ホテル・旅館で起きるサイバー事故を、予約サイトの管理画面乗っ取りによる宿泊客へのなりすまし、宿泊者名簿とパスポート写しの漏えい、予約システム停止の3つに分け、サイバー保険で対象になりやすい損害を宿泊客への賠償・自社の対応費用・自社の逸失利益に整理した図

2026年9月21日の深夜頃から、宿泊施設向け予約管理システム「TEMAIRAZU」を利用する複数の宿泊施設で、予約者にWhatsAppやメール、SMSで不審なメッセージが届き始めました。実際の予約を把握しているとみられる内容で、クレジットカード情報の再入力を求めて不審なサイトへ誘導するものでした。

提供元の手間いらず株式会社は同月28日に自社システムへの不正アクセスを公表し、10月9日には対象者数を最大で約445万人と開示しています。施設から見れば、自社のサーバーは侵入されていないのに、宿泊客が自社の名前で騙され、問い合わせと通知の対応が一斉に発生した事故です。

宿泊客が詐欺サイトで支払った金額は誰が負担するのか、通知や窓口の費用はどこから出るのか、PMSが止まった間の売上はどうなるのか。この記事では、2026年に公表された事故を手がかりに、ホテル・旅館に固有の6つのサイバーリスクを整理し、サイバー保険で対象になりやすい損害と対象外になりやすい損害を一般論として解説します。

結論を先に言うと、保険が見るのは「預かった宿泊客の情報が漏れた、またはそのおそれがあるときの対応費用と賠償責任」と「自社が使うシステムが止まったときの逸失利益（任意で追加する補償）」です。宿泊客が詐欺で失った金額を施設が好意で補填する分や、他社が運営する予約サイトそのものの障害は、保険の外に置かれやすい損害です。

なお、本記事は特定の保険会社、保険商品、保険契約や特約の内容を説明するものではなく、一般的な考え方の整理です。個別の保険金請求の可否は、ご契約の約款と事実関係に基づいて保険会社が判断します。

Summaryこの記事のポイント

  • 表1の3件は、OTAの管理画面やサイトコントローラーなど予約情報が集まる外部システムのアカウントが起点になっている。被害を受けるのは宿泊客で、対応するのは施設である。
  • 宿泊者名簿は旅館業法施行規則で3年保存が求められ、外国人客は国籍と旅券番号も記載する。名簿も旅券の写しも他人の情報で、紙の紛失や誤送信でも多くのサイバー保険で対象事由になる。
  • 宿泊客が詐欺サイトで支払った金額を施設が補填する分、キャンセル料の返金、予約サイト側の障害は対象外になりやすい。施設に法律上の賠償責任があるかどうかで扱いが分かれる。
  • PMSや予約エンジンが止まった間の逸失利益は、任意で追加する補償で宿泊業も対象にできる商品がある。他社運営のPMSやOTAの障害まで含むかは契約時の確認点になる。

サイバーセキュリティ保険の専用ページで資料請求・お見積もりを受け付けています

資料請求・お見積もりは無料、入力は約1分です

専用ページで資料請求・お見積もり

ホテル・旅館で実際に起きた事故

2026年には、予約情報を扱う仕組みの一か所が破られて多数の施設と宿泊客に同時に影響が出る形の事故が相次いで公表されました。当事者が自社で公表した3件を公表文の範囲で整理します。原因の巧拙や会社の対応への評価は行いません。

