ホテルリゾートイン石垣島で情報漏洩！自分が対象者か確認する方法と今すぐやること

2026年10月10日更新：ホテル・運営会社の公式発表（2026年10月5日・6日公表分）をもとに書いています。新しい発表があれば、この下に更新日を追記します。

ホテルリゾートイン石垣島で、宿泊管理システムへの不正アクセスによる個人情報漏洩が公表されました。対象になる可能性があるのは、対象期間に宿泊した人だけではありません。

• 予約代表者
• 情報を登録された同行者
• 今後宿泊する予約者

も含まれる可能性があります。最大17,170人分の情報が対象で、一部の方についてはパスポート画像・署名画像・顔写真も取得されています。一方、クレジットカード情報と、予約サイト・SNS・メールなどのパスワードは対象外とされています。まずは「自分が対象かどうか」を確認することが最優先です。

🔔 まず確認	内容
対象人数	最大17,170人
対象となる可能性がある人	対象期間の宿泊者／予約者／システムに情報登録された同行者
特に重要な漏洩情報	パスポート画像：234名分／署名画像：6名分／顔写真：5名分
対象外とされている情報	クレジットカード情報／予約サイト・SNS・メール等のパスワード
最優先でやること	①対象者通知メールを確認 ②不明なら公式窓口へ確認 ③ホテルや予約サイトを装うメール・SMSのリンクは開かない

この記事で分かることは、次の5つです。

• 自分が対象かどうかの確認方法と、対象期間
• 同行者・予約者・楽天トラベルやBooking.com経由の人はどうなるか
• 何が漏れたのか（クレジットカード・パスワードは含まれるのか）
• パスポート画像が漏れた人がまずやること
• これから宿泊する予定の人が気をつけたいこと

私自身、旅行の予約情報がどこまで事業者に渡っているのか、普段はあまり意識していませんでした。今回の発表を読んで、「同行者として名前を入れただけでも対象になり得る」という点が一番ひっかかりました。同じ不安を持った人が、この1本で整理できるように書いていきますね。

ホテルリゾートイン石垣島の情報漏洩で何が起きた？

最初に、公式発表で確認できている事実だけを短くまとめます。原因などで「まだ分かっていないこと」は、分からないと書きますね。

最大17,170人分の個人情報が対象

運営会社のリゾーツ琉球株式会社は、ホテルが利用する外部の宿泊管理システムに第三者が不正にアクセスし、最大17,170人分の個人情報が取得された可能性があると公表しました。数字は「最大」なので、全員の全項目が漏れたという意味ではありません。

対象には、予約を取った代表者だけでなく、システムに情報が登録された同行者や、これから泊まる予定の予約者も含まれます。この点は次の「自分は対象？」の章で詳しく見ていきます。

ホテルリゾートイン石垣島・公式のお知らせ

不正アクセスは2026年9月18日夜～19日夕方

公式発表によると、不正アクセスがあったのは2026年9月18日夜から9月19日夕方にかけてです。その後、不正アクセスは遮断されたと報告されています。ホテルの公式サイトでの第一報は10月5日、運営会社による詳細な発表は10月6日でした。

宿泊管理システムへの不正アクセスが原因

きっかけは、ホテルが業務で使っていた外部の宿泊管理システム（株式会社デバイスエージェンシー提供）への第三者による不正アクセスです。ホテル自身のパソコンが乗っ取られたという話ではなく、予約や事前チェックインの情報を預けていたシステム側が狙われた形です。

ただし、システムのどこが突かれたのかという詳細な侵入経路は、現時点で公式には示されていません。今後の調査結果や、個人情報保護委員会への確報を待つ必要があります。「この仕組みが原因だ」と決めつけた情報には、慎重になったほうがいいと思います。

自分は対象？対象期間と対象者を確認

ここがこの記事でいちばん大事な章です。「泊まったのはいつか」「どういう立場で予約に載っていたか」の2点で、自分が当てはまりそうか確認してみてください。

対象となる宿泊期間は？

公式発表の対象期間は、2023年2月12日から2027年6月24日までです。この期間に「ホテルリゾートイン石垣島」に宿泊した人、そして期間中の宿泊を予約している人が対象になります。

