WASIMILで宿泊者情報漏えい｜クラウド委託先管理と詐欺対策

社長、顧客情報をクラウドサービスへ預けている場合、その会社がサイバー攻撃を受けたとき、誰が顧客へ連絡するか決まっていますか。自社のパソコンや社内ネットワークが攻撃されていなくても、外部サービスの事故によって顧客情報が流出することがあります。

2026年10月、ホテル管理システム「WASIMIL」で第三者による不正アクセスが発生し、一部宿泊施設の予約者情報が外部へ漏えいしたことが確認されました。さらに、流出した予約情報を悪用した不審なメッセージが宿泊者へ送られていたことも明らかになっています。

今回の事例は、ホテルだけの問題ではありません。顧客管理、予約受付、販売管理などをクラウドサービスへ委託する中小企業にも共通する課題です。公式発表で確認できる事実を整理し、経営者が実行できる対策を解説します。

1．WASIMILで何が起きたのか

株式会社AZOOが提供するホテル管理システム「WASIMIL」で、第三者による不正アクセスが発生しました。同社は、一部の契約宿泊施設において、宿泊予約に関する個人情報の一部が外部へ漏えいしたことを確認しています。

WASIMILは宿泊施設の業務で利用されるシステムであり、宿泊者の予約情報などを扱います。そのため、システム提供会社で事故が発生すると、サービスを利用している複数の宿泊施設や、その宿泊者に影響が及ぶ可能性があります。

今回の重要な点は、予約情報の流出に加え、その情報を悪用した第三者による不審なメッセージが確認されていることです。

一次情報：WASIMIL｜不正アクセスによる個人情報漏えいに関する公式発表

2．不正アクセス発覚から公表までの経緯

AZOOの公式発表によると、2026年10月17日、WASIMILを利用する宿泊施設から、予約情報を含む不審なメッセージが宿泊者へ届いているとの連絡がありました。同社は調査を開始し、10月19日時点で第三者による不正アクセスと一部宿泊者情報の漏えいを確認しています。

原因となった脆弱性については、10月19日に修正を完了したと公表しています。10月21日付の公式発表では、WASIMILは通常どおり利用できる状態だと説明されています。

なお、宿泊施設側の10月29日付案内には、AZOOが10月20日に発表したとの記載もあります。公表日については資料ごとに表現が異なるため、本記事ではAZOO公式サイトに掲載された第一報の日付である10月21日と、宿泊施設の個別案内日である10月29日を区別しています。

3．漏えいした宿泊者情報の範囲

AZOOは、一部契約施設の宿泊予約に関する情報が外部へ漏えいしたことを確認しています。具体的な情報項目や件数については、公式第一報の時点で調査中としています。

一方、WASIMILを利用するPIECE HOSTEL SANJOは、2026年10月29日付の案内で、漏えいした可能性がある情報の種類を示しています。対象は、2026年10月19日以前に予約した宿泊者について、システムに登録されていた情報です。

これは当該宿泊施設が公表した対象項目であり、WASIMILを利用するすべての施設で同じ項目が漏えいしたと断定するものではありません。

一次情報：PIECE HOSTEL SANJO｜個人情報漏えいに関する公式案内

4．クレジットカード情報は対象外

AZOOは、WASIMILではクレジットカード情報を保存していないため、今回の漏えい対象には含まれていないと説明しています。宿泊施設側の案内でも、カード情報は対象外とされています。

この事実は、顧客への説明で特に重要です。情報漏えいが発生したからといって、カード番号まで流出したと推測してはいけません。

5．予約情報を悪用した不審メッセージ

今回の事故では、漏えいした予約情報を悪用した第三者が、宿泊者へ不審なメッセージを送っていたことが確認されています。AZOOは、これらのメッセージは同社が送信したものではないと明確に説明しています。

予約番号や宿泊日程などを知っている相手から連絡が届くと、宿泊者は本物のホテルからの案内だと誤認する可能性があります。これが、予約情報の流出で特に注意したい二次被害です。

実際の不審メッセージの文面がすべてこの例と一致するという意味ではありません。予約情報を利用した詐欺の典型的な注意点として紹介しています。

6．クラウドの脆弱性と事業者の対応

AZOOは、不正アクセスの原因となった脆弱性を特定し、2026年10月19日に修正を完了したと公表しています。さらに、不正に使用されたアクセス手段の無効化や監視体制の強化も実施したと説明しています。

同社の公式第一報では、事故以降、新たな不正アクセスは確認されていないとしています。また、セキュリティ上の理由から、具体的な攻撃手法や対策の詳細は公表していません。

そのため、今回の事故原因を特定の製品、設定ミス、認証方法などに結び付けて断定することはできません。クラウド利用企業としては、事業者の修正対応と今後の監視体制を確認することが重要です。

