要点
発表された事実
- リゾートトラスト株式会社は2026年10月9日、同社が管理するウェブサイトに外部の第三者から不正アクセスがあり、サーバに保管されていた顧客の個人情報の一部が外部に漏洩したと公表した（リゾートトラストの発表）。
- 10月5日20時30分ごろから23時30分ごろまで当該ウェブサイトのシステムに異常な作動があったことを翌6日に認知し、調査の結果、10月7日に不正アクセスによる情報漏洩を確認した。直ちに不正アクセスを遮断した（同）。
- 漏洩が確認された情報は、一部のグループ会員の情報約2万6千件と、ザ・カハラホテル＆リゾート 横浜の予約者の情報約3万6千件（同）。
- 当該システムには、利用履歴・医療情報・クレジットカード情報・銀行口座情報・メールアドレス・本人確認書類等は含まれていない（同）。
- 全国のホテルと各施設の運営への直接的な影響はなく、予約や滞在に支障はない。外部のセキュリティ専門機関と詳細な調査をしている（同）。
- 【2026-10-17追記】リゾートトラストは10月16日、不正アクセスを受けたのは同社の「統合予約サイト」のシステムだったと公表した。統合予約サイトを含む一部のウェブサイトはメンテナンスのため休止中で、再開はホームページで案内する（リゾートトラストのお知らせ）。
- 【2026-10-17追記】漏えいが確認された項目は、一部のグループ会員について本人の氏名・生年月日・住所・電話番号、法人（勤務先）の会社名・所在地・電話番号、家族の氏名・生年月日、会員番号・契約施設名・契約日・契約グレード・担当者名。ザ・カハラホテル＆リゾート横浜の予約者は氏名・生年月日・住所・電話番号。登録がなく漏えいしていない項目がある人もいる（同）。
- 【2026-10-17追記】なりすましなどの二次被害を防ぐため、電話や窓口での予約・問い合わせの際に、これまで以上に詳細な本人確認を求める場合があるとした。個人情報保護委員会への報告（速報）と警察への相談を行っている（同）。
- 【2026-10-17追記】10月17日の「メンテナンスのお知らせ」で、統合予約サイト、法人会員様専用予約サイト、RTTGアプリを休止していると改めて案内した。10月13日のお知らせではRTTGアプリは「一部機能（マイページ・スマートチェックイン・スマートチェックアウト・デジタルスタンプラリー）」の休止とされていたが、17日のお知らせは機能を限定せず「RTTGアプリ」と書いている。再開時期は未定で、再開まではWeb専用プランを含めて電話で予約を受け付ける（10月17日のお知らせ、10月13日のお知らせ）。
- 【2026-10-20追記】リゾートトラストは10月19日、「RTTGアプリ」「統合予約サイト」「法人用インターネット予約システム」「Smart HIMEDIC」「各種ECサイト」の利用を休止し、より安全に使えるよう改修作業をしていると報告した。RTTGアプリは「現在利用できません」と表示され、当面の間利用できない。統合予約サイト（ホテル・ゴルフ）とSmart HIMEDICの予約は電話、法人用インターネット予約システムの予約はメールで受け付ける。復旧の時期は示さず、「当面の間、お時間をいただきます」としている（RTTGアプリ、Web予約サイトメンテナンスに伴う休止についてのご報告）。Smart HIMEDICは、運営するグランドハイメディック倶楽部の案内では10月16日から休止している（グランドハイメディック倶楽部のお知らせ）。
わかったこと
- 【2026-10-16】漏えいした項目：会員は本人の氏名・生年月日・住所・電話番号、勤務先の会社名・所在地・電話番号、家族の氏名・生年月日、会員番号・契約施設名・契約日・契約グレード・担当者名。カハラ横浜の予約者は氏名・生年月日・住所・電話番号（リゾートトラストのお知らせ）。
- 【2026-10-16】不正アクセスを受けたのは「統合予約サイト」のシステム（同）。
- 【2026-10-19】RTTGアプリの休止範囲：一部機能ではなくアプリ全体が当面利用できない。休止の対象には、法人用インターネット予約システム、Smart HIMEDIC、各種ECサイトも含まれる（10月19日の報告）。
わかっていないこと
- 漏洩した情報の具体的な項目（氏名・住所・電話番号などが含まれるか）（【2026-10-17追記】10月16日のお知らせで判明。「わかったこと」を参照）