対象期間外の宿泊者や、リゾーツ琉球が運営する他の宿泊施設（例：HOTEL SUNSUI NAHA）の利用者は、本件の対象外と明言されています。「リゾーツ琉球のホテルだから全部」ではないので、ここは落ち着いて確認してください。

過去に泊まった人だけでなく予約者も対象

対象期間の終わりが2027年6月24日になっているのは、これから先の宿泊予約も含まれているからです。もう泊まった人だけの話ではありません。今後宿泊予定の予約者も、対象になり得ます。

「まだ泊まっていないから関係ない」と思っていた人は、予約の時点で入力した氏名や連絡先が預けられている点に注意してください。

予約代表者ではなく同行者でも対象になる？

結論から言うと、「はい、なり得ます」。

事前チェックインでは、代表者が同行者の氏名や年齢などの情報をシステムに入力する仕組みがあります。自分で予約をしていなくても、代表者を通じて情報が登録されていれば、対象に含まれる可能性があります。

家族旅行や友人との旅行で「予約は全部おまかせだった」という人は、一緒に泊まった代表者に、事前チェックインで自分の情報が入力されたかどうかを聞いてみるのが近道です。

楽天トラベルやBooking.comから予約しても対象？

予約サイト（OTA）経由でも、対象になる可能性があります。公式発表を整理すると、予約サイトの情報はサイトコントローラーという仕組みを通じて宿泊管理システムに連携されるため、自社サイトからの予約者だけが対象というわけではありません。

ただし、「楽天トラベルやBooking.comを使った人が全員漏れた」という意味ではありません。あくまで、ホテル側の対象システムに自分の情報が登録・連携されていた場合に、対象になり得るという条件つきです。予約サイトの会社そのものが不正アクセスを受けた、という話でもありません。

1分チェック｜あなたは対象の可能性がある？

次の項目に、1つでも当てはまるか見てみてください。

• □ 対象期間にホテルリゾートイン石垣島へ宿泊した
• □ 対象期間の宿泊予約をしている
• □ 家族や友人の予約で同行者として宿泊した
• □ 事前チェックインで氏名・住所などを入力した
• □ パスポート画像をホテル側システムへ登録した
• □ ホテルから今回の件に関するメールが届いている

1つでも当てはまれば、公式の案内と問い合わせ窓口で確認してください。 ホテルは、対象になり得る人に通知メールを送っているとされています。迷惑メールフォルダに入っている可能性もあるので、そこも見てみてくださいね。

対象期間を日数に直してみた

「2023年2月から2027年6月」と言われても、どれくらいの長さか実感しにくいので、私なりにPythonで日数を数えてみました。

• 2023年2月12日から2027年6月24日まで：1,593日（約4.4年）
• そのうち、不正アクセスがあった2026年9月19日までの過去分：1,315日
• 2026年10月10日の時点から2027年6月24日までの「これから」分：257日

計算すると、対象期間の約4年4か月のうち、約257日分は「まだ来ていない宿泊」です。つまり、過去に泊まった人だけでなく、今から石垣島旅行を計画している人も十分に対象になり得る、ということが数字からも見えてきます。

何が漏れた？個人情報一覧

ここは「全部が漏れたのか」という不安にいちばん答える章です。結論は、対象者によって漏れた項目は違う、です。

漏洩した情報の一覧表

公式発表で取得されたとされている情報は、次のとおりです。

分類	主な情報	注意度
基本情報	氏名、フリガナ、メールアドレス、電話番号、郵便番号、住所、生年月日、性別など	中
宿泊・属性情報	職業、国籍、入国地、ニックネーム等	中
チェックイン情報	事前チェックイン用の4桁番号など	中
画像情報（一部の方のみ）	パスポート画像：234名分／署名画像：6名分／顔写真：5名分	高
対象外	クレジットカード情報／予約サイト・SNS・メール等のパスワード	―

対象者によって漏洩項目は異なる

この表は、取得された可能性のある情報の「全体像」です。17,170人全員について、全項目が漏れたわけではありません。 人によって、含まれていた項目は違います。

とくに画像情報は、ごく一部の方に限られています。パスポート画像が17,170人分、という意味ではありません。自分にどの項目が関係するのかは、ホテルからの個別通知や窓口で確認する必要があります。

