当社システムへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（第一報）

English follows Japanese.

　このたび、当社が提供するホテルシステム「WASIMIL」（以下「WASIMIL」といいます。）において、第三者による不正アクセスが発生し、WASIMILをご利用の宿泊施設様の一部で、ご予約された宿泊者様の個人情報の一部が外部に漏えいしたことを確認いたしました。当社は、本件の確認後、直ちに調査を開始し、原因を特定したうえで、当該原因への対策を完了いたしました。現在、WASIMILは通常どおりご利用いただける状態です。

ご利用施設様、宿泊者様をはじめ、関係者の皆様に多大なご心配とご迷惑をおかけしておりますことを、深くお詫び申し上げます。
現時点で確認している事実、当社が実施した対応および今後の対応について、以下のとおりお知らせいたします。

確認した事象‍

　2026年10月17日、ご利用施設様より、宿泊者様に対し、電子メール等のメッセージアプリを通じて、宿泊予約に関する情報を含む不審なメッセージが届いているとの一報をいただき、本件の認識をいたしました。
当社による調査の結果、不正アクセスがあったということを確認し、一部ご契約施設の宿泊者様の予約に関する情報（氏名・連絡先等を含みます）が外部に漏えいしたことを2026年10月19日時点で確認いたしました。
なお、攻撃にあった脆弱性の原因を特定し、2026年10月19日時点で対応を完了しております。

上記の不審なメッセージは、当社が送信したものではなく、本件不正アクセスによって取得された情報を悪用した第三者が送信したものです。
なお、当社ではクレジットカード情報を保存していないため、クレジットカード情報は漏えいの対象に含まれておりません。
また、外部システムのサイトコントローラーをご利用のお客様に関して、その連携に関する情報の漏洩はございません。
漏えいした情報の詳細な項目および件数については、引き続き調査を進めております。

原因と対応‍

　当社は、原因となった脆弱性を特定し、2026年10月19日に修正を完了いたしました。あわせて、不正に使用されたアクセス手段の無効化、監視体制の強化を実施しております。
不正アクセス以降、新たな不正アクセスは確認されておりません。
なお、セキュリティ上の理由から、不正アクセスの具体的な手法および実施した対策の詳細については、公表を控えさせていただきます。

監督機関への対応‍

　本件については、個人情報保護法に基づき、2026年10月20日に個人情報保護委員会へ速報を提出いたしました。今後も関係機関と連携し、適切に対応してまいります。

宿泊者様へのお願い‍

　宿泊予約に関連して、予約の確認、クレジットカード情報の入力、支払い等を求める不審な電子メールやWhatsApp等のメッセージを受け取られた場合は、次の点にご注意ください。
・メッセージに記載されたURLやリンクを開かない
・クレジットカード情報や個人情報を入力しない
・メッセージに返信しない
・予約内容を確認する場合は、ご予約された宿泊施設または宿泊予約サイトの公式窓口へ問い合わせる
　万一、不審なウェブサイトにクレジットカード情報等を入力された場合は、速やかにご利用のクレジットカード会社へご相談ください。

ご利用施設様へのお願い‍

　宿泊者様から不審なメッセージに関するお問い合わせがあった場合は、メッセージに記載されたURLを開かず、個人情報やクレジットカード情報を入力しないよう、注意喚起をお願いいたします。
また、さらなる安全確保のため、当社では、より強固なセキュリティの導入を各施設様に推奨し、個別面談の上進めさせていただいております。ご協力を賜れますと幸いです。

今後の対応

　当社は、今後もシステムの監視を継続するとともに、さらなるセキュリティの強化に取り組んでまいります。調査の結果、新たに公表すべき事実が判明した場合には、速やかに当社ホームページ等でお知らせいたします。
このたびの事態により、ご利用施設様、宿泊者様をはじめ、関係者の皆様に多大なご心配とご迷惑をおかけしておりますことを、重ねて深くお詫び申し上げます。

‍

‍

[English] Notice and Apology Regarding the Leak of Personal Information Due to Unauthorized Access to Our System (First Report)

We have confirmed that unauthorized access by a third party occurred on WASIMIL, the hotel system provided by our company (hereinafter "WASIMIL"), and that part of the personal information of guests who made reservations at some of the accommodation facilities using WASIMIL was leaked externally. Upon becoming aware of this matter, we immediately began an investigation, identified the cause, and have completed countermeasures against it. WASIMIL is currently operating normally and is available for use.

We sincerely apologize for the significant concern and inconvenience this has caused to our client facilities, their guests, and everyone else concerned.
We hereby report the facts confirmed to date, the actions we have taken, and our plans going forward, as follows.

What Happened

On October 17, 2026, a client facility informed us that guests had received suspicious messages containing information about their accommodation reservations via email and messaging apps, which is how we became aware of this matter.
Our investigation confirmed that unauthorized access had occurred, and as of October 19, 2026, we confirmed that reservation-related information (including names and contact details) of guests at some contracted facilities had been leaked externally.
We identified the cause of the exploited vulnerability and completed remediation as of October 19, 2026.

The suspicious messages mentioned above were not sent by our company. They were sent by a third party misusing information obtained through this unauthorized access.
Because we do not store credit card information, no credit card information was included in the leaked data.
In addition, for customers using an external site controller, no information related to that integration was leaked.
We are continuing to investigate the specific data items and the number of records affected.

Cause and Response

We identified the vulnerability that caused this incident and completed a fix on October 19, 2026. We have also disabled the means of access that were used without authorization and strengthened our monitoring.
No further unauthorized access has been detected since the incident.
For security reasons, we will refrain from disclosing the specific methods used in the unauthorized access or the details of the countermeasures we have implemented.

Reporting to Regulatory Authorities

In accordance with the Act on the Protection of Personal Information, we submitted a preliminary report on this matter to the Personal Information Protection Commission of Japan on October 20, 2026. We will continue to work with the relevant authorities and respond appropriately.

Request to Guests

If you receive a suspicious email or a message via WhatsApp or another app regarding an accommodation reservation that asks you to confirm your booking, enter credit card information, or make a payment, please take the following precautions:
・Do not open any URLs or links in the message.
・Do not enter credit card or personal information.
・Do not reply to the message.
・To check your reservation details, contact the official contact point of the accommodation facility or booking website where you made your reservation.
If you have entered credit card or other information on a suspicious website, please contact your credit card company immediately.

Request to Client Facilities

If you receive inquiries from guests about suspicious messages, please advise them not to open any URLs in the message and not to enter personal or credit card information.
To further ensure security, we are also recommending that each facility adopt stronger security measures, and we are proceeding with this through individual meetings. We would greatly appreciate your cooperation.

Next Steps

We will continue to monitor our systems and work to further strengthen our security. If our investigation reveals any new facts that should be disclosed, we will promptly announce them on our website and through other channels.
Once again, we sincerely apologize for the significant concern and inconvenience this incident has caused to our client facilities, their guests, and everyone else concerned.