表1：宿泊施設・予約システムの事故の公表事例（公表文ベース、2026年10月28日時点）
項目サイトコントローラーの事例（2026年9月〜10月）OTA管理アカウントの事例（2026年3月）宿泊管理システムの事例（2026年9月〜10月）
公表した会社手間いらず株式会社（予約管理システム「TEMAIRAZU」の提供元）プリンセスホテル京都株式会社ホテリエ（8施設を運営）
起点同社システムへの第三者による不正アクセス。手法は公表を控えると説明2026年3月2日、第三者がホテルのExpedia管理者用アカウントを不正に利用2022年に旧運営会社から運営を引き継いだ際、引継ぎ資料に含まれず存在を認知していなかった宿泊管理システムのアカウント経由の、海外からとみられる不正アクセス。原因は不明
宿泊客に起きたこと9月21日深夜頃から、予約者にWhatsApp等のメッセージアプリ、メール、SMSで、予約の確認、クレジットカード情報の再入力、緊急の支払いを求め不審なサイトへ誘導するメッセージが届いた従業員になりすましたWhatsAppのメッセージで、クレジットカード情報の入力を求める偽の連絡が送られた二次被害の報告は確認されていないと説明
閲覧・取得された可能性のある情報宿泊者の氏名、電話番号、メールアドレス、宿泊施設名、チェックイン日、チェックアウト日、宿泊料金。最大で約445万人。クレジットカード情報は保有していない2026年3月5日から2027年2月27日までの滞在をExpedia経由で予約した一部の宿泊客の氏名、電話番号、宿泊日、宿泊金額など。クレジットカード情報は含まれない2026年4月8日から9月14日にWebサイトから予約した7,919人の氏名、電話番号、メールアドレス、国籍、宿泊日、施設名、宿泊料金等。クレジットカード情報、パスポート情報は含まれない
対応9月24日に一部機能を約11時間停止して対策後に再開（予約・在庫・料金の連携エンジン全体は停止せず）。個人情報保護委員会へ報告、警察へ相談。外部の専門機関に調査を委託。利用施設を通じた予約者への注意喚起とパスワード変更の依頼。調査費用、施設と予約者への対応費用の発生を見込む不正ログインを検知・遮断し、パスワード変更などを行ってアカウントを復旧。Expedia社が3月上旬に注意喚起メールを配信。ホテルは3月18日に宛先が確認できた対象者へお詫びと注意喚起のメールを送付アカウントの停止と不正アクセス元の遮断。個人情報保護委員会へ報告。対象者へメールで説明とお詫び。アカウント管理ルールの見直し

京王プラザホテルは9月26日未明にランサムウェア攻撃を確認したと公表し、外部ネットワークを遮断したうえで、営業に支障はないが問い合わせへの回答が遅れる場合があると案内しています。

共通点が3つあります。1つ目は、起点が「人が使うアカウント」か「施設の外にあるシステム」で、館内のサーバーを守っても届かない場所だったことです。2つ目は、偽のメッセージに本物の予約番号や宿泊日程が入っていたことです。

日本ホテル協会が2026年6月12日に出した注意喚起でも、メッセージは実際の予約番号や宿泊日程を示し、クレジットカード情報が確認できないため手続きをしなければ予約がキャンセルされるとしてリンク先へ誘導するものだと説明しています。宿泊客が見分けるのは難しく、問い合わせと苦情が先に来ます。

3つ目は、施設側の対応が「通知と問い合わせ対応」に集中することです。漏れたのが氏名と連絡先と宿泊日でも、対象者全員への注意喚起と、不安になった宿泊客からの電話への対応は発生します。

ホテル・旅館に固有の6つのサイバーリスク

宿泊業には、予約情報が自社の外に分散していること、法令で保存を求められる本人確認情報を持っていること、営業を24時間止められないことから来る固有の損害があります。6つを、どこで起きるか、誰が損をするかで整理します。

