Category: Hotel Management
Author: Shibata
Date: 2026.11.01
宿泊施設のホームページは、企業サイトの中でも特に攻撃を受けやすい部類に入ります。宿泊者の氏名、連絡先、宿泊日程、場合によってはクレジットカード情報まで扱い、予約システムやOTA（Booking.comや楽天トラベルなどのオンライン旅行会社）と常時つながっているためです。
一方で、多くの施設ではホームページを制作会社に作ってもらったあと、更新や点検がほとんど行われていません。開業時のまま数年が経過し、気づかないうちに脆弱な状態になっているケースは珍しくありません。
本記事では、宿泊施設のホームページで最低限やっておくべきセキュリティ対策を、優先順位をつけて整理します。専門知識がない方でも、自施設の状態を確認できる内容にしています。
予約フォームには、宿泊者の氏名、電話番号、メールアドレス、宿泊日が入力されます。これは単体でも売買の対象になりますし、宿泊日がわかれば、その期間に自宅が留守になることまで推測できてしまいます。宿泊施設が扱う情報は、一般的な問い合わせフォームよりも機微性が高いと考えるべきです。
近年、宿泊業界で最も被害が多いのが、OTAの管理画面（エクストラネット）のアカウントを乗っ取られ、施設になりすまして宿泊者にメッセージを送る手口です。予約確認を装って偽の決済ページへ誘導し、カード情報を抜き取ります。宿泊者は施設からの連絡だと信じて疑わないため、成功率が高いのが特徴です。この被害は海外だけでなく、国内の施設でも継続的に報告されています。
小規模な施設ほど、ホームページの管理は代表者やフロント担当者の兼務です。WordPressの更新通知を放置していたり、制作会社との保守契約が切れていたりするまま、数年が経過していることもあります。攻撃者はこうしたサイトを自動的に探し出して狙います。規模が小さいから狙われない、ということはありません。
ここからは具体的な対策を、優先度の高い順に見ていきます。最初の5項目は、すべての宿泊施設で今すぐ確認すべき内容です。
ブラウザのアドレス欄に鍵マークが表示され、URLがhttpsで始まっていることを確認してください。トップページだけでなく、予約フォームやお問い合わせページも対象です。httpのままのページが残っていると、入力内容が通信途中で盗み見られる可能性があります。
あわせて、SSL証明書の有効期限も確認が必要です。期限切れになると、サイトを開いた瞬間に警告画面が表示され、予約の機会損失に直結します。現在は自動更新の仕組みが一般的なので、手動更新のまま運用している場合は切り替えを検討してください。
国内の宿泊施設のホームページの多くはWordPressで作られています。WordPress自体は安全なシステムですが、古いバージョンのプラグインに脆弱性が見つかり、そこから侵入されるケースが大半を占めます。
確認すべき点は次の3つです。
| 確認項目 | 目安 |
|---|---|
| WordPress本体のバージョン | 最新版から大きく遅れていないか |
| プラグインの更新 | 更新待ちが何件も溜まっていないか |
| 使っていないプラグイン・テーマ | 停止しているだけでなく削除されているか |
停止中のプラグインも、ファイルが残っていれば攻撃の入口になります。使っていないものは削除が原則です。更新作業を自施設で行うのが不安な場合は、制作会社や保守会社と月1回程度の更新を含む契約を結んでおくのが現実的です。当社の宿泊施設向けホームページ制作でも、公開後の更新・バックアップを含む保守をご用意しています。
WordPressの管理画面は、初期状態では誰でもログイン画面にたどり着けます。ここが総当たり攻撃の対象になります。
特に二段階認証は、パスワードが漏れた場合でも不正ログインを防げるため、費用をかけずにできる対策の中で最も効果が高いものです。
フォームから送られた個人情報が、どこに保存され、誰が見られる状態になっているかを把握してください。意外と多いのが、次のような状態です。
必要最小限の情報だけを取得し、保管期間を決めて定期的に削除する運用にしておくと、万一侵入された際の被害も小さく抑えられます。
改ざんやデータ消失が起きたとき、最後に頼れるのはバックアップです。サーバー会社の自動バックアップ機能を有効にしているか、保存先がサーバー本体と別の場所になっているか、そして実際に復元する手順を誰かが把握しているかを確認してください。バックアップがあっても、復元方法がわからなければ意味がありません。
ホームページそのものではありませんが、宿泊施設のセキュリティで最も実害が出ているのがこの部分です。Booking.comやExpediaなどのエクストラネット、サイトコントローラー、予約エンジンの管理画面は、それぞれが宿泊者情報の宝庫です。
OTAからの連絡を装ったフィッシングメールは非常に巧妙で、ログインページの見た目も本物と区別がつきません。リンクを踏まない習慣をスタッフ全員で共有することが、最も確実な防御になります。
