藤田観光（ホテルグレイスリー浅草ほか）の予約システムへの不正ログイン（予約客へのフィッシング通知・2025年と2026年の2件）
公表日
藤田観光が運営するホテルの予約客に、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。サイトへ誘導する偽の通知が送られた。2025年の件では氏名や電話番号などの漏えいが確認され、2026年の件では対象9施設の一部顧客の情報が漏えいした可能性がある。
対象者は？
【2025年の件】海外オンライン予約サイトを経由し、2024年11月19日〜2025年11月20日にホテルグレイスリー浅草へ予約申込みをした方。漏えいまたはそのおそれがあるのは氏名、電話番号、国籍、予約関連情報です。住所、メールアドレス、クレジットカード情報は漏えいがなかったと確認されています。人数は公表されていません。【2026年の件】外部予約管理システム「TEMAIRAZU Series」経由で、HOTEL TAVINOS（浜松町・浅草・京都）とワシントンホテル（郡山・立川・木更津・燕三条・宝塚・佐世保）を予約した一部の方。このシステムはクレジットカード情報を処理・保存しないとされています。
2025年の件は、対象のすべてのお客さまへ説明とお詫びの連絡が完了したと公表されています。2026年の件の個別連絡については、まだ発表されていません。対象施設や内容は、下の公式のお知らせで確認できます。
いますぐできること
- ホテルや予約システムを名乗る不審な連絡には返信せず、記載されたURLをクリックしないでください。
- クレジットカード情報などを入力したり、支払い・送金をしたりしないでください。
- 支払い方法に迷ったら、予約確認書に書かれた内容を見直し、ホテルの公式の連絡先に直接確認してください。
何が起きたのか
2025年11月21日、ホテルグレイスリー浅草の予約客からの問い合わせで、海外オンライン予約サイトが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、偽サイトへ誘導する通知が配信されていたことが分かりました。調査で、攻撃者が予約サイトに不正にログインし、一部のお客さまの情報が漏えいしたことが確認されました。11月25日に第1報を、2026年1月16日に確報を公表し、個人情報保護委員会にも報告しています。その後、2026年9月22日に、別の外部予約管理システム経由で、藤田観光と提携施設の予約客に偽サイトへ誘導する通知が届いていることが分かりました。10月2日に対象9施設が公表されました。
なぜ起きたのか・なぜ広がったのか
2025年の件で、不正ログインの方法は公表されていません。2026年の件も「予約管理システムへの不正ログイン」とされるのみで、原因の詳細はまだ発表されていません。二つの件に関連があるかも公表されていません。どちらも、外部の予約の仕組みを通じて、予約客に通知が送られました。
いまの状況2026-10-02 時点続報待ち
2025年の件は、確報で漏えいした情報の範囲が確定し、対象の全お客さまへの連絡が完了しています。再発防止として、情報セキュリティの強化と従業員教育に取り組むとしています。2026年の件は2026年10月2日時点で調査中で、件数などはまだ発表されていません。新たな事実が確認され次第、報告するとしています。どちらも、現時点で金銭的被害の報告はないとされています。
企業として考えたいこと
自社が使っている外部の予約・顧客連絡サービスで管理者アカウントが乗っ取られ、顧客に偽の通知が送られた場合、何時間以内に顧客へ注意を呼びかけられるでしょうか。
技術的な要約
2025年11月21日、ホテルグレイスリー浅草の予約客からの問い合わせにより、海外オンライン予約サイトが不正アクセスを受け、予約客にフィッシングサイトへ誘導する通知が配信されたことが判明した。調査でサイバー攻撃による同予約サイトへの不正ログインが確認され、2024年11月19日〜2025年11月20日の予約客の氏名・電話番号・国籍・予約関連情報が漏えいまたはそのおそれがあるとされた。2026年1月16日の確報では住所・メールアドレス・クレジットカード情報の漏えいはなかったと確認され、個人情報保護委員会へ確報報告を行った。2026年9月22日には藤田観光と提携施設の予約客に、外部予約管理システム「TEMAIRAZU Series」経由でフィッシング通知が送られたことが確認され、対象9施設について、一部顧客の情報が漏えいした可能性があるとして調査中である（2026年10月2日時点）。いずれの件も金銭的被害の報告はないとされている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表では「サイバー攻撃により同予約サイトへの不正ログインが行われた」とされるのみで、ログイン手段は示されていない。2026年の件も「予約管理システムへの不正ログイン」と公表されるのみ。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する公表はない。
- データ