  1. OTA管理画面・サイトコントローラーのアカウント乗っ取りによる宿泊客へのなりすまし。起きる場所はOTAのエクストラネット、サイトコントローラー、予約エンジンの管理画面。損害を受けるのは宿泊客（カード情報の詐取）と自社（問い合わせ対応、通知）。
  2. 宿泊者名簿・パスポート写し・顧客カルテの漏えい。PMS、フロントの紙の名簿とコピー、共有フォルダ、メール添付、退職者の持ち出し。損害を受けるのは宿泊客本人と、団体予約を取り次いだ旅行会社・法人契約先。
  3. PMS・サイトコントローラー・予約エンジンの停止。自社サーバー、クラウド型PMS、サイトコントローラー会社、回線。損害を受けるのは自社（予約の取りこぼし、手作業の人件費）と宿泊客（チェックインの遅れ）。
  4. 決済端末・事前決済の情報の漏えい。フロントの決済端末、予約エンジンの事前決済、電話で聞き取ったカード番号のメモ。損害を受けるのは宿泊客（カードの不正利用）と自社（調査）。
  5. 外国人宿泊客への対応と国外からの請求。多言語での通知、WhatsAppやWeChatで届く偽メッセージ、国外からの請求。損害を受けるのは宿泊客と自社（翻訳・通知の費用、法律相談）。
  6. 取引先になりすました請求書・口座変更による誤送金。経理担当者のメール、リネン・食材・OTA手数料の支払い。損害を受けるのは自社（預金そのもの）。

見てほしいのは「損害を受けるのは誰か」です。宿泊客なら、自社に生じるのは賠償責任と通知や窓口の対応費用です。自社なら、自社の費用や逸失利益です。保険ではこの2つを別の補償として扱うので、結論も分かれます。1のなりすましが厄介なのは、宿泊客に金銭被害が出ているのに施設のシステムは侵入されていないことがある点で、法律上の賠償責任か道義的な補填かで保険の入口が変わります。

損害は3つに分かれる

「保険で何が戻るのか」を考えるには、「被害」と一語で呼んでいるものを3つに分ける必要があります。

1. 宿泊客・取引先に対する賠償

宿泊客の氏名、連絡先、宿泊日、パスポートの写しは、施設が預かった他人の情報です。これが漏れ、宿泊客や旅行会社から「管理に過失があった」として損害賠償を求められ、施設が法律上の責任を負う場合、その賠償金はサイバー保険の賠償責任の補償で対象になり得ます。

不正アクセスに限らず、紙の名簿の紛失、宛先違いのメール、従業員の持ち出しも、原因を問わず「他人の情報の漏えいまたはそのおそれ」として対象事由になるのが一般的です。ただし、故意の持ち出しは商品によって扱いが分かれます。

ただし、対象になるのは法律上の損害賠償責任に基づく金額だけです。OTAの規約や旅行会社との契約で上乗せした責任、違約金、宿泊料金の返金や値引きは対象外とされるのが一般的です。なりすましメッセージで宿泊客が詐欺サイトに支払った金額を施設が賠償する場合の扱いは、商品や契約条件によって分かれます。

施設が管理するアカウントに過失があったのか、施設のシステムが侵害されていない場合に責任が成立するのか、という法律上の整理が先にあり、そのうえで保険の対象かどうかが決まります。契約時に保険会社へ確認する点です。

2. 自社の調査・通知・窓口の費用

どのアカウントから、いつ、どの範囲の予約情報が見られたかの調査。宿泊客への通知。問い合わせ窓口。弁護士への相談。見舞金や見舞品。これらは施設自身の費用で、サイバー保険の費用補償の典型的な対象です。漏えいが確定していない「おそれ」の段階でも対象になる商品が多く、サイトコントローラーの事例でも利用施設は範囲の確定前から注意喚起を始めています。

見舞金には条件が付くのが一般的で、再発防止の費用は商品によって扱いが分かれます。事前承認が必要な費目があるので、支出前に保険会社へ連絡するのが原則です。

通知の相手には外国人宿泊客が多く含まれます。観光庁の統計では、2025年の延べ宿泊者数6億6,111万人泊のうち外国人は1億7,992万人泊で、前年比9.4%増です（出典：観光庁「宿泊旅行統計調査（2025年・年間値（確定値））」2026年7月）。

国内で行う多言語の通知や窓口は通知費用の一部として対象になり得ますが、国外からの請求が賠償責任の補償でどう扱われるかは商品や契約条件によって分かれるため、契約時の確認点です。