- 不正アクセスを受けた「ウェブサイト」が何のサイトで、なぜ会員情報と予約者情報が同じシステムにあったか（【2026-10-17追記】対象は「統合予約サイト」のシステムと判明。同じシステムにあった理由の説明はない）
- 侵入経路と、改修するとされた「対象システムの脆弱性」の内容
- 2つの件数（約2万6千件・約3万6千件）の重複の有無と、実際の人数
- 不正アクセスが10月5日夜の約3時間だけだったのか、それ以前から始まっていたのか
- 【2026-10-17追記】統合予約サイト・法人会員様専用予約サイト・RTTGアプリの再開時期と、RTTGアプリの休止が「一部機能」からアプリ全体に広がったのかどうか（理由の説明はない）（【2026-10-20追記】10月19日の報告で、アプリ全体が当面利用できないことは判明。再開時期は示されず、休止を広げた理由の説明もない）
- 【2026-10-20追記】Smart HIMEDICや各種ECサイトまで休止した理由と、これらのシステムが統合予約サイトとどうつながっているか
関係しそうな既知の手口
- （考察）JPCERT/CCが10月の注意喚起で挙げた類型のうち、公開Webサーバーへの既知の脆弱性の悪用（ケースA）や、公開WebサーバーからアクセスできるアプリケーションサーバーへのWebシェル設置（ケースD）は、「ウェブサイト」を入口にサーバ上の保管データへ届いた本件の説明と矛盾しない。ただし、本件がどの類型に当たるかは公表されていない。
概要
- 会員制リゾートホテルなどを運営するリゾートトラストの、同社が管理するウェブサイトが不正アクセスを受け、サーバに保管されていた会員と予約者の情報が漏洩した。
- システムの異常な作動は10月5日夜の約3時間で、認知は翌日、漏洩の確認は2日後、公表は4日後だった。
- 公表資料は含まれない情報（カード、口座、メールアドレス、本人確認書類など）を列挙する一方、漏洩した項目そのものは書いていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-05（月）20:30ごろ〜23:30ごろ | 同社が管理するウェブサイトのシステムに異常な作動（リゾートトラストの発表） |
| 2026-10-06（火） | 異常な作動を認知（同） |
| 2026-10-07（水） | 調査の結果、不正アクセスによる情報漏洩を確認し、不正アクセスを遮断（同） |
| 2026-10-09（金） | 東証の適時開示として公表し、問い合わせ先を案内（同、日本経済新聞、産経ニュース） |
| 2026-10-13（火） | 統合予約サイト、法人会員様専用予約サイト、RTTGアプリの一部機能（マイページ、スマートチェックイン・チェックアウトなど）をメンテナンスのため休止すると告知。Web予約の再開までは電話で受付（リゾートトラストのお知らせ） |
| 2026-10-16（金） | 不正アクセスを受けたのは「統合予約サイト」のシステムと公表。漏えい項目（会員の家族・勤務先・契約情報を含む）を明らかにし、統合予約サイトなどを休止。電話・窓口での本人確認を強化（リゾートトラストのお知らせ） |
| 2026-10-17（土） | 「メンテナンスのお知らせ」を再掲。休止対象を統合予約サイト、法人会員様専用予約サイト、RTTGアプリと記載（アプリの機能の限定はなし）。再開は未定（リゾートトラストのお知らせ） |
| 2026-10-19（月） | RTTGアプリ、統合予約サイト、法人用インターネット予約システム、Smart HIMEDIC、各種ECサイトを休止して改修作業中と報告。RTTGアプリは当面利用できず、予約は電話・メールで受付。復旧時期は未定（リゾートトラストのお知らせ） |
発表内容の整理
事実（リゾートトラストの発表）
| 項目 | 内容 |
|---|---|
| 侵入箇所 | 同社が管理するウェブサイト（サイト名は記載なし） |
| 漏洩が確認された情報 | 一部のグループ会員の情報 約2万6千件、ザ・カハラホテル＆リゾート 横浜の予約者の情報 約3万6千件 |
| 含まれない情報 | 利用履歴、医療情報、クレジットカード情報、銀行口座情報、メールアドレス、本人確認書類等 |
| 営業への影響 | 全国のホテル・施設の運営に直接の影響はなく、予約・滞在に支障なし |
| 調査 | 外部のセキュリティ専門機関と連携して詳細調査中 |
| 再発防止策 | 調査結果を踏まえ、対象システムの脆弱性の改修、監視体制の強化、ネットワークアクセス権限の厳格な見直し |
| 対象者への連絡 | 漏洩の対象と確認された顧客に順次個別に案内 |
