ホテル京阪浅草ほか国内宿泊施設へのBooking.com経由フィッシング誘導メッセージ配信（国内100以上の宿泊施設が被害公表）
公表日
ホテル京阪浅草が2026年5月12日、Booking.com経由の不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。で、予約客にフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。サイトへ誘導するメッセージが配信されたと公表した。同様の被害は国内で100以上の宿泊施設が公表したと報じられているが、顧客への影響件数は公表されていない。
対象者は？
Booking.com経由で宿泊予約をした客のうち、ホテルを装ったメッセージを受け取った一部の人。対象人数は公表されていない。Booking.com本体の不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。については、漏洩の可能性がある情報は氏名・メールアドレス・電話番号・予約詳細・宿泊施設とのメッセージ内容とされ、クレジットカード番号等の金融情報へのアクセスは確認されていないとされる。ただし偽サイトでカード情報を入力した場合は、別に注意が必要になる。
WhatsApp等のメッセージアプリや、Booking.comのチャットに、カード情報の入力を求めるメッセージが届いていないか確認する。各ホテルは、メッセージアプリで予約やカード情報について連絡することはないとしている。利用した宿泊施設の公式サイトのお知らせも確認する。
いますぐできること
- WhatsAppなどで「カード情報の入力が必要」というメッセージが届いても、記載されたURLを開かず、カード情報も入力しない。
- カード情報を入力してしまった場合は、すぐにカード会社へ連絡して利用を止め、不正利用がないか確認する。
- 心配なときは、予約した宿泊施設の公式サイトに載っている連絡先へ問い合わせ、Booking.comのパスワード変更も検討する。
何が起きたのか
2026年4月13日（現地時間）、Booking.comは第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。で予約情報が漏洩した可能性があると認めました。5月上旬から、東武ホテルマネジメント、WHGホテルズ、ホテル京阪浅草などが、予約客にフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。サイトへ誘導するメッセージが送られていると相次いで発表しました。メッセージはWhatsAppなどで届き、「予約の確認のためクレジットカード情報の入力が必要」という内容でした。5月21日にはほかの3施設も公表しました。6月12日には日本ホテル協会が注意を呼びかけました。報道によると、同様の攻撃は2023年6月から続いています。
なぜ起きたのか・なぜ広がったのか
ホテル京阪浅草のケースの原因や侵入経路は、まだ発表されていません。日本ホテル協会によると、ホテル側の管理システムに異常や情報漏洩の形跡は認められず、予約情報がどのように漏れたかも分かっていません。Booking.com本体の不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が個々のホテルの事案に影響しているかも、不明とされています。広がった背景として、メッセージには実際の予約番号や宿泊日程が書かれ、Booking.comの公式メールアドレスから通知が届く場合もあり、偽物と見分けにくいと報じられています。
いまの状況2026-06-15 時点続報待ち
2026年6月15日時点で、Booking.comは影響を受けた予約のPIN番号を強制リセットし、6月5日には公式サイトに不審なメッセージへの注意を載せています。日本ホテル協会は、Booking.comに原因調査と結果の開示、対策の実施を求めています。原因の調査結果は、まだ発表されていません。
企業として考えたいこと
自社が使う予約サイトやECなど外部サービスの管理画面から、顧客へ偽のメッセージが送られたと分かった場合、誰がどの順番で止め、顧客に知らせるか決まっていますか。
技術的な要約
ホテル京阪浅草は2026年5月12日、Booking.com経由の不正アクセスにより、フィッシングサイトへ誘導するメッセージが顧客に配信されたことを公表した。同様の公表は東武ホテルマネジメント（5月7日）、WHGホテルズ（5月11日）、5月21日の3施設などにも広がり、手口は予約客へWhatsAppなどで「クレジットカード情報の入力が必要」と偽るものである。報道によれば、この攻撃は2023年6月以降続き、2026年5月時点で100以上の宿泊施設が被害を公表している。日本ホテル協会は6月12日に注意喚起し、予約情報がどう漏洩したかは分かっていないとされ、Booking.comに原因調査と結果開示を求めている。Booking.com本体も2026年4月13日に不正アクセスを認めているが、個々のホテルの事案との関係は不明とされる。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明ホテル京阪浅草は「Booking.com経由の不正アクセス」と公表。日本ホテル協会によれば、ホテル側の管理システムに異常や情報漏洩の形跡はなく、予約情報の漏洩経路は不明。なお報道は、過去の類似事例（阪急ホテルズなど）の調査で、スタッフ端末へのフィッシングメールによるインフォスティーラー（Vidar、RedLine Stealer等）感染と、Booking.comエクストラネットのID・パスワード窃取が確認されたと紹介しているが、本件で同じ経路かは確認されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 業務停止に関する公表は出典にない。
