Booking.comの予約情報流出の可能性と、利用客へのフィッシングメッセージ多発（国内100以上の宿泊施設が被害公表）
公表日
宿泊予約サービス「Booking.com」で、予約情報が第三者に漏れた可能性があると同社が認めました。国内では100以上の宿泊施設が被害を公表したと報じられ（J-CASTニュースの調べでは40以上のホテルなどが注意喚起を掲載）、予約客にカード情報を求める偽のメッセージが届いています。
対象者は？
Booking.comで予約した人の一部。漏れた可能性があるのは、氏名・メールアドレス・電話番号・予約の詳細・宿泊施設とのメッセージ内容です。クレジットカード番号などの金融情報へのアクセスは確認されていないと同社は説明しています。自宅・勤務先などの住所は漏れたことが確認されていないとされています。パスポートなどのスキャンが含まれるかは分かっていません。影響を受けた人数はまだ発表されていません。
影響を受けた予約については、Booking.comから通知メールが送られ、予約のPIN番号が更新されたと報じられています。心当たりのメールが届いていないか確認してください。不審なメッセージが届いた場合は、メッセージ内のリンクではなく、公式アプリや公式サイトで予約内容を確認してください。
いますぐできること
- WhatsApp・メール・SMSで「カード情報を入力してください」と求められても、リンクを開かず、入力もしない（Booking.comは、メール・電話・WhatsApp・SMSでカード情報を求めることはないと述べています）。
- 予約の連絡は、メッセージ内のリンクではなく、公式アプリや公式サイトを自分で開いて確認する。氏名や予約番号が合っていても本物とは限りません。
- カード情報を入力してしまった場合は、すぐにカード会社に連絡して利用停止の手続きをし、不正な利用がないか確認する。Booking.comのパスワードも変更する。
何が起きたのか
2026年4月12〜13日ごろ、Booking.comの公式アドレスから見慣れない通知メールを受け取った人が出て、話題になりました。同社は4月13日、第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。で予約情報が漏れた可能性があると認め、影響を受けた予約のPIN番号を更新しました。5月のゴールデンウイークごろからは、Booking.comで予約した人に、WhatsAppなどでホテルを装ってカード情報の入力を求めるメッセージが多く届くようになりました。5月7日以降、東武ホテルマネジメントなど多くのホテルが注意を呼びかけ、6月8日には観光庁が事実確認の調査を始めたと明らかにしました。日本ホテル協会は6月12日に注意を呼びかけ、Booking.comに原因調査と結果の開示を求めています。
なぜ起きたのか・なぜ広がったのか
情報がどのように漏れたのかは、まだ明らかになっていません。Booking.comは手口や侵入経路を説明しておらず、日本ホテル協会によると、ホテル側の管理システムに異常や漏洩の形跡は認められていません。なお、4月の発表と5月以降のメッセージが同じ原因によるものかも、公表された情報だけでは分かりません。メッセージには実際の予約番号や宿泊日程が含まれる場合があり、本物の連絡と見分けにくいことが、被害の広がりにつながっていると考えられます。
いまの状況2026-06-17 時点続報待ち
2026年6月17日時点で、原因や影響範囲についての十分な説明はまだ発表されていません（続報待ち）。Booking.comは問題は完全に封じ込められたと述べています。観光庁は事実確認を続けており、日本ホテル協会は迅速で誠実な対応を求めています。金銭的な被害額や補償についても、まだ発表されていません。
企業として考えたいこと
自社が使っている外部の予約・販売サービスから顧客情報が漏れた疑いが出たとき、顧客に何を、どの手段で、いつまでに知らせるかを決めてありますか。
技術的な要約
