Booking.com経由予約客へのフィッシングメッセージ配信（ホテルサンルート浅草ほか3施設が注意喚起）
公表日
Booking.com経由で予約した一部の宿泊客に、カード情報を入力させる偽サイトへ誘導するメッセージが届いていたとして、ホテルサンルート浅草など3施設が2026年5月21日に注意を呼びかけました。同じ手口で被害を公表した国内の宿泊施設は100以上と報じられています。
対象者は？
Booking.com経由でホテルサンルート浅草、京都センチュリーホテル、ホテルグランバッハ京都セレクトを予約した一部のお客さまです。実際に届いた人数は発表されていません。ホテルサンルート浅草は、現時点で同ホテルにおける顧客情報の流出は確認されていないとしています。
WhatsAppなどのメッセージアプリや予約サイトのチャットに、予約確認やカード情報の再入力を求める連絡が届いていないか確認してください。Booking.com経由の予約についての問い合わせは、Booking.comのカスタマーサポートに確認するよう案内されています。
いますぐできること
- 「カード情報を再確認してください」「24時間以内に更新を」といったメッセージが届いても、書かれたURLを開かないでください。
- ホテルやBooking.comは、メールやチャット、WhatsAppなどでカード情報の入力を求めないとされています。予約について確認したいときは、Booking.comのカスタマーサポートに問い合わせてください。
- すでにカード情報を入力してしまった場合は、お使いのカード会社に連絡してください。
何が起きたのか
2026年5月21日、ホテルサンルート浅草、京都センチュリーホテル、ホテルグランバッハ京都セレクトの3施設が、予約客に不審なメッセージが届いていると発表しました。メッセージはWhatsAppなどのアプリや予約サイトのチャットで、ホテルを装い、クレジットカード情報の入力を求める偽サイトへ誘導するものでした。Booking.com Japanは5月9日にも注意喚起を出していたと報じられています。
なぜ起きたのか・なぜ広がったのか
本件3施設の原因は公表されていません。報道は、過去の類似事例で、ホテルのスタッフの端末が情報を盗むウイルスに感染し、予約サイトの管理画面のIDとパスワードが盗まれた流れがあったと伝えています。本件3施設で同じことがあったかどうかは確認されていません。報道は、2023年6月以降続く同じ手口が続いて広がったものとみています。
いまの状況2026-06-02 時点続報待ち
2026年6月2日時点の報道では、各施設は注意を呼びかけています。ホテルサンルート浅草は顧客情報の流出は確認されていないとしています。Booking.com Japanは、予備調査で同社のシステムへの直接的なハッキングの証拠は見つかっていないとしています。観光庁がBooking.com Japanに全面的な調査を指示したと報じられました。本件3施設の被害件数や原因は、まだ発表されていません。
企業として考えたいこと
もし自社の名前で、取引先や顧客に偽のメッセージが送られたら、誰がどの手順で、どれだけ早く顧客に知らせられるでしょうか。
技術的な要約
2026年5月21日、ホテルサンルート浅草、京都センチュリーホテル、ホテルグランバッハ京都セレクトの3施設が、Booking.com経由で予約した一部顧客にクレジットカード情報の入力を求めるフィッシングサイトへ誘導するメッセージが配信されたとして注意喚起を発表したと報じられた。WhatsAppなどのメッセージアプリや公式チャット機能を悪用し、ホテルを装ったメッセージが送られていた。報道は、2023年6月以降続く同一手口の攻撃の継続・拡大とみており、被害を公表した国内宿泊施設は100以上とされる。ホテルサンルート浅草では現時点で同ホテルにおける顧客情報の流出は確認されていないとしている。Booking.com Japanは予備調査でバックエンドシステムへの直接的なハッキングの証拠は見つかっていないとしており、観光庁は同社に全面的な調査を指示したと報じられている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用報道・研究者本件3施設の侵入経路は公表されていない。報道が示す同一手口の流れは、ホテルスタッフ端末へのフィッシングメールでインフォスティーラー（主にVidar、RedLine Stealer）に感染させ、端末に保存されたBooking.comエクストラネットのID・パスワードを窃取し、ホテルになりすまして管理画面にログインするというもの。これは過去の類似事例（阪急ホテルズなど）の調査に基づく説明であり、本件各施設での確認ではない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止の公表はない。
- データ
