ホテル京都ガーデンパレス、予約管理システムが侵害され予約者にフィッシングメールが配信 — のべ約2,800人分が流出

項目	内容
発生日	2025年10月23日（侵害の確認およびフィッシングメールの指摘）
公表日	2025年12月11日（報道日）。ホテル側が公表した日付は出典に記載がない
対象組織・業界	ホテル京都ガーデンパレス（運営: 日本私立学校振興・共済事業団／宿泊・観光）
影響件数	2025年10月22日以降に宿泊する予約をしていたのべ約2,800人分の氏名、住所、電話番号、性別、メールアドレス、宿泊情報
攻撃手法	予約管理システムが第三者によって侵害された。流出した予約者に対し、予約確認等を装うフィッシングメールが送信され、偽サイトへ誘導された。侵入経路は非公表
情報源	Security NEXT（2025年12月11日）

概要

日本私立学校振興・共済事業団が運営するホテル京都ガーデンパレスは、予約管理システムが第三者によって侵害され、個人情報が流出したと公表しました。

発覚の契機は、顧客からの指摘でした。「Kyoto Garden Palace ご予約がキャンセルされる可能性があります」という件名のフィッシングメールが届いたという申し出があり、このメールは予約の確認などと称して偽サイトへ誘導するものでした。

流出したのは、2025年10月22日以降に宿泊する予約をしていたのべ約2,800人分の氏名、住所、電話番号、性別、メールアドレス、宿泊情報です。侵害とフィッシングメールの指摘はいずれも2025年10月23日です。

同ホテルは警察への相談、個人情報保護委員会への報告、利用者への注意喚起を実施しました。予約の不正変更、キャンセルなどの形跡は確認されていないとしています。

経緯

• 2025年10月22日以降に宿泊予約をしていた分が対象範囲となる
• 2025年10月23日: 予約管理システムの侵害。同日、顧客から「Kyoto Garden Palace ご予約がキャンセルされる可能性があります」という件名のフィッシングメールが届いたとの指摘を受ける
• 対応: 警察へ相談、個人情報保護委員会へ報告、利用者へ注意喚起を実施
• 2025年12月11日: 公表。予約の不正変更・キャンセルの形跡は確認されていないとする

原因

判明している事実: 予約管理システムが第三者によって侵害されたことが公表されています。侵入経路、悪用された脆弱性、認証情報がどのように取得されたかは公表されていません。

考えられる原因（推測）

侵害から同日のうちにフィッシングメールの配信まで到達している点が、この事案の性格を示しています。予約者の氏名とメールアドレスと宿泊予定を取得したうえで、それを使った配信を即座に行っています。情報の窃取が目的ではなく、窃取した情報を使った詐取が最初から計画されていた構図が読み取れます。

この手口では、予約管理システムへのアクセス権限を得ることが起点になります。管理画面の認証情報が何らかの経路で取得された場合、侵入は「正規のログイン」として成立し、システム側の脆弱性を必要としません。同種の事案では、宿泊施設側の担当者が使う管理アカウントの認証情報が窃取される形が繰り返されています。

対象が「2025年10月22日以降に宿泊する予約」に限られていることは、参照されたのが将来の予約分であったことを示します。フィッシングの成功率を考えれば、これから泊まる予定のある人にこそ「予約がキャンセルされる可能性があります」という文面が効きます。攻撃者が対象を選んで抽出した可能性が考えられます。

対策

組織が学ぶべきこと

1. 予約管理システムの管理アカウントを、多要素認証で保護する

予約管理システムは、宿泊者の連絡先と滞在予定を一括で保持しています。管理画面の認証情報が1組奪われれば、その全体が読み出せる構造です。管理者アカウントへの多要素認証の適用と、アクセス元の制限が、この層の防御の中心になります。

2. 「これから泊まる客」への連絡は、詐取に最も使われやすい

今回のフィッシングは、予約のキャンセルを示唆する件名で送られました。宿泊を控えた人にとって、この件名は無視できません。施設側が正規に送る予約確認メールの形式を利用者に周知し、正規メールにはリンクを含めない運用にすることで、偽メールとの識別が可能になります。

3. 顧客からの指摘を受け付ける経路を、目立つ場所に置く

この事案の発覚は、顧客からのフィッシングメールに関する指摘によるものです。施設側は自分のシステムが侵害されたことを、外部の指摘によって知りました。顧客が「おかしなメールが届いた」と伝えられる窓口の有無が、検知までの時間を決めます。

ヤグラの視点 — 二次攻撃の連鎖を断つ：情報が出た日に、その情報を使った攻撃が届いていた

多くの漏えい事案では、「流出したが悪用の形跡は確認されていない」という状態で公表が行われます。この事案は違います。侵害が確認された2025年10月23日、同じ日に予約者のもとへフィッシングメールが届いています。流出と悪用のあいだに時間差がありません。

攻撃者から見れば、これは合理的な設計です。予約管理システムから取れるのは、氏名、メールアドレス、そしていつどの施設に泊まるかです。この三つが揃った相手に「ご予約がキャンセルされる可能性があります」と送れば、受信者には心当たりがあります。実際に予約しており、実際にその施設名で、実際にその日程がある。送り手を騙るための材料が、名簿そのものに含まれていたわけです。奪われたのは連絡先ではなく、信用の宛名帳です。

この構造では、施設側の勝敗は「情報を出さないこと」ではなく、出た後に来る波を何分で止められるかで決まります。今回、施設が侵害を知ったのは顧客からの指摘でした。つまり最初の被害候補者が偽メールを受け取ってから、施設が事態を把握するまでのあいだ、残りの2,800人は無防備でした。報告の間口を下げ、報告されたメールをAIが数分で分析して同じものが誰に届いているかまで自動で調べる体制は、この空白を縮めるために働きます（→ PhishAI）。予約者への注意喚起が届く速度が、そのまま被害の総量を決めます。

今後の対応

• 侵入経路の特定と、管理アカウントの認証情報が窃取された経緯
• フィッシングによる実際の被害（偽サイトでの情報入力）の有無
• 予約管理システムのアクセス制御を含む再発防止策の公表内容

更新履歴

日時	内容
2026-08-12	2025年12月11日の公表内容をもとにアーカイブ記事として作成