ホテルを予約したあとに「捜査協力要請」というメールが届いたら、本文のリンクや「専用認証用アプリをダウンロード」のボタンは押さないでください。予約情報を使った偽メールが実際に確認されています。
宿泊予約システム「RESERVE GATE α（リザーブゲート アルファ）」を提供する株式会社ナバックは、2026年11月9日の第二報で、最大32万720件の会員情報が漏えいした可能性を公表しました。ホテル名やチェックイン日だけでなく、氏名・住所・連絡先なども対象です。クレジットカード情報は同システムのデータベースに保存されておらず、今回の漏えいはないとしています。ナバック公式・第二報（11月9日）
この記事の確認日：2026年11月10日。宿泊予約者が自分への影響を確認する方法、届いている偽メールの見分け方、被害を防ぐ行動とシステム停止の状況を整理しました。
まず確認：自分のホテル予約は対象？
今回の対象は、RESERVE GATE αを使う宿泊施設の予約会員情報です。全ホテルの宿泊者が対象という意味ではありません。現在そのシステムを使っている施設だけでなく、すでに利用を終了した施設に残る会員情報も含まれます。
| 確認すること | 確認方法・注意点 |
|---|---|
| 利用した予約窓口 | 過去の予約完了メール・宿泊施設の公式サイトを確認。RESERVE GATE αを使用していたかは施設の告知や問い合わせで確かめる。 |
| 過去の予約・会員登録 | 直近の宿泊だけとは限らない。現在は解約済みの施設分も対象範囲に含まれる。 |
| 対象者への通知 | 原則として宿泊施設から案内する方針。通知が届いていないだけで対象外とは断定できない。 |
| 予約の有効性 | 今回の漏えい可能性だけで既存予約のキャンセルや無効化が決まったわけではない。予約内容は施設の正規窓口で確認する。 |
ナバックは施設ごとの詳細件数を確認後、対象施設に個別連絡するとしています。対象175施設の完全な施設名一覧は、11月9日の第二報には掲載されていません。そのため、宿泊先が対象かを本記事だけで断定することはできません。
対象システムの利用を公表した宿泊施設の例
個別に注意喚起している施設として、八王子スカイホテル、アトンパレスホテル（茶寮砂の栖）、グリーンホテル大曲があります。これは確認できた一部の例であり、全施設一覧ではありません。
最大32万720件の内訳｜約35万件から更新
11月4日の初報は「最大約35万件」でしたが、11月9日の第二報で具体的な件数が示されました。
| 施設の状態 | 施設数 | 会員情報の件数 |
|---|---|---|
| 現在利用中 | 93施設 | 18万7,687件 |
| 解約済み | 82施設 | 13万3,033件 |
| 合計 | 175施設 | 最大32万720件 |
上記は漏えいした可能性のある会員情報の件数です。32万720人の個人について漏えいが確定した、という発表ではありません。1施設当たりの対象情報は最小1件、最大4万3,274件とされています。
何の個人情報が漏えいしたおそれ？カード番号・パスワードは？
| 11月4日の初報から公表 | 11月9日の第二報で追加 |
|---|---|
| 氏名 | 氏名カナ |
| 住所・郵便番号 | 携帯電話番号 |
| 電話番号 | FAX番号 |
| メールアドレス | 生年月日 |
| 宿泊先ホテル名 | 性別 |
| チェックイン日 | 勤務先の会社名・部署・住所・電話番号・FAX番号など |
クレジットカード情報：ナバックは、RGαのデータベースには保存されていないため本件による漏えいはない、と説明しています。
パスワード：第二報では、現時点で漏えいした痕跡は確認されていないとしています。「安全性が永久に保証された」という意味ではなく、調査状況に応じて続報の確認が必要です。
ナバックは、上記のうち初報の6項目について、漏えい情報が不正利用されたとみられる事象を確認したと説明しています。
「東京総署捜査協力要請」の偽メールが実際に発生｜見分け方
第二報によると、会員登録後に宿泊予約した利用者に対し、予約した施設名を入れたフィッシングメールが確認されています。メールの記載内容は以下のとおりです。
| 確認箇所 | 実際に公表された特徴 |
|---|---|
| 差出人名 | 東京総署捜査協力要請 |
| 件名 | 【重要】東京総署捜査協力要請（ご宿泊予約先施設名） |
| 誘導内容 | 「専用認証用アプリをダウンロード」させるボタンやリンク |
| 宛先 | 予約会員の登録メールアドレス |
見分けるポイント：宿泊施設名や予約に関する情報を知っている差出人でも、それだけでは本物の証拠になりません。警察を名乗る文面や「専用アプリ」の導入要求が届いたら、メールのURLを使わず、宿泊施設の公式サイトから連絡先を調べて確認しましょう。
この文面以外にも、予約確認・変更・キャンセル・追加料金の支払いを装ったメール、SMS、電話などへの注意が必要です。現時点で公式に確認された事例と、今後想定される手口は区別して考えましょう。
不審なメールが届いたら？クリック・入力した場合の対応
まだ何も操作していない場合
- メールやSMS内のリンク・添付ファイルを開かず、アプリをインストールしない。
- メールに返信して個人情報・暗証番号・カード情報を伝えない。