Booking.comは2026年4月13日（現地時間）、第三者による不正アクセスで顧客の予約情報が漏洩した可能性があると認めた。漏洩した可能性があるのは氏名・メールアドレス・電話番号・予約詳細・宿泊施設とのメッセージ内容で、クレジットカード番号等の金融情報へのアクセスは確認されていないとしている。5月のゴールデンウイーク頃から、Booking.comで予約した客にWhatsAppなどでホテルを装いカード情報の入力を求めるフィッシングメッセージが多発し、J-CASTニュースの調べでは6月上旬までに少なくとも40以上のホテルグループ・個別ホテルが注意喚起を掲載した。観光庁は2026年6月8日、Booking.comや関係ホテル、業界団体への事実確認の調査を始めたと明らかにした。6月17日付の報道時点でも、日本ホテル協会は具体的な原因や影響範囲について十分な説明が確認できていないとしており、予約情報の漏洩経路は明らかになっていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明Booking.comは手口・侵入経路・影響ユーザー数・データの外部持ち出しの有無を説明していない。Booking.com Japanは予備調査でバックエンドシステムへの直接的なハッキングの証拠は見つかっていないとしたと報じられている。日本ホテル協会によれば、ホテル側の管理システムに異常や情報漏洩の形跡は認められておらず、予約情報の漏洩経路は不明。なお2024年の共同通信報道では、ホテルへのメール内リンクで端末が感染しBooking.com管理システムの認証情報が盗まれる手口が説明されているが、今回の事案との関係は示されていない。
- 脆弱性
- CVE 非公表不明脆弱性や製品に関する情報は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり Booking.comやホテルの業務停止は公表されていない。影響は、予約客への不審メッセージ送信と各ホテルの注意喚起対応として現れている。
- データ
- おそれ上限 —確定 —氏名メール電話その他漏洩した可能性があるのは氏名・メールアドレス・電話番号・予約詳細・宿泊施設とのメッセージ内容。クレジットカード番号等の金融情報へのアクセスは確認されていないと同社は述べている。自宅・勤務先などの住所は漏洩が確認されていないとの追記声明がある。影響ユーザー数は非公表。パスポート・身分証明書のスキャンについては通知メールに言及がなく不明。フィッシングメッセージには実際の予約番号や宿泊日程、チェックイン日、宿泊者のフルネームが含まれる場合がある。
- 波及先
- 100 宿泊施設（2026年5月時点で被害を公表と報じられた下限）
- 東武ホテルマネジメント
- WHGホテルズ（ホテルグレイスリー・ワシントンホテル等）
- ホテル京阪浅草
- ホテルサンルート浅草（相鉄ホテルマネジメント）
- 帝国ホテル
- ホテルオークラ神戸
- ホテルニューオータニ大阪
- 京王プラザホテル
- 東急ステイ
- 金銭影響
- 一部のホテルは顧客が金銭を失ったと述べているが、金額は公表されていない。Booking.com Japanは金銭的被害についてのコメントを控えた。
- サプライチェーン
- Booking.comを経由した予約客に対し、各ホテルを装う不審メッセージが送られ、多数のホテルが注意喚起を出した。Booking.com本体への不正アクセスが個々のホテルの事案に影響しているかは不明と記事は述べている。The Registerは、2018年のホテルスタッフ認証情報侵害のようなサプライチェーン経由のパターンの可能性を分析している。
時系列
- 2023-06国内ホテルを狙ったBooking.com経由のフィッシング攻撃が始まったと記事は述べている（以降継続）。1
- 2023-08ホテル京阪淀屋橋でBooking.comの管理画面が不正アクセスを受け、顧客にフィッシングサイトへ誘導するメッセージが配信された。1
- 2026-04-12
- 2026-04-13
- 2026-05-05INCIBE-CERTの投稿時点で調査は継続中。攻撃は封じ込められたとみられるが、盗まれたデータが標的型詐欺に使われるリスクが残るとされた。6
- 2026-05-07東武ホテルマネジメントが、Booking.com経由の予約客への不審メッセージを確認したとして注意喚起を発表した。1
- 2026-05-09Booking.com Japanが正式な注意喚起を出した。10
- 2026-05-11WHGホテルズが、ホテルやBooking.comを装った不審メッセージについて注意喚起を発表した。1
- 2026-05-12ホテル京阪浅草が、Booking.com経由の不正アクセスによりフィッシングサイトへ誘導するメッセージが配信されたことを公表した。1
- 2026-05-21相鉄ホテルマネジメントが、ホテルサンルート浅草の予約客への不審メッセージについて注意喚起を発表した。3
- 2026-06-08観光庁が、Booking.comや関係ホテル、業界団体に対して事実確認の調査を始めたことを明らかにした。7
- 2026-06-12
- 2026-06-15HKCERTが、Booking.comやホテルの予約通知を装ったフィッシングへの注意を呼びかけた。5