7．宿泊施設ごとに影響が異なる理由

クラウドサービスでは、複数の企業が同じシステムを利用していても、登録している情報や利用機能が異なる場合があります。宿泊施設によって、保存している予約情報や宿泊者への連絡手段も異なります。

そのため、ある施設の発表に記載された情報項目を、すべての利用施設へそのまま当てはめることは適切ではありません。個別の施設が公表する対象期間や情報項目を確認する必要があります。

例えば、PIECE HOSTEL SANJOは10月29日付で具体的な情報項目を案内しています。施設ごとの最新情報を確認し、自社が対象となる場合は個別の影響を整理することが重要です。

8．クラウド利用企業にも必要な管理責任

クラウドサービスを利用すると、システムの運用や保守の一部を外部企業へ任せられます。しかし、顧客情報を預けた企業が、その情報の管理状況をまったく確認しなくてよいわけではありません。

個人情報保護法では、個人データの取扱いを委託する場合、委託元に必要かつ適切な委託先の監督が求められます。具体的な監督内容は、取り扱う情報や委託業務の内容に応じて検討します。

重要なのは、契約書の存在だけで安心しないことです。預けている情報の種類、アクセス権限、事故発生時の報告方法などを確認し、必要に応じて見直しましょう。

公式資料：個人情報保護委員会｜個人情報保護法ガイドライン（通則編）

9．委託先との契約・連絡体制の確認

クラウド事業者で事故が起きた場合、利用企業は自社の顧客が対象か、どの情報が漏えいしたか、顧客へ何を案内すべきかを確認する必要があります。そのためには、普段から委託先との連絡体制を整えておくことが重要です。

委託先へ確認したい事項

• クラウドに保存している顧客情報の種類と件数
• データへアクセスできる担当者と権限
• 再委託先の有無と管理体制
• 事故発生時の報告窓口と連絡期限
• ログの保存と事故調査への協力体制
• 顧客への説明・通知の役割分担
• サービス停止時の代替業務とデータの取扱い

事故発生後に初めて担当者を探すのでは、対応が遅れる可能性があります。契約時だけでなく、定期的に緊急連絡先と対応手順を確認しましょう。

10．顧客へ伝えたい詐欺対策

今回のWASIMILの事故では、予約情報を含む不審なメッセージが確認されています。顧客へ注意喚起する際は、漠然と「詐欺に注意してください」と伝えるだけでは不十分です。

具体的には、メッセージ内のURLを開かないこと、カード情報や個人情報を入力しないこと、確認が必要な場合は正規の連絡先へ問い合わせることを案内しましょう。

顧客に連絡する際は、公式サイトにも同じ注意喚起を掲載すると、利用者が内容を照合しやすくなります。顧客への説明では、確認済みの事実と調査中の事項を分けて伝えましょう。

11．他業種の中小企業にも共通するリスク

今回の事故はホテル管理システムで発生しましたが、外部のクラウドサービスに顧客情報を預ける構造は、さまざまな業種に共通しています。例えば、建設会社の顧客管理、医療・介護施設の予約管理、店舗の会員管理、運送会社の配送先管理などです。

顧客情報が流出すると、その情報を使って取引先や顧客を信用させる不審な連絡が行われる可能性があります。顧客名や取引内容など、相手しか知らないはずの情報が使われても、連絡が本物とは限りません。

これはWASIMILの事故によって、これらの業種で被害が発生したという意味ではありません。クラウド利用企業に共通する実務上のリスクとして考える必要があります。

12．社長向け7項目チェックリスト

自社がクラウドサービスを利用している場合、次の7項目を確認してください。

まずは、利用しているクラウドサービスを一覧にするだけでも、見落としていた委託先や保存情報が見つかる可能性があります。担当部署だけに任せず、経営者も全体像を把握しておきましょう。

13．まとめ｜今日できる一つの行動

ホテル管理システムWASIMILでは、第三者による不正アクセスによって、一部宿泊施設の予約者情報が漏えいしました。さらに、流出した予約情報を悪用した不審なメッセージが確認されています。

株式会社AZOOは、原因となった脆弱性の修正、不正なアクセス手段の無効化、監視体制の強化を実施したと公表しています。一方、利用企業にとっては、委託先の対策だけでなく、自社の顧客情報の把握と顧客への連絡体制が重要です。

公式一次情報

• 株式会社AZOO／WASIMIL｜不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（第一報）
• PIECE HOSTEL SANJO｜ホテル管理システムへの不正アクセスに伴う個人情報漏えいについて（2026年10月29日）
• IMANO OSAKA SHINSAIBASHI HOSTEL｜WASIMIL不正アクセスに関する案内（2026年10月29日）
• 個人情報保護委員会｜個人情報保護法ガイドライン（通則編）
• 個人情報保護委員会｜漏えい等の対応とお役立ち資料

※2026年10月30日時点で確認できる公式発表を基に作成しています。漏えいした情報の詳細や件数は施設ごとに異なる可能性があり、調査結果によって更新される場合があります。