Tier表株式会社ホテルプリンセス京都事案の概要と評価
ホテル日航プリンセス京都のExpedia管理者アカウントが不正利用され、予約者にカード情報入力を求める偽メッセージが送信されました。
- 発生日
- 未確認
- 公表日
- 主な影響
- 対象人数・件数は公表資料に記載なし
事案の概要
- 企業・サービス
- 株式会社ホテルプリンセス京都
- 確認状況
- 管理アカウント不正利用・閲覧確認とおそれ
- 発生日
- 未確認
- 公表日
経緯
ホテルプリンセス京都は2026年3月19日、3月2日にExpediaの管理者アカウントの不正利用と、WhatsAppによる偽メッセージの送信を確認したと公表しました。アクセスを遮断し、パスワード変更などを行ったとしています。
対象となった情報
同社は、不正に閲覧された情報として、2026年3月5日から2027年2月27日の滞在期間でExpedia経由の予約をした一部顧客の氏名、電話番号、宿泊日、宿泊金額などを挙げています。一方、通知対象は閲覧された可能性のある顧客としており、閲覧確認とおそれの対象者・項目別の境界は示されていません。カード情報は含まれません。
対象情報
- 氏名閲覧一部確認
同社は、不正に閲覧された情報として、2026年3月5日から2027年2月27日の滞在期間でExpedia経由の予約をした一部顧客の氏名、電話番号、宿泊日、宿泊金額などを挙げています。一方、通知対象は閲覧された可能性のある顧客としており、閲覧確認とおそれの対象者・項目別の境界は示されていません。カード情報は含まれません。 閲覧された情報の範囲と、閲覧の可能性がある通知対象が併記され、対象者・項目別の境界は未公表です。
- 電話番号閲覧一部確認
同社は、不正に閲覧された情報として、2026年3月5日から2027年2月27日の滞在期間でExpedia経由の予約をした一部顧客の氏名、電話番号、宿泊日、宿泊金額などを挙げています。一方、通知対象は閲覧された可能性のある顧客としており、閲覧確認とおそれの対象者・項目別の境界は示されていません。カード情報は含まれません。 閲覧された情報の範囲と、閲覧の可能性がある通知対象が併記され、対象者・項目別の境界は未公表です。
Sとした理由（暫定）
予約管理者アカウントが不正利用され、予約者の情報の閲覧と、その予約者へのなりすまし連絡に使われた実効権限を評価します。秘密情報の取得方法は不明です。
Sの評価基準深い私的情報・本人確認書類画像・有効な認証情報の侵害、それと同等の管理機能・アカウント支配、大規模な連絡先流出、又は主要な提供機能の停止。