- 2026-06-16日本ホテル協会の専務理事が、予約情報がどのように漏洩したかは明らかになっていないと説明した。9
技術解説
Booking.comが認めた内容と、説明されていない点 事実
Booking.comは2026年4月13日（現地時間）、第三者による不正アクセスで顧客の予約情報が漏洩した可能性があると認めた。漏洩した可能性があるのは氏名・メールアドレス・電話番号・予約詳細・宿泊施設とのメッセージ内容で、クレジットカード番号等の金融情報へのアクセスは確認されていないとしている。自宅・勤務先などの住所は漏洩が確認されていないとの追記声明もある。同社は影響を受けた予約のPIN番号を更新してゲストに通知し、問題は完全に封じ込められたと声明を出した。一方で、手口・侵入経路・影響ユーザー数・データの外部持ち出しの有無は説明しておらず、The Register、SecurityWeek、TechCrunchからの質問にも回答を拒否したと報じられている。パスポート等のスキャンが含まれるかは通知メールに言及がなく不明である。
国内ホテルでの注意喚起の広がり 事実
2026年5月7日に東武ホテルマネジメント、11日にWHGホテルズ、12日にホテル京阪浅草が、Booking.com経由の予約客への不審メッセージについて相次いで発表し、21日には相鉄ホテルマネジメントがホテルサンルート浅草について注意喚起した。手口は共通で、WhatsAppなどで予約確認を装い、クレジットカード情報の入力を求めるフィッシングサイトへ誘導するものである。メッセージには実際の予約番号や宿泊日程、宿泊者のフルネームが含まれる場合がある。J-CASTニュースの調べでは、5月のゴールデンウイーク頃から6月上旬までに少なくとも40以上のホテルグループ・個別ホテルが注意喚起を掲載した。別の記事は、2026年5月時点で100以上の宿泊施設が被害を公表したと伝えている。一部のホテルは顧客が金銭を失ったと述べているが、金額は公表されていない。
行政・業界団体の動きと、原因が未確定であること 事実
Booking.com Japanは5月9日に正式な注意喚起を出し、予備調査ではバックエンドシステムへの直接的なハッキングの証拠は見つかっていないとしたと報じられている。観光庁は2026年6月8日、Booking.comや関係ホテル、業界団体への事実確認の調査を始めたことを明らかにし、関係者にすみやかな原因等の事実関係確認を求めているとした。日本ホテル協会は6月12日に注意を呼びかけ、Booking.comにすみやかな原因調査と結果の開示、対策の実施を求めた。協会によれば、ホテル側の管理システムに異常や情報漏洩の形跡は認められておらず、予約情報がどのように漏洩したかは明らかになっていない。6月17日付の報道時点でも、具体的な原因や影響範囲について十分な説明が確認できていないとされている。
4月の発表と5月以降の被害の関係をどう読むか 解釈
公表された情報だけでは、4月13日にBooking.comが認めた漏洩の可能性と、5月以降に国内で多発した不審メッセージが同一の原因によるものかを判断できない。記事自体も、本体への不正アクセスが個々のホテルの事案に影響しているかは不明としている。一方で、2023年以降にはホテルの管理画面の認証情報が盗まれてメッセージが送られる類似の手口が報じられており、複数の経路が重なって見えている可能性は排除できない。HKCERTは漏洩したとみられる本物の予約情報が使われていると述べており、予約情報の入手経路が今後の焦点になる。ただしこれらは公表資料からの読み取りであり、原因の断定ではない。因果関係の整理は、調査結果の開示を待つ必要がある。
正確な予約情報が説得力を高める構造 解釈
今回のメッセージは、実際の予約番号・宿泊日程・氏名を含む場合があり、受け取った側が本物と判断しやすい内容になっている。宿泊客にとっては、予約サイトとホテルの双方から連絡が来ること自体が通常であるため、偽の連絡を見分ける手がかりが少ない。日本旅館協会の統計では国内宿泊業界のOTA経由率が平均46.9％とされ、予約の多くが仲介サービスを通る以上、各ホテルは自社システムに異常がなくても、顧客からの問い合わせや注意喚起への対応を担うことになる。ホテルごとに個別の告知を出す形になったことが、多数の施設名が並ぶ状況につながったとも考えられる。これは公表された事実から導いた見方であり、各組織の対応の優劣を評価するものではない。
対応
- 封じ込め
- Booking.comは不審な活動に気づいて封じ込めの行動をとったと説明し、影響を受けた予約（現在有効なものと過去のもの）のPIN番号を強制リセットしてゲストに通知した。システム強化と利用者への警告も実施し、内部調査を開始したとされる。「問題は完全に封じ込められた」との声明も出している。