- 調査中上限 —確定 —クレカ本件3施設の件数は公表されていない。ホテルサンルート浅草は同ホテルにおける顧客情報の流出は確認されていないとしている。フィッシングサイトでの入力によりクレジットカード情報が狙われる。別件としてBooking.comは2026年4月13日、氏名・メールアドレス・電話番号・予約詳細等が流出した可能性を認めたが、クレジットカード番号は含まれないとしている（報道）。
- 波及先
- 100 施設（同一手口で被害を公表した国内宿泊施設、100以上）
- 東武ホテル
- ホテルグレイスリー
- ホテル京阪浅草
- 阪急ホテルズ
- 帝国ホテル
- ホテルニューオータニ大阪
- 京王プラザホテル
- 金銭影響
- 一部のホテルは、顧客がカード情報を盗まれて金銭的損害を受けたと述べた（報道）。Booking.com Japanは金銭的被害についてコメントを控えた。
- サプライチェーン
- Booking.comの予約・チャット基盤を経由してホテルの顧客へフィッシングメッセージが届く構図。Booking.com Japanは予備調査でバックエンドへの直接ハッキングの証拠は見つかっていないとしている。
時系列
- 2023-06同一手口の攻撃が国内で続き始めたとされる（以降、100以上の国内宿泊施設が被害を公表）。1
- 2026-04-13Booking.com本体が第三者による不正アクセスを受け、予約情報が漏洩した可能性を公式に認めたと報じられた（カード番号は含まれないとしている）。1
- 2026-05-09Booking.com Japanが正式な注意喚起を出した。5
- 2026-05ゴールデンウィーク中に詐欺の波が加速し始めた。5
- 2026-05-21ホテルサンルート浅草、京都センチュリーホテル、ホテルグランバッハ京都セレクトの3施設が、Booking.com経由予約客へのフィッシングサイト誘導メッセージ配信について注意喚起を発表した。1
- 2026-05-21相鉄ホテルマネジメントがホテルサンルート浅草の予約客への不審メッセージについて注意喚起を発表した。2
- 2026-05-21グリーンホスピタリティーマネジメントがホテルグランバッハ京都セレクトの予約客へのフィッシングサイト誘導メッセージについて注意喚起を発表した。3
- 2026-05-25セキュリティ対策Labが3施設の公表を、5月上旬に報じた東武ホテル等と同一キャンペーンの継続・拡大とみて報じた。1
- 2026-06-02
技術解説
3施設の公表内容 事実
2026年5月21日、ホテルサンルート浅草、京都センチュリーホテル、ホテルグランバッハ京都セレクトの3施設が、Booking.com経由で予約した一部の顧客にクレジットカード情報の入力を求めるフィッシングサイトへ誘導するメッセージが配信された事象を公式に発表したと報じられた。3施設とも、WhatsApp等のメッセージアプリや公式チャット機能を悪用し、ホテル側を装ったメッセージが送られていることが確認されているという。相鉄ホテルマネジメントはURLにアクセスせずカード情報を入力しないよう呼びかけ、ホテルサンルート浅草について現時点で同ホテルにおける顧客情報の流出は確認されていないとした。グリーンホスピタリティーマネジメントも同日に注意喚起を発表した。
報じられた攻撃の流れ（過去事例に基づく） 事実
報道は、過去の類似事例（阪急ホテルズなど）の調査で明らかになった流れとして次の手順を挙げている。攻撃者がホテルスタッフの端末へフィッシングメールを送り、インフォスティーラー（主にVidar、RedLine Stealer）に感染させる。端末に保存されたBooking.comエクストラネットのログインID・パスワードが窃取され、攻撃者がホテルになりすまして管理画面にログインする。管理画面で予約済み顧客リストを見て、公式チャット等から「クレジットカードの再確認が必要」などのメッセージとフィッシングサイトのURLを送る。これは過去事例に基づく説明であり、本件3施設の侵入経路は公表されていない。
報じられた規模と公表されていない数字 事実
報道によれば、2023年6月以降続く同一手口の攻撃で、100以上の国内宿泊施設が被害を公表している。Kyodo Newsの集計でも100以上のホテルが被害に遭ったとされ、同じ記事は、ある時点で少なくとも21都道府県の118事業者が対象になったとも伝える（この記事の日付は2024-04-13とされており、集計時点の年は要確認）。一方、本件3施設の被害件数は公表されておらず、カード情報の流出が確定した件数も不明である。一部のホテルは顧客が金銭的損害を受けたと述べたが、Booking.com Japanは金銭的被害へのコメントを控えた。観光庁がBooking.com Japanに全面的な調査を指示したと報じられている。
被害が広がりやすい構図（解釈） 解釈
本件は、ホテル側の端末から盗まれた管理画面の認証情報が、予約客との正規の連絡経路に使われる構図とみられる。顧客から見ればBooking.comの公式チャットやホテル名を名乗る連絡は信頼しやすく、見分けが難しい。報道は3施設の公表を5月上旬の東武ホテル等と同一キャンペーンの継続・拡大とみており、個々のホテルの対策だけでは止めにくい可能性がある。ただしBooking.com Japanは予備調査でバックエンドへの直接ハッキングの証拠は見つかっていないとしており、プラットフォーム側と施設側のどちらにどの程度の要因があるかは、公表情報からは断定できない。以上は事実から導いた解釈であり、確認された因果ではない。
