ホテル日航プリンセス京都のExpedia管理者アカウント不正利用（Expedia経由予約客の個人情報閲覧のおそれ・偽メッセージ送信）
公表日
ホテル日航プリンセス京都が使う予約サイト「Expedia」の管理者アカウントが2026年3月2日に第三者に不正利用され、Expedia経由で予約した一部の顧客の氏名や電話番号などが見られた可能性があります。人数はまだ発表されていません。
対象者は？
2026年3月5日から2027年2月27日までの滞在期間でExpedia経由でホテル日航プリンセス京都を予約した一部の顧客です。閲覧された可能性がある情報は氏名、電話番号、宿泊日、宿泊金額などで、クレジットカード情報は含まれていないとホテルは説明しています。人数はまだ発表されていません。
対象の可能性がある顧客には、3月上旬にExpedia社から、3月18日にはホテルから(宛先が確認できた方に)メールが送られています。詳しくはホテルの公式のお知らせをご確認ください。
いますぐできること
- ホテルやExpediaを名乗るメッセージやメールに書かれたリンクは開かないでください。
- メッセージやメールからカード情報を入力しないでください。ホテルもExpediaも、そうした入力を求めることはないと説明しています。
- もしカード情報を入力してしまった場合は、すぐにカード会社へ連絡してください。
何が起きたのか
2026年3月2日、ホテル日航プリンセス京都が使うExpediaの管理者用アカウントが第三者に不正に使われました。第三者はホテルの従業員になりすまし、WhatsAppというメッセージアプリで、クレジットカード情報の入力を求める偽のメッセージを一部の顧客に送りました。一部の顧客にはフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。サイトへ誘導するメッセージも届いています。3月上旬にExpedia社が、3月18日にはホテルが顧客へ注意を呼びかけるメールを送り、ホテルは3月19日に公式サイトで公表しました。
なぜ起きたのか・なぜ広がったのか
アカウントに侵入された具体的な方法は発表されていません。顧客の予約情報を見られるアカウントが使われたため、実際の予約を知っているかのような偽メッセージが送られました。ホテルは、管理画面内や宿泊施設に届く不審なメールへの対策を強めるとしています。
いまの状況2026-03-31 時点
不正ログインは速やかに見つかって止められ、その後の不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は確認されていないとホテルは説明しています。パスワードを変更してアカウントは復旧済みです。ホテルはExpedia社や外部の専門家と協力して再発防止に取り組むとしています。対象の人数、侵入の手口、補償については、まだ発表されていません。
企業として考えたいこと
もし自社が使っている予約サイトや外部サービスの管理者アカウントが乗っ取られたら、顧客に偽のメッセージが届く前に気づいて止め、顧客へ知らせる準備ができているでしょうか。
技術的な要約
株式会社ホテルプリンセス京都は2026年3月19日、ホテル日航プリンセス京都が利用する予約サイト「Expedia」の管理者用アカウントが2026年3月2日に第三者に不正利用されたと公表した。第三者は従業員になりすまし、WhatsAppでクレジットカード情報の入力を求める偽メッセージを一部顧客に送信した。2026年3月5日から2027年2月27日までの滞在期間にExpedia経由で予約した一部顧客の氏名、電話番号、宿泊日、宿泊金額などが閲覧された可能性がある。クレジットカード情報は含まれていないとされる。不正ログインは速やかに検知・遮断され、その後の不正アクセスは確認されておらず、パスワード変更を行いアカウントは復旧済みである。件数は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 管理画面/API公表で確認ホテルが利用するExpediaの管理者用アカウントが第三者に不正利用された（公式）。アカウントへ侵入した具体的な手口（認証情報の入手経路など）は公表されていない。再発防止として「管理画面内および宿泊施設に送られる不審なメール」への対策強化を挙げている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止は公表されていない。
- データ
- おそれ上限 —確定 —氏名電話その他閲覧された可能性がある情報は、2026年3月5日から2027年2月27日までの滞在期間にExpedia経由で予約した一部顧客の氏名、電話番号、宿泊日、宿泊金額など。クレジットカード情報は含まれていないとされる。件数は公表されていない。
- 波及先
- —
- 一部顧客にフィッシングサイトへ誘導するメッセージが配信された
- 従業員になりすましたWhatsAppの偽メッセージでクレジットカード情報の入力を求められた
- 金銭影響
- —
- サプライチェーン
- Expedia社の予約サイトの管理者用アカウントが不正利用された。Expedia社のシステム自体の侵害は公表されておらず、ホテルのアカウントが対象とされている。
時系列
- 2026-03-02
- 2026-03-02不正ログインが速やかに検知・遮断された（検知日時は公表されていない）。3
- 2026-033月上旬、Expedia社が閲覧された可能性のある顧客に、不審なメッセージ等への注意を促すメールを配信した。3
- 2026-03ホテルがパスワード変更等の措置を行い、当該アカウントは復旧済みとなった。3
- 2026-03-18ホテルが、閲覧された可能性のある顧客のうち宛先が確認できた顧客へ、お詫びと注意喚起のメールを配信した。3
- 2026-03-19
- 2026-03-19
- 2026-03-23セキュリティ対策Labが本件を報じた。1
- 2026-03-31ScanNetSecurityが本件を報じた。2
技術解説
公表された事実の経過 事実
