D-EDGEとMisterbooking、ホテル宿泊客のデータ流出

フランスのホテル向けソフトウェア企業D-EDGEと、Septeo Hospitalityが提供するMisterbookingで、2026年10月中旬にセキュリティインシデントが起きた。宿泊客の予約データが流出している。

発覚したのは、パリ近郊のホテルが10月29日に顧客へ送ったメールがきっかけだ。ホテルは、二つの技術委託先で「互いに独立した別個の」事案が起きたと説明している。D-EDGEとSepteoは、報道時点で問い合わせに回答していない。

D-EDGEの設定不備

ホテルのメールによると、D-EDGEの設定ミスにより、10月20～21日に第三者が予約データへアクセスできた。同社がホテルに通知したのは23日。流出したのは予約日や予約番号、宿泊金額、ホテル名で、一部の予約ではメールアドレスと電話番号も含まれる。影響施設数は不明だが、同社のクラウドサービスは150カ国超の1万7000以上のホテルで使われている。

Misterbookingへの侵入

Misterbookingは不正侵入だった。Septeo Hospitalityは10月19日、第三者がサーバーに不正アクセスしたことを検知。ホテルによれば、同日午前にアクセスを遮断するまでに攻撃者が一部データを抜き取った。業界団体GHRは23日の会員向け通知で、データの「相当部分」が抽出されたとしている。

対象は宿泊客と同行者の氏名・連絡先、予約情報、顧客ファイルに添付された書類で、D-EDGEより機微性が高い。規模は不明で、Misterbookingは1800施設が利用している。

利用者への影響

両件ともカード情報の全体は含まれないとされる。ただ、流出情報を使えば精巧なフィッシングが可能になる。今月はMedialogへの攻撃後にも、実際の予約情報を使ったWhatsAppやメールの詐欺が確認された。

予約番号や日付、金額が書かれていても、本物の証拠にはならない。カード情報の確認や前払い、リンクのクリックを求められたら応じず、公式サイトや予約確認書記載の番号でホテルに直接連絡してほしい。