対象外とされている情報

公式発表では、クレジットカード情報と、予約サイト・SNS・メールなどのパスワードは対象外とされています。決済は外部の決済代行システムや予約サイト側で行われていて、今回の宿泊管理システムには保存されていなかったためです。

そのため、この記事では「カードを止めましょう」「パスワードを変えましょう」と一律には呼びかけません。必要以上に慌てなくて大丈夫です。ただ、私なら、事前チェックイン用の4桁番号をほかの暗証番号と同じにしていないかだけは、念のため思い出してみると思います。

パスポート画像が漏洩した234人は何をすればいい？

パスポート画像は検索される回数がとても多い話題なので、少し詳しく書きます。ここでの対象は、画像が取得された234名の方です。でも、「もしかして自分も？」と思う人のために、考え方を一緒に整理しますね。

なぜホテルにパスポート画像があったの？

宿泊施設には、旅館業法にもとづいて宿泊者名簿を作る義務があります。日本国内に住所を持たない外国人の宿泊者については、国籍と旅券番号を記載し、パスポートの写しを保存するよう求められています。名簿などの保存期間は3年間とされています。

今回の対象期間の起点が2023年2月12日になっていることも、こうした保存の仕組みと関係していると考えられます。ただし、234名の内訳（国籍や居住地）が公式に示されたかというと、確認できた範囲では示されていません。「海外から来た人だけ」と決めつけず、通知が来たかどうかで判断してください。

パスポート画像が漏れると何が問題？

パスポート画像には、氏名、生年月日、顔写真、旅券番号がそろって載っています。こうした情報が悪用された場合に、考えられるリスクはおもに次のとおりです。

• 本人確認情報の悪用（オンラインでの本人確認を使うサービスでのなりすまし）
• 名義を使った不審な契約や口座開設
• 本人確認を装った詐欺
• 本人の情報を知っているふりをした、精巧なフィッシング

ただし、これは「可能性のあるリスク」の話です。必ず不正利用される、という意味ではありません。 現時点では、今回取得された情報の悪用による直接的な被害は確認されていないと発表されています。怖がりすぎず、でも備えは早めに、が基本です。

パスポートはすぐ再発行した方がいい？

結論から言うと、情報漏洩だけを理由に、通常の切替申請が自動的に認められるとは限りません。

外務省の案内では、切替申請が認められる主なケースは、残存有効期間が1年未満になった場合、査証欄の余白が足りない場合、氏名や本籍地が変わった場合、物理的な損傷があった場合などです。「個人情報が漏洩したこと」は、はっきりとは書かれていません。

だから、再発行や切替を考える場合は、自己判断で動かずに、まず住民票のある都道府県の旅券窓口に相談するのがおすすめです。事情を説明した上で、個別に判断してもらう流れになります。

もし再発行が認められた場合は、旅券番号が新しくなります。すでに旧番号で航空券や海外ホテルを予約している人は、搭乗やチェックインのときに不整合が起きないように、航空会社や旅行会社へ番号変更の連絡が必要です。この点を知らずに手続きして困る人もいそうなので、頭の片隅に置いておいてください。

顔写真や署名画像が漏れた場合は？

署名画像（6名分）と顔写真（5名分）が対象の方は、不審な本人確認の要求、金融契約、詐欺メールに警戒してください。顔写真については、近年、ディープフェイクなどに悪用される可能性が指摘されています。今回の件で具体的な被害が出たという情報はありませんが、「そういう悪用が話題になっている」という程度に受け止めておくといいと思います。

本人確認書類の画像が流出したときの動き方は、タイムズカーの件でも多くの人が調べていました。本人確認書類の画像に関する対策をもう少し詳しく知りたい人は、次の記事も参考にしてみてください。

→ タイムズカー情報漏洩で何をすればいい？

パスポート画像の対象は何割？数字に直してみた

私は、「234名」という数字が多いのか少ないのか、Pythonで割合に直して確かめてみました。

• 234 ÷ 17,170 ＝ 約1.36%（約73人に1人）
• 画像情報（パスポート234名＋署名6名＋顔写真5名）を単純に足した245名は、245 ÷ 17,170 ＝ 約1.43%（約70人に1人）
• 画像情報が含まれない側は、17,170 − 245 ＝ 16,925人（約98.6%）