ホテル日航プリンセス京都を運営する株式会社ホテルプリンセス京都は2026年3月19日、Expedia経由で予約した一部顧客の個人情報が不正アクセスで閲覧された可能性があると公表した。公表によれば、2026年3月2日に同ホテルのExpedia管理者用アカウントが第三者に不正利用された。第三者はホテル従業員になりすまし、WhatsAppを通じてクレジットカード情報の入力を求める偽メッセージを顧客に送った。一部顧客にはフィッシングサイトへ誘導するメッセージが配信されたことも確認されている。不正ログインは速やかに検知・遮断され、それ以降の不正アクセスは確認されていない。その後ホテルはパスワード変更等の措置を行い、アカウントは復旧済みとなっている。
閲覧のおそれがある情報と周知の状況 事実
閲覧された可能性がある情報は、2026年3月5日から2027年2月27日までの滞在期間にExpedia経由で予約した一部顧客の氏名、電話番号、宿泊日、宿泊金額などである。ホテルはクレジットカード情報は含まれていないとしている。周知については、3月上旬にExpedia社が閲覧の可能性がある顧客に不審なメッセージ等への注意を促すメールを配信した。ホテルは3月18日に、宛先が確認できた顧客へお詫びと注意喚起のメールを配信した。ホテルは、ホテルやExpediaがメッセージやメールでカード情報の入力を求めることはないとして、リンクを開かず情報を入力しないよう呼びかけている。再発防止ではExpedia社と外部専門家と連携し、管理画面内や宿泊施設に届く不審なメールへの対策強化を挙げている。
攻撃の構造についての見方 解釈
公表内容からは、予約サイトの管理者用アカウントが「予約客の情報を閲覧する入口」と「予約客への連絡手段」の両方を兼ねていた構図がうかがえる。第三者は従業員になりすましたメッセージを送っており、実在の予約情報を知る相手からの連絡に見えやすかった可能性がある。ただし、アカウントへ侵入した手口は公表されておらず、この見方は推測にとどまる。再発防止策に「不審なメール」への対策が含まれることから、メールを起点とする誘導が関わった可能性も考えられるが、確認できる情報はない。また、閲覧対象に2026年3月5日以降の滞在予約が含まれている点は、侵入時点(3月2日)で将来の予約も閲覧できる状態だったことを示すと読める。
公表内容の評価と限界 解釈
公式の第1報は、侵入日、閲覧対象の期間と項目、カード情報が含まれないこと、遮断後の状況、注意喚起、再発防止の方向性を具体的に示している。顧客への個別メールと公式サイトでの公表を組み合わせた点も、利用者保護の観点では丁寧な対応と受け取れる。一方で、対象件数、検知の日時、侵入手口、偽メッセージを受け取った人数、当局への届出の有無は示されていない。そのため、被害規模を数字で判断することはできない。事案は現時点で最終報とされており、これらが今後追加されるかは不明である。評価はあくまで公開された範囲に限った暫定的なものである。
対応
- 封じ込め
- 不正ログインは速やかに検知・遮断され、以降の不正アクセスは確認されていない。ホテルはパスワード変更等の措置を行い、アカウントは復旧済み。Expedia社と外部専門家と連携し、管理画面内および宿泊施設に送られる不審なメールへの対策強化を含む再発防止に取り組むとしている。
- 公表の仕方
- 2026-03-18に宛先が確認できた顧客へお詫びと注意喚起のメールを配信し、2026-03-19にホテル公式サイトで公表した。3月上旬にはExpedia社も注意喚起メールを配信している。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 予約サイトなど外部サービスの管理者アカウントも、自社の重要資産として守る必要がある | 外部SaaS・予約サイトの管理者アカウントを棚卸しし、多要素認証を必須化する。可能ならIP制限や新しい端末からのログイン通知を有効にし、共有アカウントを廃止して個人ごとのIDにする。 |
| 不審なログインは速やかに検知・遮断できる仕組みが被害の拡大を抑える | ログイン通知やログイン履歴の定期確認を運用に組み込み、不審な端末・場所からのログインを検知したら即時にパスワード変更とセッション破棄を行う手順を整備しておく。 |
| 従業員になりすました連絡が顧客に届くことを前提に、利用者への周知を準備しておく | 「自社がメッセージやメールでカード情報の入力を求めることはない」という方針を予約確認メールや公式サイトに常時明記する。事案時に使う顧客向け注意喚起文とメール一斉配信の手順を事前に用意する。 |
| 閲覧可能な予約情報の範囲と期間を把握し、影響範囲を早く特定できるようにする | 管理画面で閲覧できる項目と予約期間を整理し、アクセスログの保存期間と確認方法をプラットフォーム事業者と事前に確認する。閲覧対象の件数を早期に算出できる手順を決めておく。 |
| プラットフォーム事業者と連携した対応窓口を持っておく | Expedia等の事業者のセキュリティ連絡先・エスカレーション手順を平時に確認し、不正利用時にアカウント停止と顧客通知を協調して行う連絡体制を文書化する。 |
自組織などでの確認項目
- 自組織が利用している予約サイトや外部SaaSの管理者アカウントは何件あり、それぞれ多要素認証や個人別IDになっているか。
- 自組織の名前をかたるメッセージが顧客に届いたとき、顧客に何を、どの経路で、どのくらいの時間で伝えられるか。
- 外部サービスの管理画面で、将来の予約を含めてどの顧客情報まで閲覧できるか。不正ログインがあったとき、閲覧件数をログから特定できるか。
未解明点
- 閲覧された可能性がある顧客の件数と、偽メッセージを受け取った顧客の人数は、まだ公表されていない。
- 第三者がExpedia管理者用アカウントへ侵入した具体的な手口(認証情報の入手経路など)は公表されていない。
- 不正ログインを検知した日時と、遮断までに要した時間は公表されていない。
- 個人情報保護委員会など当局への報告や、金銭的な被害の有無・補償の内容は公表されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-03-23報道本文確認済
- 2ScanNetSecurity2026-03-31報道本文確認済
- 3ホテル日航プリンセス京都（株式会社ホテルプリンセス京都）2026-03-19公式本文確認済