3. 自社の逸失利益

PMSが暗号化されてチェックインを紙で回した、サイトコントローラーが止まって在庫と料金がOTAに流れず、手入力で対応した。この間の予約の取りこぼしや手作業の人件費は、施設自身の損失です。サイバー保険では、自社が所有・使用・管理するシステムやクラウドサービスの停止による喪失利益と営業継続費用を、任意で追加する補償で対象にする商品があります。

宿泊業はこの追加ができる業種として扱われるのが一般的ですが、一定時間以上の停止が条件で、期間に上限があり、国内の営業が対象である点は共通しています。

問題は、宿泊業のシステムの多くを「他社が運営している」ことです。OTA、サイトコントローラー、クラウド型PMSは、施設が使ってはいるが所有も管理もしていません。これらの障害で営業が止まった場合に、「自社が使用するクラウドサービスの停止」として逸失利益の補償に乗るのか、予約サイト側の障害として対象外になるのかは、商品や契約条件によって扱いが分かれます。使っているシステムの一覧を示して、契約時に保険会社へ確認する点です。

サイバー保険で対象になりやすいもの、なりにくいもの

6つのリスクについて、一般的なサイバー保険での扱いを整理します。商品によって条件が異なるため、個別の契約では約款と保険会社の確認が必要です。

表2：ホテル・旅館の6つのリスクとサイバー保険の対応（一般論）
リスク対象になり得るもの対象外になりやすいもの
1. OTA管理画面・サイトコントローラー経由のなりすまし自社が管理する予約情報の漏えい、またはそのおそれに伴う調査、通知、問い合わせ窓口、法律相談の費用。宿泊客から法律上の損害賠償請求を受け、施設に責任がある場合の賠償金宿泊客が詐欺サイトで支払った金額を施設が好意で補填する分。予約サイトやサイトコントローラー側の障害・事故そのもの。詐欺被害の賠償は商品により扱いが分かれる
2. 宿泊者名簿・パスポート写し・顧客カルテの漏えい不正アクセス、紙の紛失、誤送信、従業員の持ち出しなど原因を問わない漏えい対応費用と、本人・旅行会社・法人契約先への賠償罰金・課徴金。契約で上乗せした責任、違約金。従業員の故意の持ち出しは商品により扱いが分かれる
3. PMS・サイトコントローラー・予約エンジンの停止自社が所有・使用・管理するシステムやクラウドサービスの停止による喪失利益と営業継続費用（任意で追加する補償。一定時間以上の停止が条件で、期間に上限）回線や電力など自社の管理下にないインフラの障害。キャンセル料の返金や宿泊料金の値引き。他社運営のOTAやPMSの障害を含むかは商品により扱いが分かれる
4. 決済端末・事前決済の情報の漏えい自社が管理する決済端末や予約エンジン経由でカード情報が漏れた場合の、他人の情報の漏えいとしての調査・通知・賠償自社のカードや電子マネーの不正利用による自社の損害。決済代行会社側の事故そのもの
5. 外国人宿泊客への対応と国外からの請求国内で行う多言語の通知や窓口の費用は、通知費用の一部として対象になり得る国外での請求や相手国での訴訟費用は商品により扱いが分かれる
6. 取引先になりすました誤送金任意で追加する補償で、取引先や役職員になりすましたメールによる誤送金やネットバンキングへの不正送金に対応する商品がある。警察と金融機関の両方への届出が条件で、対象は国内口座の預貯金。回収・補てんされた分は差し引くカード・電子マネー・コード決済の不正利用、暗号資産、身代金、従業員や契約関係者の犯罪、社内の送金規程に著しく違反した場合

2の情報漏えいは、宿泊業で最も身近な事故です。旅館業法第6条は、営業者に宿泊者名簿を備え、宿泊者の氏名、住所、連絡先を記載することを義務付け、同法施行規則第4条の2は、名簿を作成の日から3年間保存すること、日本国内に住所を有しない外国人については国籍と旅券番号も記載することを定めています。

宿泊施設は、法令上、外国人客の旅券番号を含む本人確認情報を3年分持ち続ける業種で、この情報が漏れたときの通知と賠償が、基本の補償が想定する典型的な事故です。委託先起因も考え方は同じで、預かった情報をサイトコントローラー会社やPMSベンダに渡し、そこで漏えいが起きた場合、宿泊客から見た責任の相手は施設です。