- 確定上限 —確定 —氏名電話その他2025年件の確報（2026-01-16）：漏えいまたはそのおそれがあるのは氏名、電話番号、国籍、予約関連情報（予約日、予約番号、チェックイン・アウト日、予約ステータス、客室数、人数、子供年齢、料金、目的、利用端末、部屋タイプ、滞在期間、支払方法、予約サイト上のメッセージ履歴）。住所・メールアドレス・クレジットカード情報は漏えいなしと確認。第1報時点では住所・メール・カード情報・支払い情報・国籍が閲覧可能だった可能性として調査中だった。件数は非公表。2026年9月の件は一部顧客の情報が漏えいした可能性があり調査中で、当該システムはクレジットカード情報を処理・保存しないとしている。
- 波及先
- 9 施設
- HOTEL TAVINOS 浜松町
- HOTEL TAVINOS 浅草
- HOTEL TAVINOS 京都
- 郡山ワシントンホテル
- 立川ワシントンホテル
- 木更津ワシントンホテル
- 燕三条ワシントンホテル
- 宝塚ワシントンホテル
- 佐世保ワシントンホテル
- 金銭影響
- 現時点で金銭的被害の報告はない（2025年11月25日、2026年10月2日の各公表）。
- サプライチェーン
- 2025年件は海外オンライン予約サイト、2026年件は外部予約管理システム（TEMAIRAZU Co., Ltd.「TEMAIRAZU Series」）経由で、予約客に影響が及んだ。TEMAIRAZU Co., Ltd.は2026年9月28日に不審なメッセージと同社システムへの不正アクセスに関するお詫びを公表している。
時系列
- 2024-11-19
- 2025-11-21
- 2025-11-21
- 2025-11-25
- 2025-11-28セキュリティ対策Labが本件を報道。4
- 2026-01-16
- 2026-01-16個人情報保護委員会への確報報告を完了。7
- 2026-05-08ホテルグレイスリー浅草がホテルやBooking.comを装い、WhatsAppなどで送られる不審なメッセージについて注意喚起を公表。3
- 2026-09-22顧客から施設への連絡により、一部顧客にフィッシングサイトへ誘導する通知が送られていることを確認。1
- 2026-09-28TEMAIRAZU Co., Ltd.が不審なメッセージと同社システムへの不正アクセスに関するお詫びを公表。1
- 2026-10-02藤田観光が対象9施設について公表。予約管理システムへの不正ログインを確認、引き続き調査中。1
技術解説
2025年の件：予約サイトへの不正ログインとフィッシング通知 事実
2025年11月21日(金)、顧客から施設への問い合わせにより、一部の海外オンライン予約サイトが不正アクセスを受け、一部の顧客にフィッシングサイトへ誘導する通知が配信されたことが確認された。調査の結果、サイバー攻撃により同予約サイトへの不正ログインが行われ、一部顧客の個人情報が漏えいしたと公表されている。対象は同予約サイトを経由し、2024年11月19日〜2025年11月20日にホテルグレイスリー浅草の予約申込みをした顧客である。事象発生後、直ちにログインパスワードの変更とパソコンのセキュリティチェックを行ったとされる。11月25日に第1報を公表し、個人情報保護委員会への報告も完了した。
漏えい情報の範囲の変化（第1報から確報へ） 事実
第1報（2025年11月25日）では漏えい項目は氏名、電話番号、予約日、予約番号とされ、一部の顧客については住所、メールアドレス、クレジットカード情報、支払い情報、国籍などが閲覧できた可能性があるとして調査中だった。2026年1月16日の確報では、漏えいまたはそのおそれがある項目は氏名、電話番号、国籍、予約関連情報とされた。予約関連情報にはチェックイン・アウト日、人数、子供年齢、料金、メッセージ履歴などが含まれる。支払方法は現地支払いか事前カード決済かの選択のみで、カード情報は含まない。住所、メールアドレス、クレジットカード情報は漏えいがなかったと確認された。対象の全顧客への連絡も完了している。件数は、渡された出典には記載がない。
2026年の件：TEMAIRAZU Series経由と対象9施設 事実
2026年9月22日(火)、施設への顧客からの連絡により、一部顧客にフィッシングサイトへ誘導する通知が送られていることが確認された。10月2日の公表では、サイバー攻撃の結果として予約管理システムへの不正ログインが発生したことが確認され、外部予約管理システム「TEMAIRAZU Series」経由で予約した一部顧客の情報が漏えいした可能性があるとされた。対象はHOTEL TAVINOS 3施設とワシントンホテル6施設の計9施設である。TEMAIRAZU Co., Ltd.は9月28日に不審なメッセージと同社システムへの不正アクセスに関するお詫びを公表している。当該システムはクレジットカード情報を処理・保存しないとされ、金銭的被害の報告はない。詳細は調査中である。
外部の予約基盤を介した被害の構造 解釈
二つの件に共通するのは、被害の入口が自社の基幹システムではなく、予約サイトや外部予約管理システムといった外部の仕組みだった点である。こうした基盤には、顧客へのメッセージ送信機能や予約情報の閲覧機能が備わっていると考えられる。そのため、いったん不正ログインが成立すると、実在の予約を知る相手として、もっともらしい通知を送れた可能性がある。ただし、ログイン手段（パスワードの使い回しか、別の経路か）は公表されておらず、ここで述べるのは一般的な構造としての見立てである。外部基盤の事故でも、顧客から見れば施設名義の連絡に見えやすい。この点は、利用施設側が顧客への注意喚起を迅速に行う必要性を示している。
