宿泊予約システム「RESERVE GATE α」に脆弱性を突かれ最大約35万件 自治体の宿泊施設にも波及

事案の概要データ

図解：この事故の構造

何が起きたのか

株式会社ナバックは2026年11月4日、同社が提供する宿泊予約システム「RESERVE GATE α」が脆弱性をついた第三者による不正アクセスを受け、宿泊予約会員の氏名、住所、電話番号、メールアドレス、宿泊先ホテル名などが漏えいしたと公表しました。件数は最大で約35万件です。

同日、このシステムを使っていた東京都島嶼町村一部事務組合も、島嶼会館の宿泊予約について、ホームページから予約した客の情報3,021件が漏えいした可能性があると公表しました。電話予約の分は含まれないとしています。

「宿泊先ホテル名」が一緒に漏れることの意味

漏えい項目に「宿泊先ホテル名」が入っています。これは、ほかの名簿流出にはない要素です。

何が分かるか。その人が、いつ・どこに泊まる（泊まった）かです。

使われ方を考えてみてください。

①「ご予約内容の変更について」という偽メールが、実在する予約に合わせて届く。 宿名が合っているので、疑いにくい。

②「当日の決済方法が変更になりました」とカード情報を求められる。

③留守が分かる。 旅行中は家が空いていると推測できます。

宿泊予約の情報は、「いつ・どこに・誰が」がそろった情報です。氏名と住所だけの名簿より、使い道が多くなります。

予約した方への呼びかけは1つです。予約内容の変更や決済に関する連絡が来ても、メールのリンクを使わず、予約した宿に直接電話してください。 予約番号は、自分の予約確認メール（自分が受け取った正規のもの）か、宿の公式サイトから確認できます。

「脆弱性を突かれた」と言える会社、言えない会社

この公表には、評価すべき点があります。原因を「脆弱性をついた不正アクセス」と明示していることです。

2026年10月から11月にかけての公表を見ると、原因の書き方は大きく3つに分かれます。

①具体的に書く：「Webサーバーの脆弱性」「アクセス制御の設定不備」「管理画面のパスワードが推測された」など。

②抽象的に書く：「第三者による不正アクセス」だけ。

③書かない（調査中）。

①が多いほど、同業他社が自分の設定を点検できます。 これは業界全体にとって価値があります。本サイトが原因の記述を毎回facts欄に載せているのは、そのためです。

ただし、公表する側には事情もあります。具体的に書くと、同じ弱点を持つ他社が攻撃される可能性があるからです。「どのソフトのどのバージョンか」まで書くのは、修正が行き渡る前だと危険です。

ちょうどよい書き方は、「種類は書くが、特定の手口は書かない」です。本件の「脆弱性をついた不正アクセス」は、その線にあります。

中小企業が自社で公表文を書くときも、この加減を参考にしてください。「原因は、当社が利用していたシステムの脆弱性です。提供元の修正を適用し、同種の問題がないか点検しました」。 これで、誠実さと安全の両方が成り立ちます。

時系列で見る経過

• （時期は未公表）宿泊予約システム「RESERVE GATE α」が脆弱性を突いた不正アクセスを受ける
• 2026年11月4日ナバックが公表。最大約35万件の漏えい
• 2026年11月4日東京都島嶼町村一部事務組合が、島嶼会館の宿泊予約3,021件について公表

中小企業が学ぶべきポイント

1. 宿泊予約の情報は「いつ・どこに・誰が」がそろう。氏名と住所だけの名簿より使い道が多い。
2. 宿名が合っている偽メールは疑いにくい。予約の変更や決済の連絡は、宿に直接電話して確認する。
3. 旅行の予定が漏れると、留守が推測できるという別の危険もある。
4. 原因を「脆弱性をついた不正アクセス」と明示した。同業他社が自分の設定を点検できる書き方。
5. 具体的すぎる記述は、同じ弱点を持つ他社を危険にさらす。「種類は書くが手口は書かない」が目安。
6. 各施設の件数は、提供元が公表した最大約35万件の内数。加算してはいけない。

出典・参考

• 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）