施設の賠償責任と対応費用は対象になり得ますが、委託先自身の損害は、委託先が被保険者でない以上、施設の保険からは出ないのが一般的です。

1のなりすましが分かれ目です。サイトコントローラーの事例では、施設のシステムは侵入されていません。それでも施設の名前で宿泊客が騙され、問い合わせと通知の対応が生じました。「委託していた予約情報が委託先で閲覧された」という整理ができれば、対応費用は委託先起因の漏えいとして対象になり得ます。

一方、宿泊客が詐欺サイトに入力したカードから引き落とされた金額を、施設が「申し訳ないので」と補填する分は、法律上の賠償責任に基づく支払いではなく、対象外になりやすい損害です。同じ原因で多数の宿泊客から請求を受けた場合は、一連の請求として最初の請求時にまとめて扱われるのが一般的です。

保険より先に効く実務対策

公表事例で各社が再発防止策に挙げた内容と、現場で費用をかけずにできることは重なります。保険の引受時に申告するセキュリティ体制の内容にもなります。

  • OTAのエクストラネットとサイトコントローラーのアカウントを棚卸しする。誰が、どの端末から、どのOTAの管理画面に入れるのかを一覧にします。宿泊管理システムの事例では、運営を引き継いだ際に把握していなかったアカウントが起点でした。運営会社の交代、支配人の異動、予約担当者の退職のたびに、残ったアカウントを確認します。共有IDをやめ、二段階認証を設定できるOTAやサイトコントローラーでは全員に設定します。手間いらず株式会社も利用施設に、パスワードの変更と身に覚えのないログインがないかの確認を依頼しています。
  • 宿泊客に「メッセージアプリでカード情報を求めることはない」と事前に伝える。予約確認メールと自社サイトに、施設からWhatsAppやSMSでクレジットカード情報の入力や支払いを求めることはない、と明記しておきます。フロントには、「こんなメッセージが来た」と連絡があったときの一次回答と、OTAへの報告先をまとめておきます。
  • 宿泊者名簿とパスポートの写しの置き場所と期限を決める。名簿の3年保存の義務は、裏返せば3年経ったものは残さなくてよいということです。旅券の写しは法令が保存を義務付けているものではないので、保存の要否と期間を自社で決めます。紙は施錠できる場所に、データはアクセス権を絞ったフォルダに置き、期限を過ぎたものは廃棄します。漏えい時に対象になる人数は、保存している人数で決まります。
  • PMSとサイトコントローラーが止まったときの手順を紙で持つ。到着予定者の一覧、部屋割り、未精算者の一覧を毎日1回は出力しておくと、システムが止まってもチェックインと精算は回ります。警察庁の集計では、2026年上半期のランサムウェア被害報告は123件で半期として過去最多、1か月未満で復旧した組織は5割弱にとどまり、復旧に総額1,000万円以上を要した組織が6割を占めています（出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」2026年9月）。侵入経路はVPN機器が約5割なので、VPN機器があるなら更新の状況を確認しておきます。

OTA・PMSベンダ・旅行会社との契約で注意したい点

なりすましや漏えいの後、施設と相手方との間で問題になるのは「誰の管理責任だったか」です。契約の書き方と事故後の動き方で、保険で見られる範囲が広くも狭くもなります。

OTAの利用規約には、管理画面のアカウントとパスワードの管理責任を施設側に置く定めがあるのが一般的なので、自社が使うOTAごとに条項を確認します。施設のアカウントが乗っ取られれば、OTAからは管理責任を問われ、宿泊客からはOTAと施設の両方に苦情が来ます。

日本ホテル協会の注意喚起は、ホテル側の管理システムに異常や情報漏えいの形跡は認められず、予約情報がどのように漏えいしたかは明らかになっていないとしたうえで、Booking.com側に原因調査と結果の開示を求めていると説明しています。