| 業績への影響 | 重要な影響が明らかになれば速やかに開示 |
| 問い合わせ | リゾートトラストインフォメーションセンター（RIC）0120-350-132（10月10日〜12日と平日の9:00〜17:00） |
考察
公表資料は「含まれていない情報」を細かく挙げる一方で、漏洩した項目を一つも書いていない。メールアドレスが含まれないと明記しているのは珍しく、他社の会員情報の漏洩で典型的な「メールアドレスと氏名」の組み合わせとは中身が違う可能性がある（考察）。ただ、対象者に注意を呼びかけている内容は「不審な連絡やメッセージ」で、電話や郵送での連絡に使える情報が含まれているかどうかは、対象者が自分で判断できない状態になっている。
再発防止策に「対象システムの脆弱性の改修」と並んで「ネットワークアクセス権限の厳格な見直し」が入っている点も手がかりになる。ウェブサイトを入口にして、本来そのサイトからは届かなくてよいサーバやデータに届いた可能性を同社自身が想定している、と読める（考察）。会員情報と、特定の1ホテルの予約者情報が同じシステムに保管されていた理由も、この点に関わるかもしれない。
異常な作動が約3時間と限られ、翌日に認知できていることから、何らかの監視や異常検知は働いていたとみられる（考察）。一方で、漏洩の確認までさらに1日、公表までは認知から3日かかっている。
【2026-10-17追記】事実（10月16日のお知らせ）
| 項目 | 内容 |
|---|---|
| 侵入箇所 | 「統合予約サイト」のシステム。侵入経路は遮断済み |
| サイトの状況 | 統合予約サイトを含む一部のウェブサイトをメンテナンスのため休止。再開はホームページの「お知らせ」で案内 |
| 漏えいが確認された項目（一部のグループ会員） | 会員（オーナー・メンバー）本人の氏名・生年月日・住所・電話番号、法人（勤務先）の会社名・所在地・電話番号、家族の氏名・生年月日、会員番号・契約施設名・契約日・契約グレード・担当者名 |
| 漏えいが確認された項目（カハラ横浜の予約者） | 氏名・生年月日・住所・電話番号 |
| 含まれない情報 | 既報どおり、クレジットカード情報、銀行口座情報、医療情報、利用履歴、メールアドレスの漏えいは確認されていない |
| 対応 | 対象会員に順次個別連絡。電話・窓口での予約・問い合わせ時の本人確認を強化。個人情報保護委員会へ速報、警察に相談 |
出典：リゾートトラスト
【2026-10-17追記】事実（10月13日・17日のメンテナンスのお知らせ）
| 項目 | 10月13日のお知らせ | 10月17日のお知らせ |
|---|---|---|
| 休止しているもの | 統合予約サイト、法人会員様専用予約サイト、RTTGアプリ内の一部機能（マイページ・スマートチェックイン・スマートチェックアウト・デジタルスタンプラリー） | 統合予約サイト、法人会員様専用予約サイト、RTTGアプリ |
| その他 | マイページ休止に伴い、エクシブオーナー登録サービスとマイページ登録キャンペーンも休止 | （記載なし） |
| 再開 | 改めてお知らせ欄で案内 | 同じ |
| 予約の受付 | Web予約の再開までは電話で受付。Web専用プラン（「Let’s Go To プラン」等）も電話で受付 | 同じ |
17日のお知らせは、RTTGアプリについて「一部機能」という限定を外して書いている。アプリ全体の休止に広げたのか、表記を簡略にしただけなのかは、お知らせからは判断できない（考察）。【2026-10-20追記】10月19日の報告で、RTTGアプリは「現在利用できません」と表示され当面使えないこと、つまりアプリ全体が止まっていることがはっきりした（10月19日の報告）。どちらにしても、侵入を受けた統合予約サイトのシステムと、法人会員向けの予約サイトやアプリのマイページ機能が、同じ基盤やデータを共有しているために一緒に止めている可能性がある（考察）。発覚から10日以上たっても再開時期が示されていないのは、脆弱性の改修と点検の範囲が統合予約サイトだけにとどまらないことをうかがわせる（考察）。
【2026-10-20追記】19日の報告では、休止の対象が検診予約などに使う「Smart HIMEDIC」と「各種ECサイト」にまで広がって書かれている。ホテル・ゴルフの予約とは別の事業のサービスまで止めているのは、ログイン（会員認証）や会員データなどの基盤を共有していて、統合予約サイトと一緒に点検・改修している可能性がある（考察）。同社はどのシステムがどうつながっているかを説明していない。