※245名は公式の人数を足しただけの数字で、同じ人が重複していれば実数はもう少し少なくなります。

こうして見ると、パスポート画像の対象は全体のごく一部です。ほとんどの人は、画像ではなく氏名や連絡先といった基本情報が中心になる、と考えられます。それでも、該当する方にとっては影響が大きいので、個別連絡が行われているわけです。

今すぐやることは？5つの対策

実際にやることだけを並べます。上から順に、できる範囲でやってみてください。

5つの対策（番号つき）

1. ホテルからの通知メールを確認する：迷惑メールフォルダも見てください。
2. 自分が対象か分からなければ、公式窓口へ確認する：電話番号とメールアドレスは、次の「問い合わせ先」の章にあります。
3. ホテル・Booking.com・楽天トラベルなどを装ったメールやSMSのリンクを開かない：予約の確認は、自分で開いた公式サイトやアプリから。
4. 不審な契約や請求がないか確認する：身に覚えのない請求があれば、カード会社や相談窓口へ。
5. パスポート画像など本人確認書類が対象だった場合は、旅券窓口や、必要に応じて信用情報機関などへの相談を検討する

信用情報機関の「本人申告」とは

5番目に出てきた「本人申告」は、CIC（シー・アイ・シー）やJICC（日本信用情報機構）などに、「自分の本人確認書類が漏れたので、名義を悪用されるかもしれない」という内容を登録する制度です。登録すると、ローンやカードの審査の際にそのコメントが参照されて、通常より慎重な本人確認が行われるとされています。

手数料は機関ごとに異なりますが、目安は1,000円前後、有効期間は登録から5年間です。画像データだけが流出して原本が手元にある場合も、名義の悪用防止を目的に登録できます。ただし、パスポート画像が対象でない人にまで必須の手続きではありません。自分の状況に合わせて、必要かどうかを判断してください。

JICCの本人申告のページはこちらです。

JICC（日本信用情報機構）の本人申告について

CICのサイトはこちらです。

CIC（指定信用情報機関）

身に覚えのない請求が届いたときの相談先

もし不審な請求や詐欺と思われる連絡が届いたら、早めに相談するのが安心です。

相談先	内容
警察相談専用電話（#9110）	緊急ではない犯罪被害やサイバー関連の相談。詐欺メールの疑いなど
消費者ホットライン（188）	架空請求や不審な契約トラブルの相談
個人情報保護委員会 相談ダイヤル（03-6457-9849）	事業者の個人情報の取り扱いに関する相談（損害賠償などの民事には関与しない）

サイバー事案の相談窓口は、警察庁のサイトにも案内があります。

警察庁・サイバー事案の相談窓口

これから宿泊予定だけど予約はどうなる？

対象期間は2027年6月24日までなので、これから泊まる予定の人も多いと思います。予約はどうなるのか、キャンセルすべきなのかを整理します。

予約はキャンセルされる？

私が確認できた範囲では、公式に「予約が無効になる」「全予約をキャンセルする」といった発表は出ていません。不正アクセスはすでに遮断されているため、ホテル側から個別に連絡がない限り、予約そのものが取り消される、泊まれなくなるといった直接の影響は出ていないとされています。

宿泊をキャンセルした方がいい？

この記事では、キャンセルを一律にはおすすめしません。宿泊を続けるか、日程を変えるかは、それぞれの事情で決めることだからです。宿泊の可否や予約の状況について不安がある場合は、自分で予約を確認したうえで、ホテルへ直接問い合わせてみてください。

最も注意したいのはフィッシング詐欺

今回いちばん気をつけたいのが、取得された情報を悪用したフィッシング詐欺です。氏名、メールアドレス、宿泊予定日といった正確な情報を持っている相手からだと、本物のように見えてしまうのが怖いところです。