- 公表の仕方
- Booking.comは4月13日に広報担当者を通じて漏洩の可能性を認めたが、手口・侵入経路・影響ユーザー数・データの外部持ち出しの有無は説明していない。The Register、SecurityWeek、TechCrunchからの質問にも回答を拒否した。Booking.com Japanは5月9日に注意喚起を出し、予備調査でバックエンドへの直接的なハッキングの証拠は見つかっていないとした。日本ホテル協会は6月17日付報道時点で十分な説明が確認できていないとしている。
- 当局対応
- 観光庁：Booking.com Japan KKに全面的な調査を指示したと報じられている（共同通信）。2026年6月8日には、Booking.comや関係ホテル、業界団体に対する事実確認の調査を始めたことを明らかにした。
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 予約番号や氏名が正確でも、メッセージが本物とは限らない。 | 顧客向けの案内で「カード情報をメッセージで求めない」旨と公式連絡チャネルを予約確認メールに明記し、テンプレートに固定文として組み込む。ショートURLは使わず、自社ドメインのURLのみに統一する。 |
| 仲介サイトの管理画面の認証情報が奪われると、予約客に偽メッセージが送られ得る。 | 管理画面アカウントに多要素認証（可能ならFIDO2等のフィッシング耐性のある方式）を必須化し、共用アカウントを廃止する。ログイン元IPや端末の異常を検知して通知するルールを設定する。 |
| 原因や影響範囲の説明が出ないと、関係事業者や顧客の不安と問い合わせが長引く。 | インシデント時の公表テンプレートを事前に用意し、判明済み・調査中・未定の項目を分けて段階的に更新する。更新日を明記した専用ページと、取引先向けの連絡窓口を平時から決めておく。 |
| 宿泊施設とのメッセージ内容など、やり取りの記録が漏洩した場合の影響が大きい。 | データ最小化の観点から、過去予約のメッセージや個人情報の保持期間を定め、期限後に自動削除またはマスキングするバッチを実装する。アクセスログを取得して不審な一括参照を検知する。 |
| 第三者サービス経由の被害では、自社システムに異常がなくても顧客対応が必要になる。 | 自社が使う外部予約サービスの一覧と連絡窓口を台帳化し、顧客から寄せられた不審メッセージの報告を集約する仕組み（受付フォームと件数の記録）を用意する。注意喚起文のひな型も準備する。 |
自組織などでの確認項目
- 自組織が利用している外部の予約・販売サービスの管理画面で、多要素認証は全アカウントに必須になっていますか。共用アカウントはありませんか。
- 顧客に送る連絡で、メッセージアプリやSMSでカード情報を求めないことを、予約確認メールなどで事前に明記していますか。
- 外部サービス経由で顧客情報が漏れた疑いが出たとき、自組織は何日以内に、何を、どの窓口から顧客に知らせる手順になっていますか。
- 過去の取引や予約でやり取りしたメッセージ・個人情報の保持期間は決まっており、期限後に実際に削除されていますか。
未解明点
- 予約情報がどのような経路で第三者に渡ったのか（Booking.com側か、ホテルの管理画面側か、別の経路か）。
- 影響を受けた予約・ユーザーの数と、国内の対象件数。
- パスポートや身分証明書のスキャンなどが漏洩の対象に含まれるか。
- 4月13日に認めた不正アクセスと、5月以降の国内での不審メッセージ多発が同一原因によるものか。
- 観光庁の事実確認の結果と、Booking.comによる原因調査結果がどのように開示されるか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-14報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-04-15報道本文確認済
- 3ScanNetSecurity2026-06-02報道本文確認済
- 4Bangkok Post (Kyodo News)2024-04-13報道本文確認済
- 5
- 6INCIBE-CERT (INCIBE)2026-05-05当局本文確認済
- 7J-CAST ニュース2026-06-10報道本文確認済
- 8J-CAST ニュース2026-06-15報道本文確認済
- 9J-CAST ニュース2026-06-17報道本文確認済
- 10The Standard (Hong Kong)2026-06-02報道本文確認済