考察（2026-10-17追記）
10月9日の発表を読んで「電話や郵送での連絡に使える情報が含まれているかわからない」と書いたが、10月16日の公表で、住所・電話番号に加えて会員番号・契約施設名・契約グレード・担当者名まで含まれることがわかった。担当者の名前と契約内容を言い当てる電話は、本物の営業連絡と区別しにくい。同社自身が電話・窓口の本人確認を強めると書いているのは、このなりすましを想定したものと読める（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは10月8日に公開し9日に更新した注意喚起で、国内組織で相次ぐ漏えいの類型として、(A)標的ごとにさまざまな既知の脆弱性を探して悪用を試みるもの、(B)API経由の不正な操作、(C)MetabaseのSQLインジェクション（CVE-2026-72898）、(D)公開Webサーバーからアクセスできるアプリケーションサーバー上へのWebシェル設置を示した（JPCERT/CC、各機関の注意喚起の記事）。
- 内閣官房国家サイバー統括室は10月9日、ウェブシステム等の管理、サプライチェーンを通じた侵害への対策、データの管理の3点で対策の徹底を求めた（NCO）。
考察
- キャンペーンや予約のサイトは、本体より古くなりやすい：ホテルやリゾートの運営会社は、施設ごと、キャンペーンごとにウェブサイトを持つことが多い。本体の会員システムほど更新や点検の手が回らないサイトが、会員情報の置かれたサーバにつながっていると、そこが入口になる。本件のサイトがどういう性格のものかは公表されていないが、同業他社にとって点検の観点になる。
- 「含まれないもの」より「含まれるもの」を：対象者が二次被害を見積もるには、漏洩した項目の一覧が必要になる。個別の案内で項目が示されるのか、続報で公表されるのかは、まだわからない。
利用者・運用者がいまできること
事実（発表に基づく）
- 心当たりのない不審な連絡やメッセージが届く可能性がある。不審に感じたら、記載されたURLや電話番号にはアクセスせず、相手が名乗る企業や機関の公式サイトなどから正しい連絡先を確認する。
- 問い合わせはリゾートトラストインフォメーションセンター（RIC）で受け付けている。
考察（利用者向け）
- 会員制リゾートの会員やリゾートホテルの予約者であることは、それ自体が「資産のある人」を狙う詐欺の材料になりうる。会員権の買い取りや予約の変更、返金を名目にした電話や郵便物には、同社の公式の連絡先にかけ直して確かめる。
- メールアドレスは含まれないとされているため、電話や郵送、SMSでの連絡に特に注意する（考察）。
考察（運用者向け）
- 自社が管理するウェブサイト（キャンペーンサイト、施設ごとのサイト、予約フォームなど）を一覧にし、それぞれがどのサーバ・データベースにつながっているかを確認する。会員基盤のデータが、公開サイトのサーバから直接読める構成になっていないかを見る。
- 公表の際は、漏洩した項目を具体的に示す。含まれない項目だけでは、対象者が警戒すべき連絡の種類を判断できない。
参考リンク
- 当社ウェブサイトへの一部不正アクセスによる個人情報漏洩に関するお詫びとご報告（リゾートトラスト、2026-10-09）
- 同上（東証適時開示、2026-10-09）
- リゾートトラスト、サイトに不正アクセス 会員情報2万6千件漏洩（日本経済新聞、2026-10-09）
- ザ・カハラホテル＆リゾート横浜の予約者情報3万6000件が流出（産経ニュース、2026-10-09）
- 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT/CC、2026-10-08公開・10-09更新）
- 当社ウェブサイトのメンテナンスに伴う一部休止と個人情報漏えいに関する対応について（リゾートトラスト、2026-10-16）
- メンテナンスのお知らせ（リゾートトラスト、2026-10-13）
- メンテナンスのお知らせ（リゾートトラスト、2026-10-17）
- RTTGアプリ、Web予約サイトメンテナンスに伴う休止についてのご報告（リゾートトラスト、2026-10-19）
- 公式アプリ「smart HIMEDIC」および「ハイメディックLINE公式アカウント」のサービス一時休止のお知らせ（グランドハイメディック倶楽部、2026-10-15）