- データ
- おそれ上限 —確定 —氏名メール電話その他Booking.com本体の不正アクセスで漏洩した可能性があるのは氏名・メールアドレス・電話番号・予約詳細・宿泊施設とのメッセージ内容で、クレジットカード番号等の金融情報へのアクセスは確認されていないとされる。影響ユーザー数は公表されていない。ホテル京阪浅草個別の件数も公表なし。NHK報道では不審メッセージが90件ほど報告されたホテルもある。フィッシングサイトで入力を求められるのはクレジットカード情報。
- 波及先
- 100 宿泊施設（以上、被害公表）
- 東武ホテルマネジメント
- WHGホテルズ
- ホテルサンルート浅草
- 京都センチュリーホテル
- ホテルグランバッハ京都セレクト
- 金銭影響
- 別件として、不正なアクセスにより口座情報が改ざんされ約900万円の被害が出たホテルがあると報じられている（本件との関係は出典上明記されていない）。
- サプライチェーン
- Booking.com経由の事案だが、Booking.com本体の不正アクセスが個々のホテルの事案に影響しているかは不明とされる。
時系列
- 2023-06
- 2023-08系列のホテル京阪淀屋橋でBooking.comの管理画面が不正アクセスを受け、フィッシング誘導メッセージが配信された。1
- 2026-04-13
- 2026-04Booking.comが影響を受けた予約のPIN番号を強制リセットし、ユーザーへの通知メールを順次送付。1
- 2026-05-07東武ホテルマネジメントが、Booking.com経由の予約客にWhatsAppなどで不審メッセージが送信されていると発表。1
- 2026-05-11WHGホテルズが、ホテルやBooking.comを装った不審メッセージについて全ブランド横断で注意喚起。1
- 2026-05-12ホテル京阪浅草が「不正アクセスによるフィッシングサイトに誘導するメッセージの配信について」を公表。2023年8月に続く同チェーン2度目の類似被害とされる。1
- 2026-05ゴールデンウイークころから、ホテルを装ったフィッシングメッセージが届く事例が多発したとされる。4
- 2026-05-21
- 2026-06-05Booking.comが公式サイトに「重要なお知らせ」として不審なメッセージへの注意を掲載。4
- 2026-06-12日本ホテル協会が、Booking.com経由の予約客へ不審メッセージが多発しているとして注意を呼びかけ、Booking.comに原因調査と結果開示・対策実施を求めた。4
技術解説
公表された経緯と共通する手口 事実
ホテル京阪浅草は2026年5月12日、Booking.com経由の不正アクセスによりフィッシングサイトへ誘導するメッセージが配信されたことを公表した。同時期に東武ホテルマネジメント（5月7日）とWHGホテルズ（5月11日）も同様の発表をしている。手口は共通で、Booking.comで予約した宿泊客にWhatsAppなどのメッセージアプリで「予約の確認のためクレジットカード情報の入力が必要」と偽り、フィッシングサイトのURLを送るものだった。5月21日にはホテルサンルート浅草、京都センチュリーホテル、ホテルグランバッハ京都セレクトの3施設も相次いで公表した。ホテル京阪にとっては、2023年8月のホテル京阪淀屋橋に続く2度目の類似被害と報じられている。
規模に関する数字と、その扱い 事実
報道によれば、国内ホテルを狙ったBooking.com経由のフィッシング攻撃は2023年6月以降続いており、2026年5月時点で100以上の宿泊施設が被害を公表している。一方、J-CASTニュースの調べでは、不審メッセージの送信を把握して注意喚起をしている国内のホテル・ホテルチェーンは40以上とされ、数え方によって数字が異なる。NHKは、不審メッセージが90件ほど報告されたホテルもあると報じた。顧客への影響件数やカード被害の確定件数は公表されておらず、ホテル京阪浅草個別の件数も公表されていない。別件として約900万円の被害が出たホテルがあるとも報じられているが、本件との関係は出典に明記されていない。
Booking.com本体の不正アクセスと、原因が確定していない点 事実
Booking.comは2026年4月13日（現地時間）に第三者による不正アクセスを認めた。氏名・メールアドレス・電話番号・予約詳細・宿泊施設とのメッセージ内容が漏洩した可能性があるとし、クレジットカード番号等の金融情報へのアクセスは確認されていないとしている。影響を受けた予約のPIN番号は強制リセットされ、通知メールが順次送られた。ただし報道は、この本体の不正アクセスが個々のホテルの事案に影響しているかは不明としている。日本ホテル協会は6月12日、ホテル側の管理システムに異常や情報漏洩の形跡は認められず、予約情報の漏洩経路は分かっていないとして、Booking.comに原因調査と結果開示、対策の実施を求めた。
利用者側で見分けにくい構造と、経路の見立て 解釈