自社サイトで事前決済を受け付けている場合、カード番号を自社のサーバーに保存する仕組みにはしないでください。決済代行会社のページに遷移する方式、あるいはカード情報が自社サーバーを経由しないトークン方式を使うのが原則です。これは割賦販売法の改正により、カード情報を扱う事業者に求められている非保持化の考え方でもあります。
予約エンジンを導入している施設であれば、たいていは予約エンジン側で対応済みです。自社でフォームを作ってカード番号を受け取っている場合は、早急に見直してください。
宿泊施設のホームページは、予約エンジン、サイトコントローラー、Googleマップ、SNSの埋め込み、チャットツール、アクセス解析など、多くの外部サービスを読み込んでいます。連携している外部サービスの一覧を持ち、使わなくなったものは埋め込みコードごと削除してください。放置された外部スクリプトが、後から改ざんの経路になることがあります。
WordPressの管理者権限を持つユーザーが何人いるか、把握できているでしょうか。制作会社の担当者、以前のスタッフ、試しに作ったアカウントなどが残っていることはよくあります。
ホームページのサーバー契約、ドメイン契約、WordPressの管理者アカウント、SSL証明書。これらが誰の名義で、どこに契約していて、更新日がいつなのか、一枚にまとめておいてください。制作会社に任せきりで施設側が何も把握していない状態は、制作会社との関係が切れた瞬間にホームページが止まるリスクを抱えています。
個人情報保護法では、個人情報を取得する際に利用目的を明示することが求められます。予約フォームを設置しているなら、プライバシーポリシーは必須です。内容が開業時のまま更新されていない場合、取得している情報や利用している外部サービスと実態がずれていることがあります。あわせて、漏えいが起きた際の報告義務についても把握しておいてください。
セキュリティ対策は一度やれば終わりではありません。少なくとも年に1回、次の点を見直す機会を設けてください。
| 点検項目 | 確認内容 |
|---|---|
| 更新状況 | WordPress・プラグインが最新か |
| アカウント | 不要なユーザーが残っていないか |
| フォーム | 取得項目と保存先が適切か |
| 外部連携 | 使っていないサービスが残っていないか |
| バックアップ | 直近のバックアップがあり、復元できるか |
| 契約 | サーバー・ドメイン・SSLの更新日と名義 |
これからホームページを新しく作る、あるいはリニューアルを検討している施設であれば、見積もりの段階で次の点を確認しておくと安心です。
セキュリティ対策は見た目に現れないため、見積もりでは省かれがちな項目です。しかし、事故が起きたときの損失は、対策費用をはるかに上回ります。宿泊者の信頼を守ることは、施設のブランドを守ることそのものです。
宿泊施設のホームページのセキュリティは、高度な技術よりも、基本的な対策を漏れなく継続できるかどうかで決まります。まずはSSL、更新、ログイン保護、フォーム、バックアップの5点を確認し、次にOTAアカウントと決済方式を見直してください。そして、誰が何を管理しているのかを明文化し、年に1回の点検を習慣にすることが、長く安心して運営を続けるための土台になります。
当社では、宿泊施設に特化したホームページ制作とあわせて、既存サイトの無料サイト診断や保守のご相談も承っています。自施設の状態がわからない、何から手をつければよいか判断がつかないという場合は、お気軽にお問い合わせください。
株式会社Arch
代表取締役 柴田敬介
1985年兵庫県生まれ。京都工芸繊維大学・造形工学科卒。建築専攻。
新卒でSMBC日興証券株式会社に入社。コンサルタントとして勤務。社内表彰を多数獲得し最年少管理職（当時）に。5年の勤務の後に起業。
2013年、株式会社XS創業。代表取締役就任。Web開発、地方創生ビジネスなどを展開。地方創生では、全国の道の駅グルメNo.1を決定するグルメグランプリを10万人規模で開催。当事業を讀賣テレビ放送株式会社に事業譲渡。
2017年、民泊事業を行う株式会社グランドゥースをAPAMAN株式会社とジョイントベンチャーにて創業。代表取締役就任。その後丸紅株式会社から出資を受け同社の持分法適用会社となる。創業3年で売上13億円、1000以上の施設を運営し、国内最大規模の民泊運営会社となる。AirbnbのBest Contributor Awardを獲得。東証への株式上場を控えていたものの、コロナウィルス蔓延に伴い事業縮小を余儀なくされる。
2023年、これまで培ってきたビジネス開発、ブランディング、Webデザイン、広告などの知見を元に、宿泊施設のブランディング、運営事業を行う当社を立ち上げ、代表取締役就任。
宿泊施設のブランディング、OTA関連施策、マーケティング、各種制作から施設運営まで幅広く対応可能です。
お気軽にお問い合わせくださいませ。