たとえば、次のような連絡に注意してください。

• 「予約が未決済です」
• 「予約を確定してください」
• 「カード情報を再入力してください」
• 「返金手続きをしてください」

メールやSMSの中のリンクは、そのまま開かないことが大切です。確認するときは、公式サイト、公式アプリ、自分で開いた予約サイトから入りましょう。ホテルも、当社またはホテルを装った不審なメール・SMS・電話に十分注意し、身に覚えのないリンクや添付ファイルは開かないよう呼びかけています。

最近の情報漏洩では、漏れた連絡先に対して、後から不審なメッセージが届くケースが話題になってきました。ほかの事例も参考に、「届いたメッセージは、まず疑ってみる」くらいの距離感がちょうどよさそうです。

→ 東京メトロ情報漏洩、自分は対象？

ホテルリゾートイン石垣島の問い合わせ先

自分が対象か確認したいときの、公式窓口です。この記事を見て電話してください、というよりは、「確認したい人が使える窓口がある」という位置づけで見てください。電話番号とメールアドレスは、公式発表の内容と照合済みです。

リゾートイン石垣島お客様窓口

項目	内容
窓口名	リゾートイン石垣島お客様窓口
電話番号	050-1809-4180
受付時間	平日 9:00～17:00
メールアドレス	security@guest-desk.jp

問い合わせる前に準備しておくと早いもの

確認がスムーズになるように、次の情報を手元に用意しておくといいと思います。

• 宿泊した日、または宿泊予定日
• 予約したときの名前と、予約方法（公式サイトか予約サイトか）
• 代表者か同行者かの別
• ホテルから届いているメールの有無

パスポート画像などが対象の方には、ホテルの専用窓口から個別に直接連絡が行われているとされています。

情報漏洩はなぜ起きた？

ここで初めて、技術的な背景を簡単に説明します。細かい仕組みは長くしませんね。

外部の宿泊管理システムへの不正アクセス

発端は、株式会社デバイスエージェンシーが提供する宿泊管理システムへの第三者による不正アクセスです。この種のシステムは、予約サイトの情報を集め、宿泊客にスマホで事前チェックインの案内を送り、フロントでの本人確認までを一つの仕組みでまとめる、という形が一般的です。便利な反面、予約情報や本人確認の情報が1か所に集まりやすい面があります。

まだ分かっていないこと

「どの機能の弱点が突かれたのか」「アクセス権限の管理に問題があったのか」といった具体的な原因は、公式には確定していません。詳しい原因の究明と再発防止策は、今後の調査結果と確報の提出を待つ必要があります。推測だけで、特定の仕組みを責めるのは避けたいところです。

情報漏洩の時系列

ここまでの流れを、日付ごとにまとめます。

公表までの流れ

日付	できごと
2026年9月18日夜～19日夕方	宿泊管理システムに第三者による不正アクセス
9月19日以降	不正アクセスを遮断。システム提供元から各宿泊施設へ報告
9月28日	個人情報保護委員会へ速報を提出
10月5日	ホテルが公式サイトで第一報を公表
10月6日	運営会社が詳細・対象人数などを公表
10月7日	個人情報保護委員会が、大規模な漏えい事案を踏まえた事業者向けの注意喚起を公表

日数に直すと、不正アクセスの遮断から個人情報保護委員会への速報まで約9日、ホテルの第一報までが約16日、運営会社の詳細発表までが約17日です。複数の施設で情報が取得されたため、影響範囲の特定に時間がかかった可能性があります。

10月7日の注意喚起は、このホテル専用ではない

10月7日に個人情報保護委員会が出した注意喚起は、複数の大規模な漏えい事案を踏まえた、事業者全般向けの一般的なものです。「このホテルだけを対象にした発表」ではありません。保有する個人情報の量やリスクに応じた安全管理の徹底、多要素認証の導入などが求められています。

個人情報保護委員会・報道発表（令和8年10月7日）

補償や返金はある？

現時点の発表（2026年10月10日時点）

2026年10月10日時点で、私が確認できた範囲では、対象者全員への見舞金や宿泊代の返金といった具体的な金銭補償の発表は出ていません。

そのため、「補償される」「補償されない」のどちらも、この記事では断定しません。なりすましなどで実際に損害が出た場合の対応も、現時点では分かっていません。

今後の見通しと、ほかの事例

最近は、ほかにも個人情報の漏洩が続いていて、事業者ごとに対応は分かれています。同じように「自分は対象？」と調べた人が多かった例として、次の記事も参考にしてください。