メッセージには実際の予約番号や宿泊日程が記載され、Booking.comの公式メールアドレスから通知が届く場合もあると報じられている。このため受け手が偽物と判断しにくく、利用者の注意だけで防ぐには限界があるとも考えられる。プラットフォームとホテルの双方で、管理画面の保護と送信メッセージの監視を行う必要がある。過去の類似事例（阪急ホテルズなど）では、スタッフ端末のインフォスティーラー感染とエクストラネットの認証情報窃取が確認されたと紹介されている。ただし本件で同じ経路かは確認されていない。多数の施設に広がった理由は、公表情報だけでは断定できない。
対応
- 封じ込め
- Booking.comは影響を受けた予約のPIN番号を強制リセットし、通知メールを順次送付。各ホテルは、メッセージアプリで予約やカード情報について連絡することはないと明示し、URLへアクセスせずカード情報を入力しないよう警告した。カード情報を入力した場合はカード会社へ連絡して利用停止し、不正利用を確認することが推奨されている。
- 公表の仕方
- ホテル京阪浅草は2026年5月12日に「不正アクセスによるフィッシングサイトに誘導するメッセージの配信について」を公表。その後も他施設が相次いで公表し、日本ホテル協会が6月12日に注意喚起した。Booking.com本体の影響ユーザー数は公表されていない。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 予約プラットフォームの管理画面は、顧客へ直接メッセージを送れる権限を持つため、認証の強化が欠かせない。 | エクストラネット等の管理画面に、全ユーザーで多要素認証（可能ならパスキー）を必須化する。共有アカウントを廃止して個人ごとのIDにする。新規端末やIPからのログイン通知を担当者が確認できるようにし、利用していない権限は削除する。 |
| 過去の類似事例では、スタッフ端末に保存された認証情報がインフォスティーラーで窃取されたと紹介されている。端末側の対策が、管理画面の防御にもつながる。 | 予約業務用の端末にEDRを導入し、ブラウザへのパスワード保存を禁止して、パスワードマネージャーに集約する。メール添付やリンクを経由した実行ファイルの起動を制限する。感染が疑われる端末では、その端末で使った全サービスのパスワード再設定とセッション失効を行う手順を用意する。 |
| 公式の連絡手段を事前に利用者へ伝えておくと、偽メッセージを受け取った客が気づきやすくなる。複数のホテルが「メッセージアプリでカード情報を求めることはない」と明示している。 | 予約確認メールと宿泊前の案内に「メッセージアプリや予約サイトのチャットでカード情報の入力をお願いすることはありません」という固定文言を入れる。公式サイトの目立つ場所に、同じ内容と問い合わせ窓口を掲載する。 |
| 不審メッセージの被害は、客からの申告で気づくことが多い。早く把握できるほど、周知と対処が早まる。 | 客からの通報窓口を明確にし、受けた申告を担当者間で共有する。プラットフォームの送信メッセージ履歴を定期的に確認し、心当たりのない送信を検知したら、パスワード再設定、セッション無効化、プラットフォームへの連絡の順で動く手順書を作る。 |
| 原因が個社だけでは特定できない場合、業界団体やプラットフォームとの連携が必要になる。日本ホテル協会はBooking.comに原因調査と結果開示を求めている。 | プラットフォーム事業者の連絡窓口とエスカレーション手順を契約時に確認し、台帳に記録する。業界団体の情報共有に参加する。不審メッセージの文面、URL、受信日時を、自社の事例として記録しておく。 |
自組織などでの確認項目
- 自組織が利用している予約・宿泊・EC等の外部プラットフォームの管理画面で、多要素認証は全ユーザーに有効になっていますか。共有アカウントや、退職者・不要なアカウントは残っていませんか。
- 顧客へ送る案内に、「どのチャネルで何を求めない」かを明記していますか。顧客が偽メッセージを受け取ったとき、自社の公式な問い合わせ先にすぐたどり着けますか。
- プラットフォーム経由で顧客に不審なメッセージが送られていると分かった場合、誰が何時間以内にパスワード再設定、セッション無効化、事業者への連絡、顧客への周知を行うか、決まっていますか。
未解明点
- 予約情報（実際の予約番号や宿泊日程）が攻撃者にどのように渡ったのか。日本ホテル協会は、漏洩経路は分かっていないとしている。
- 2026年4月のBooking.com本体の不正アクセスと、各ホテルで確認されたフィッシング誘導メッセージの配信との関係は、まだ明らかになっていない。
- ホテル京阪浅草の事案について、侵入の時期と経路、不審メッセージの送信件数と対象顧客数、カード情報を入力して被害に遭った人の有無は公表されていない。
- Booking.comが日本ホテル協会の求める原因調査と結果開示にどう応じるか、また影響を受けたユーザー数が公表されるかは、まだ発表されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-14報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-25報道本文確認済
- 3ScanNetSecurity2026-06-02報道本文確認済
- 4J-CAST ニュース2026-06-15報道本文確認済