公表の進め方と二件の関係についての見方 解釈
2025年の件では、第1報で調査中の範囲を示したうえで、確報で漏えいのなかった項目を明確にした。段階的に事実を更新する形で、報告先や顧客連絡の完了も明記されている。他方、2026年の件は公表時点で調査中であり、件数や侵入手段は示されていない。2025年の件と2026年の件の関連は公表されていないため、同一の攻撃者や同一の原因と見ることはできない。2026年5月には、ホテルやBooking.comを装ったメッセージへの注意喚起も別に出ているが、これが上記のいずれかと関係するかも明らかでない。今後の続報で、原因や範囲が整理されることが期待される。
対応
- 封じ込め
- 2025年件：事象発生後、直ちにログインパスワードを変更しパソコンのセキュリティチェックを実施。従前から日次のパスワード変更作業を行っており継続し、従業員教育を強化するとしている。対象客へ順次説明とお詫びの連絡を行い、問い合わせ窓口を設置。2026年件：顧客に不審な連絡への返信、URLのクリック、クレジットカード情報などの入力、支払い・送金をしないよう要請。
- 公表の仕方
- 2025年11月25日に第1報、2026年1月16日に確報を公表。2026年10月2日にTEMAIRAZU Series経由の件を公表し、詳細は調査中で新たな事実が確認され次第報告するとしている。
- 当局対応
- 個人情報保護委員会（2025-11-25 報告、2026-01-16 確報報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 予約サイトや予約管理システムのアカウントが不正に使われると、顧客に偽の通知が届く恐れがある | 外部予約サイト・予約管理システムの管理者アカウントに多要素認証を必須化し、利用できない場合はIP制限やSSO連携を検討する。共有アカウントを廃止し個人別IDにして、ログイン履歴を定期的に確認する。 |
| パスワードの定期変更だけでは不正ログインを防ぎきれない可能性がある | 日次などの変更運用より、長く固有なパスワード、パスワードマネージャーの導入、漏えい済みパスワードの照合を優先する。端末側のマルウェア対策（EDR）と併せて、不審ログインの通知を担当者に届ける設定を有効にする。 |
| 外部サービス側の事故でも、顧客は自施設の問題として受け取る | 委託先・外部サービスの障害や侵害を、自社のインシデント対応手順に組み込む。連絡経路（担当窓口・時間帯）と、顧客向け注意喚起文のひな形、公式サイトでの掲載手順を事前に決めておく。 |
| 被害範囲は初期には確定せず、公表内容が段階的に変わりうる | 第1報では「確認済み」「閲覧された可能性」「調査中」を区別して書く運用にする。外部サービスのログ（閲覧・エクスポート履歴）をいつ入手できるか、契約や運用で事前に確認しておく。 |
| 顧客への連絡手段と、偽の連絡との見分け方を平時に周知する必要がある | 予約確認メールや公式サイトに、施設がメッセージアプリでカード情報を尋ねることはない旨を常時掲載する。送信元ドメインにSPF・DKIM・DMARCを設定し、ブランドを装った連絡の通報窓口を設ける。 |
自組織などでの確認項目
- 自組織が利用している外部の予約・顧客管理・メッセージ配信サービスを一覧にし、それぞれの管理者アカウントで多要素認証が有効か確認できているか。
- 外部サービスの管理画面から、顧客に一斉通知を送れる権限を持つアカウントは何件あるか。退職者や共有アカウントが残っていないか。
- 外部サービスが侵害された連絡を受けた場合、何時間以内に顧客向けの注意喚起を公式サイトに掲載できるか。その手順と承認者は決まっているか。
- 外部サービスの利用契約には、不正ログインの検知時の通知義務やログ提供の範囲が定められているか。
未解明点
- 2025年の件、2026年の件とも、不正ログインに使われた認証情報の入手経路やログイン手段は公表されていない。
- 漏えいまたはそのおそれがある顧客の件数は、2025年の件で公表されていない。2026年の件も調査中である。
- 2025年の件と2026年の件に関連があるかは公表されていない。
- 2026年の件で漏えいの可能性がある情報の項目と、対象者への個別連絡の状況は、まだ発表されていない。
- TEMAIRAZU Series経由の件の侵害時期や範囲は、藤田観光の公表では示されていない。
出典
- 1Fujita Kanko Co., Ltd. (Hotel Gracery)2026-10-02公式本文確認済
- 2藤田観光株式会社（ホテルグレイスリー浅草）2025-11-25公式本文確認済
- 3ホテル グレイスリー 浅草（藤田観光）2026-05-08公式本文確認済
- 4セキュリティ対策Lab（合同会社ロケットボーイズ）2025-11-28報道本文確認済
- 5ScanNetSecurity2025-12-04報道本文確認済
- 6ScanNetSecurity2026-02-03報道本文確認済
- 7藤田観光株式会社2026-01-16公式本文確認済