公表の評価（解釈） 解釈
3施設の運営会社は、被害の全容確認を待たず、受け取った顧客がとるべき行動（URLを開かない、カード情報を入力しない、問い合わせはBooking.comへ）を明示しており、顧客保護の観点では早い周知といえる。一方、公表は注意喚起が中心で、侵入経路、影響を受けた顧客数、管理画面の認証情報の扱いなど、原因側の情報は示されていない。ホテルサンルート浅草が自館の流出は未確認としている点は、調査の途中段階の表明と読める。この評価は報道経由の内容に限られ、公式発表の原文そのものは確認していない。
対応
- 封じ込め
- 各施設はURLにアクセスせずクレジットカード情報等を入力しないよう呼びかけた。ホテルやBooking.comがメール・チャット・WhatsApp等でカード情報の入力を求めることはないと案内し、Booking.com経由の予約の問い合わせはBooking.comカスタマーサポートへ誘導した。Booking.com Japanは予備調査でバックエンドへの直接ハッキングの証拠は見つかっていないとしている。
- 公表の仕方
- 2026年5月21日に3施設（相鉄ホテルマネジメント、グリーンホスピタリティーマネジメントなど）が注意喚起を発表。Booking.com Japanは5月9日に正式な注意喚起を出した。
- 当局対応
- 観光庁がBooking.com Japan KKに全面的な調査を指示したと報じられた（Kyodo News）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 予約プラットフォームの管理画面は、顧客へ直接連絡できる強い権限を持つ入口になる。 | エクストラネット等の管理アカウントは担当者ごとに分け、可能な多要素認証を有効にする。ログイン履歴と新規端末ログインの通知を定期的に確認し、不審なログインを検知したら即座にパスワードを変更する。 |
| 報じられた手口では、スタッフ端末がインフォスティーラーに感染し、保存済みの認証情報が盗まれている。 | ブラウザへのパスワード保存を禁止または管理ツールに移行し、EDRで感染端末を検知する。予約業務用の端末は一般メール閲覧と分け、添付ファイルやリンクの実行を制限する。 |
| 顧客はホテルや公式チャットを名乗る連絡を見分けにくい。 | 予約確認メールや自社サイトに「カード情報をチャット・WhatsAppで尋ねることはない」と明記する。不審メッセージの通報窓口を公開し、受信時の対応手順を顧客向けに掲載する。 |
| 個別施設の被害公表だけでは、同一キャンペーンの全体像と顧客への影響範囲がつかみにくい。 | 自社の対象サービスに関する不審連絡の報告を一元管理し、件数・時期・経路を記録する。業界団体や共通の窓口と情報共有し、発生時に顧客へ告知できる文面を事前に用意する。 |
| 初動の注意喚起では「確認されたこと」と「未確認のこと」を分けて伝える必要がある。 | 公表文に、確認済みの事実、未確認の事項、顧客がとるべき行動を別項目で記載する。続報の予定時期も併記し、更新のたびに日付を付ける。 |
自組織などでの確認項目
- 自組織で予約・受注管理などの外部サービスの管理画面を使っている場合、多要素認証は全アカウントで有効になっているか。退職者や共用のアカウントは残っていないか。
- 業務端末のブラウザにパスワードが保存されていないか。端末がインフォスティーラーに感染した場合、それを検知できる仕組み（EDRやログ監視）はあるか。
- 顧客や取引先を装った不審な連絡が自社名で届いたとき、顧客に注意喚起を出すまでの担当者と手順は決まっているか。公式の連絡手段とそうでないものを顧客に周知しているか。
未解明点
- 本件3施設それぞれで、スタッフ端末の感染や管理画面への不正ログインが確認されたのか。侵入経路と侵入日は公表されていない。
- 本件3施設の予約客のうち、実際にメッセージを受け取った人数と、カード情報を入力して被害に遭った人数はどれくらいか。
- 観光庁が指示した調査の結果と、Booking.comの再発防止策はどうなるのか。
- 引用した報道の一つ（Bangkok Post、日付は2024-04-13）の集計数字が、どの時点のものなのか。年の確認が必要である。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-25報道本文確認済
- 2ScanNetSecurity2026-06-02報道本文確認済
- 3ScanNetSecurity2026-06-02報道本文確認済
- 4Bangkok Post (Kyodo News)2024-04-13報道本文確認済
- 5The Standard (Hong Kong)2026-06-02報道本文確認済