- 本物か確認する際は、予約時に控えた施設の電話番号や、自分で開いた公式サイトの問い合わせ先を使う。
- 不審メールは必要に応じて記録を残し、迷惑メールとして報告する。
リンクを押した・パスワードを入力した場合
- リンクを開いただけで直ちに情報流出が確定するわけではない。入力・ダウンロード・許可操作の有無を確認する。
- パスワードを入力したら、正規のサイト・アプリから直ちに変更する。同じパスワードをほかで使っている場合はそちらも変更し、多要素認証を設定する。
- カード情報を入力したら、カード会社に速やかに連絡して利用停止などを相談し、利用明細を確認する。
- 不審なアプリを入れてしまったら、操作をやめ、端末のセキュリティ点検を行う。異常がある場合は通信を切り、端末メーカーなどの正規サポートに相談する。
予約システムにログインできないのはなぜ？いつ復旧する？
ナバックはRGα会員マイページへのログイン後、「メンテナンス中」と表示して画面遷移を制限しています。さらに11月6日16時からサーバーを停止しました。
11月6日～23日を脆弱性修正・セキュリティ強化・復旧作業の実施期間としていますが、11月23日が再開日と確約されたわけではありません。再開時期は安全性を確認した後に改めて公表するとのことです。宿泊日の変更や予約確認が急ぎの場合は、ホテルの公式窓口に直接問い合わせてください。
何が原因？なぜ宿泊先を知った偽メールが届くのか【技術的な解説】
ナバックが公表している原因は、宿泊予約システムの脆弱性を突いた第三者の不正アクセスです。具体的な脆弱性の種類、CVE番号、侵入に使われたリクエストや権限昇格の有無、攻撃者が閲覧・持ち出した全データの詳細は第二報で示されていません。SQLインジェクションなど特定の手法を原因と断定することはできません。
一般に、予約データに含まれる宿泊先名・チェックイン日・メールアドレスが攻撃者に渡ると、「そのホテルを予約した人」だけを狙った連絡を作れます。無差別の迷惑メールより信じやすくなる点が危険です。今回確認された偽メールは、ナバックが不正利用とみられる事象として公表したものです。
宿泊施設の運営担当者は、提供事業者からの安全性確認、予約サイトへのリンク、顧客への通知文、代替の予約・問い合わせ経路を確認することが重要です。自社の管理画面・API接続・外部システムとの連携についても、ナバックの案内が出た範囲で確認してください。
事故の経緯とナバックの対応
| 日付 | 確認された出来事 |
|---|---|
| 11月2日 | 不正アクセス発生 |
| 11月3日 | 不正アクセスを確認 |
| 11月4日 | 初報（最大約35万件）を公表 |
| 11月5日 | 個人情報保護委員会へ速報報告 |
| 11月6日 | 熊本県警察へ被害届を提出。16時からサーバー停止 |
| 11月9日 | 第二報で最大32万720件・追加の情報項目・偽メールの特徴を公表 |
| 11月23日まで | 脆弱性修正と復旧作業の予定期間。再開日は未定 |
よくある質問（FAQ）
Q. ホテルを予約しただけで全員が漏えい対象ですか？
いいえ。今回の対象は、RESERVE GATE αで管理されていた可能性のある会員情報です。予約ルートや施設によって異なるため、利用施設の公式案内を確認してください。
Q. クレジットカードをすぐ再発行すべきですか？
RGαのデータベースにカード情報は保存されておらず、本件での漏えいはないとナバックは説明しています。ただし偽メールにカード情報を入力してしまった場合は、カード会社への連絡が必要です。
Q. パスワードは変更したほうがいいですか？
今回の侵害によるパスワード漏えいの痕跡は現時点で確認されていません。偽サイトに入力した場合や、他サービスと使い回していて不安がある場合は、正規のサービスから変更してください。
Q. まだホテルから連絡が来ません。対象外ですか？
通知未着だけでは対象外と判断できません。各施設からの案内が原則で、施設ごとの件数は確認後に個別連絡される方針です。
Q. 予約変更やキャンセルはできますか？
オンライン機能に制限が出ています。現在の受付方法は宿泊施設によって異なるため、施設の正規電話窓口や公式Webサイトで確認してください。
問い合わせ先と公式発表
株式会社ナバックの本件専用メール窓口はrgmainte@navc2.co.jpです。対応は月～金曜日の9時～18時（土日祝日・年末年始を除く）。時間外でもメールは受け付け、翌営業日以降に順次回答するとしています。宿泊予約の内容や当日の宿泊に関する問い合わせは、まず宿泊施設の正規窓口が適切です。
まとめ：ホテル名入りの偽メールにも注意
RESERVE GATE αの不正アクセスでは、利用中93施設と解約済み82施設の会員情報、最大32万720件が漏えいしたおそれがあります。宿泊先名やチェックイン日を知っている相手からの連絡でも、メールのリンクやアプリの導入要求をそのまま信用しないでください。対象確認と予約変更は宿泊施設の正規窓口へ。
関連情報：楽天トラベルの不正アクセスは自分が対象？、不審な認証SMSが届いたときの対処方法。
確認日：2026年11月10日／出典：株式会社ナバック公式発表（11月4日・9日）および各宿泊施設の公式告知。今後の調査で内容が更新される可能性があります。