→ OZmall不正アクセスで44万人？自分が対象か確認する方法

新しい発表があり次第、この記事も更新します。

まとめ｜対象の可能性がある人は、まず自分の状況を確認

今回の件は、ニュースを読んで終わりにせず、「自分はどうか」を確認するのがいちばん大事だと感じました。大事なポイントを、もう一度まとめます。

• 対象は最大17,170人。2023年2月12日から2027年6月24日までの宿泊者・予約者
• 予約代表者だけでなく、同行者や、これから泊まる予約者も対象になり得る
• パスポート画像は234名分、署名画像は6名分、顔写真は5名分で、ごく一部の方のみ
• クレジットカード情報とパスワードは対象外とされている
• 対象か不明なら、公式窓口（平日9:00～17:00）で確認する
• 予約情報を悪用したフィッシングには警戒する

怖がりすぎず、でも「届いたメールのリンクはいきなり開かない」を合言葉に、一つずつ確認していきましょう。私も、旅行の予約まわりの連絡は、公式アプリから見る習慣をあらためて徹底しようと思います。

新しい公式発表が確認でき次第、この記事も更新します。

よくある質問

Q. 自分が対象かどうやって確認できますか？

ホテルから届く通知メールの確認と、公式のお客様窓口への問い合わせで確認できます。窓口は050-1809-4180（平日9:00～17:00）で、メールはsecurity@guest-desk.jpです。迷惑メールフォルダも見てください。

Q. 同行者として泊まっただけでも対象ですか？

はい、対象になり得ます。事前チェックインなどで代表者が同行者の情報を入力し、システムに登録されていた場合が該当します。

Q. 楽天トラベルやBooking.com経由でも対象ですか？

対象になる可能性があります。予約サイトの情報がホテル側の宿泊管理システムに連携・登録されていた場合です。利用者全員が漏れたという意味ではありません。

Q. クレジットカード情報は漏れましたか？

いいえ、クレジットカード情報は漏洩の対象外とされています。決済は外部の決済代行システムなどで行われていて、今回の宿泊管理システムには保存されていなかったとされています。

Q. パスワードは漏れましたか？

いいえ、予約サイト・SNS・メールなどのパスワードは対象外とされています。今回の件を理由にパスワードを一斉に変える必要があるとは、現時点で示されていません。

Q. パスポート画像が漏れたのは何人ですか？

234名分です。署名画像は6名分、顔写真は5名分で、いずれも対象者全体（最大17,170人）の一部です。

Q. パスポートを再発行する必要がありますか？

必ず再発行しなければならないわけではありません。情報漏洩だけを理由とした通常の切替申請が認められるとは限らないため、まず都道府県の旅券窓口に相談してください。

Q. 今後宿泊する予定ですが大丈夫ですか？

公式に予約が無効になるという発表は確認できていません。宿泊の可否や予約状況に不安がある場合は、ホテルへ直接確認してください。予約情報を悪用した詐欺には注意が必要です。

Q. 不審なメールが届いたらどうすればいいですか？

メールやSMSのリンクを開かず、公式サイトや公式アプリ、自分で開いた予約サイトから予約状況を確認してください。心配なときは警察相談専用電話（#9110）に相談できます。

Q. 問い合わせ先はどこですか？

リゾートイン石垣島お客様窓口です。電話は050-1809-4180、受付は平日9:00～17:00、メールはsecurity@guest-desk.jpです。

おすすめアイテム

ビサイユのトートバッグ

ニュースを追いかけてばかりの日が続くと、肩に力が入りがちだよね。そんなときは、持ち物を少し見直すのも気分転換になるかも。ビサイユのトートバッグは超軽量で撥水加工つき、ポケットも多めだから、仕事の日も休日も一つで回せるよ。

軽量ショルダーBCS-140

もう一つは、身ひとつで出かけたい日の相棒。軽量ショルダーBCS-140は、撥水加工で多収納、斜めがけで両手があくから、街歩きや旅先でもラクに動けるよ。