アカウントのログイン履歴を保存し、どの経路で情報が出たのかを自社側から示せる状態にしておくことが、責任の所在を整理する前提です。

サイトコントローラーやクラウド型PMSのベンダ契約では、事故時にベンダから施設へいつ何を通知するか、宿泊客への通知を誰が行うか、ベンダの責任の上限を確認します。サイトコントローラーの事例では、ベンダが利用施設を通じて予約者に注意喚起し、利用施設が告知と問い合わせ対応を担いました。

費用の分担は契約次第で、ベンダの責任上限が低ければ残りは施設の負担です。ベンダは施設の保険の被保険者ではないため、保険の対象は施設が宿泊客に負う責任と施設の対応費用に限られるのが一般的です。

旅行会社や法人契約先から受け取る団体名簿の漏えいも「預かった他人の情報」の漏えいです。契約に、施設に過失がなくても賠償する、漏えい1件あたり定額を支払う、といった定めを置くと、法律上の責任を超えて特別に約束した部分として保険の対象から外れやすくなります。手厚い条項ほど、保険でカバーできない自己負担が増える逆転が起きます。

そして、事故が起きたら宿泊客やOTAに責任を認める前に保険会社へ連絡することです。同意なく賠償責任を承認したり補填を約束したりすると、その分が保険金から差し引かれる場合があります。宿泊客には「事実関係を確認している」と伝えるにとどめ、先に保険会社へ事故の通知を入れてから対応方針を決めます。

ホテル・旅館がサイバー保険を検討するときに確認する点

日本損害保険協会の調査では、中小企業のサイバー保険加入率は8.8%にとどまり、サービス業では7.0%です（出典：日本損害保険協会「中小企業におけるリスク意識・対策実態調査2025」2025年12月）。宿泊施設は、法令上の本人確認情報と外部に分散した予約情報の両方を抱えながら、どのシステムが補償の対象かを整理できていないことが多いのが実情です。確認しておきたい点を挙げます。

  • 使っているシステムの一覧と、所有・管理の区分。自社サーバーのPMSか、クラウド型か、サイトコントローラーはどこの会社か。他社運営のシステムの障害が逸失利益の補償に含まれるかは、この一覧を示して確認します。
  • なりすまし被害と委託先の扱い。OTAの管理画面やサイトコントローラー経由で宿泊客が詐欺被害に遭い、施設が賠償請求を受けた場合の扱いは、商品や契約条件によって分かれます。サイトコントローラー会社やPMSベンダ側の事故が委託先起因の漏えいとして対象になるか、委託先自身は対象外になりやすいことも含め、想定する事故の形を具体的に伝えて確認します。
  • 外国人宿泊客と国外からの請求。インバウンド比率が高い施設では、国外からの請求や多言語での通知費用の扱いを確認します。
  • セキュリティ体制の申告。二段階認証の設定状況、アカウントの棚卸し、バックアップ、事故歴は告知の対象です。申告と実態が違えば事故の際に問題になります。実務対策を先に整えてから申告します。

那由他保険テクノロジーズがホテル・旅館のサイバーリスクでご支援できること

ここまでの整理は一般論です。実際には、OTA・サイトコントローラー・PMSのつながり方、予約情報がどこに何年分あるか、インバウンド比率、OTAやベンダとの契約の責任配分といった施設固有の論点で結論が変わります。

那由他保険テクノロジーズは、ホテル・旅館について、予約情報の流れとアカウントの管理形態、保存している本人確認情報の種類と量、委託先の構成を起点にリスク構造を分析し、ご契約や検討中の商品の補償条件と突き合わせて、対象になる損害と対象外になる損害を切り分けます。

そのうえで、OTAの利用規約、ベンダ契約、旅行会社・法人契約の条項を保険の約款に照らして点検し、どの損害が保険で、どれが契約で、どれが自己負担かを整理します。

相談の結果として得られるのは、「宿泊客に偽のメッセージが届いたとき、PMSが止まったとき、誰に連絡し、何を先に確認し、どの費用が保険の検討対象になるか」を、施設のシステム構成に沿って書き出した一覧です。システムの構成や契約内容が整理できていない段階でも構いません。分かっていることと困っていることを起点に、確認事項を一緒に整理しますので、まずはお問い合わせください。

