会員の情報約2万6千件と、ザ・カハラホテル＆リゾート 横浜の予約者の情報約3万6千件です。10月16日の発表によると、会員については本人の氏名・生年月日・住所・電話番号、勤務先の会社名・所在地・電話番号、家族の氏名・生年月日、会員番号・契約施設名・契約日・契約グレード・担当者名が含まれます。予約者は氏名・生年月日・住所・電話番号です。クレジットカード情報、銀行口座情報、医療情報、利用履歴、メールアドレスは含まれていません。ホテルや施設の営業への影響はないとしています。

02読者への影響

家族の名前や勤務先、契約内容、担当者名まで知られると、本物の担当者を装った電話や郵便がもっともらしくなります。同社は、心当たりのない連絡が来たら、記載のURLや電話番号を使わず、相手が名乗る企業や機関の公式サイトから正しい連絡先を確かめるよう呼びかけています。電話や窓口での予約・問い合わせでは、本人確認を強めているため、確認に時間がかかる場合があります。問い合わせ先はリゾートトラストインフォメーションセンター（0120-350-132）です。

03今すぐやること

1. 「会員権の買い取り」「契約の更新手続き」「返金」などを持ちかける連絡は、その場で応じず、公式の窓口に確かめる
2. 家族にも、名前を知っている相手からの不審な連絡があり得ることを伝えておく
3. 迷惑電話が増えたら、迷惑電話対策のサービスや機能を使う

04同じことを防ぐには（予約サイトを持つ宿泊・サービス業）

予約サイトは外部から誰でも使えるため、攻撃の入口になりやすい部分です。同社は、外部の専門機関の調査を踏まえて、脆弱性の改修、監視の強化、ネットワークのアクセス権限の見直しを行うとしています。中小の宿泊施設でも、予約サイトの定期的な脆弱性診断、WAFの導入、予約に不要な情報（家族や勤務先など）を同じサーバーに置かない設計が有効です。異常な作動が起きた時間帯は約3時間で、同社は翌日に気づいています。夜間の異常に気づける監視の体制があるかも、あわせて確かめてください。図鑑では、Webサイトへの攻撃に備えるサービスを比べられます。

05今後の発表の予定

同社は、対象の会員へ順次、個別に連絡するとしています。すべての連絡には時間がかかる見込みです。業績に重要な影響が出ることが明らかになった場合は、速やかに開示するとしています。