ご相談はこちら

宿泊施設のサイバー保険の補償範囲を相談する

専用ページで資料請求・お見積もり

資料請求・お見積もりは無料、入力は約1分です。お電話（050-1725-4773／受付：平日9:00〜19:00）でも承ります。

よくある質問

予約サイトの管理画面が乗っ取られ、宿泊客が偽のメッセージでカード情報を入力して被害に遭いました。施設は賠償する必要がありますか？

法律上の賠償責任があるかどうかは、アカウント管理に過失があったか、損害との因果関係があるかといった事実関係で決まり、一律には言えません。責任がある場合に、詐欺で被った金額の賠償がサイバー保険の対象になるかは、商品や契約条件によって扱いが分かれます。責任の有無にかかわらず好意で補填する分は、対象外になりやすい損害です。補填を約束する前に保険会社へ事故の通知を入れ、確認の結果が出てから対応を決めてください。

サイトコントローラー会社側の事故で、うちの予約者にも通知が必要になりました。通知や問い合わせ窓口の費用は誰が負担しますか？

宿泊客から預かった予約情報を委託先であるサイトコントローラー会社に渡し、そこで閲覧・取得された場合、宿泊客から見た責任の相手は施設です。施設が行う通知や問い合わせ窓口の費用、宿泊客からの賠償請求は、委託先起因の漏えいとして自社のサイバー保険の対象になり得ます。委託先に費用を求められるかはベンダ契約の責任分担によります。委託先自身の損害は、委託先が被保険者ではないため対象外になるのが一般的です。

パスポートの写しを紙で保管しています。紛失した場合もサイバー保険の対象になりますか？

多くのサイバー保険では、漏えいの原因を不正アクセスに限定しておらず、紙の紛失、誤送付、従業員の持ち出しも「他人の情報の漏えいまたはそのおそれ」として対象事由になるのが一般的です。故意の持ち出しは商品によって扱いが分かれます。「おそれ」の段階の調査や通知の費用も対象になり得ます。名簿は3年、写しは自社で決めた期間を過ぎたものを廃棄し、保管している人数を減らしておくと、事故時の対象人数も減ります。

PMSやサイトコントローラーが止まった間の売上は補償されますか？

自社が所有・使用・管理するシステムやクラウドサービスの停止による喪失利益と営業継続費用を、任意で追加する補償で対象にする商品があり、宿泊業はこの追加ができる業種として扱われるのが一般的です。一定時間以上の停止が条件で、期間に上限があり、国内の営業が対象になるのが一般的です。

他社運営のOTAやサイトコントローラー、クラウド型PMSの障害が含まれるかは商品や契約条件によって分かれますので、システムの一覧を示して契約時に確認してください。

外国人の宿泊客から、国外で損害賠償を請求された場合はどうなりますか？

国外の宿泊客からの請求や相手国での訴訟費用の扱いは、商品や契約条件によって分かれます。国内で行う多言語の通知や窓口の費用は通知費用の一部として対象になり得ますが、国外での請求への対応範囲は契約時に保険会社へ確認しておく点です。インバウンド比率が高い施設では、宿泊客の国籍構成を伝えて確認してください。

参考一次情報

本記事は、ホテル・旅館など宿泊施設の担当者向けにサイバーリスクと保険の一般的な考え方を整理したもので、特定の保険会社、保険商品、保険契約、特約の内容を説明することを目的としたものではありません。記事中の「対象になり得る」「対象外になりやすい」といった記述は一般的な傾向を示すもので、実際に保険金が支払われるかどうかは、個々の保険契約の約款と事実関係に基づいて保険会社が判断します。ご契約内容の詳細や個別の事故については、ご契約の保険会社または取扱代理店にお問い合わせください。