Booking.com予約客へのフィッシング急増 情シスの教訓

Booking.com予約客へのフィッシング急増 情シスの教訓 インシデント対応

Booking.comを通じて宿泊予約をした利用者に、実在の予約番号や宿泊日を示すフィッシングメッセージが届く被害が、2026年のゴールデンウィーク頃から急増しています。日本ホテル協会は2026年6月12日、この問題で4度目の注意喚起を発出しました。攻撃者が「本物の予約情報」を握っているため、従来の「不審なメールの見分け方」では見破りにくいのが特徴です。本記事では何が起きているのかを整理し、宿泊業に限らずプラットフォーム・委託先経由で顧客データを扱うすべての情シス担当者向けに、得るべき教訓を実務目線でまとめます。

この記事でわかること

  • Booking.com予約客を狙うフィッシングの具体的な手口
  • なぜ「実在の予約情報」を使われると見破りにくいのか
  • 漏えいの起点はどこか（2026年6月時点で判明していること／未確認のこと）
  • 自社が予約・EC・会員サービスを運営する立場で取るべき対応
  • 利用者・従業員への啓発で参照すべき公的指針

何が起きているのか

被害の構図はおおむね共通しています。Booking.com経由でホテルを予約した利用者のもとに、その宿泊施設を装ったメッセージが届き、フィッシングサイトへ誘導されてクレジットカード情報をだまし取られる、というものです。

報道や各社の公表によると、メッセージには次のような特徴があります。

  • WhatsAppなどのメッセージアプリや、予約プラットフォーム上のチャット機能を通じて届く
  • 実在する予約番号・宿泊施設名・チェックイン／アウト日を明記し、本物だと信じ込ませる
  • 「クレジットカード情報が確認できないため、24時間以内に手続きしなければ予約がキャンセルされる」と緊急性をあおる
  • リンク先は本物そっくりのフィッシングサイトで、カード情報の再入力を求める

東武ホテルや京王プラザホテル、上高地帝国ホテル、京都センチュリーホテル、小田急リゾーツの「山のホテル」など、多数の宿泊施設が公式サイトで利用者へ注意を呼びかけています。観光庁も注意喚起を行っており、業界横断の問題として扱われています。

なぜ見破りにくいのか？

答え：攻撃者が「本物の予約情報」を持っており、文面の不自然さや差出人の怪しさだけでは判断できないからです。

従来のフィッシング対策教育は「日本語が不自然」「身に覚えのない請求」「差出人アドレスが違う」といった違和感を手がかりにしてきました。ところが今回の手口は、利用者本人が実際に予約した施設名・日程・予約番号を正確に提示します。受け取った側からすれば「自分の予約に関する正規の連絡」にしか見えず、違和感を抱きにくいのです。さらに「24時間以内」という時間的プレッシャーが、冷静な確認を妨げます。

つまりこれは、漏えいした実データを起点に「文脈」を作り込んだ、精度の高い標的型フィッシングだと言えます。汎用的な啓発だけでは防ぎ切れない段階に入っているという認識が必要です。

漏えいの起点はどこにあるのか

重要なのは、各ホテルが「自社の予約管理システムに不正侵入された形跡は確認されていない」と説明している点です。日本ホテル協会も、予約情報がどこからどのように漏れたのかは判明していないとしています。攻撃者が何らかの形で実在の予約情報を入手しているのは確実ですが、2026年6月時点で漏えい経路は特定に至っておらず、調査中です。

この「経路が特定できていない」という事実こそ、情シスが正面から受け止めるべきポイントです。自社のサーバーやネットワークに直接の侵入がなくても、予約プラットフォームや管理画面（エクストラネット）の運用アカウント、あるいは委託先のどこかが侵害されれば、顧客データは外部に渡り得ます。利用者から見れば矢面に立つのは「予約した施設」であり、プラットフォーム側の事情で済む話にはなりません。

過去には、予約システムそのものへの不正アクセスで大量の個人情報が流出した事例もあります（参考：アソビュー予約システム侵害、2.7万件流出の教訓）。攻撃者にとって、予約・会員データは「文脈つきフィッシング」の燃料として価値が高いことを忘れてはいけません。

情シスはどう捉え、何をすべきか

この問題は宿泊業に固有のものではありません。顧客データを扱う予約・EC・会員サービスを運営する立場、あるいは外部プラットフォームを業務で利用する立場のどちらにも、共通の教訓があります。

1. 取引先ポータル・管理画面のアカウントを守る

宿泊事業者向けには、Booking.comのエクストラネットへの不審なログインの有無を確認し、パスワードを変更したうえで多要素認証(MFA)を有効化することが推奨されています。これは自社が利用するあらゆるSaaS・取引先ポータルにも当てはまります。窓口担当者のアカウントが1つ乗っ取られれば、そこに紐づく顧客データがまるごと攻撃者の手に渡ります。MFAの仕組みと限界については多要素認証（MFA）とは？仕組みと突破手口を解説もあわせてご確認ください。

2. 顧客への連絡方法を「正規ルート」に固定し、先回りで告知する

カード情報をメッセージアプリやチャットで求めない運用を徹底し、「当社は◯◯以外の方法で決済情報の入力をお願いすることはありません」と平時から明示しておくことが、なりすましへの最大の予防線になります。フィッシング対策協議会のガイドラインも、被害の有無にかかわらず事業者が利用者へ注意喚起を行う重要性を説いています。

3. 「自社に侵入されていない」を免責と取り違えない

委託先・プラットフォーム経由の漏えいであっても、利用者対応・説明責任は自社にのしかかります。第三者・サプライチェーン経由のリスクとして、委託先の管理状況の確認、インシデント発生時の連絡体制、利用者への告知文面の準備までを平時に整えておくべきです。境界の内外を問わず認証を検証するという考え方は、ゼロトラストとは？境界防御との違いと導入の勘所の発想とも通じます。

4. 従業員自身も「予約客」として狙われる

出張手配などで従業員がBooking.com等を使う場面では、社員も被害者になり得ます。認証情報の窃取は組織全体の侵害につながるため、過去の事例（KDDIメール不正アクセス 1422万件漏えいの恐れ）も教材に、社内啓発の題材として共有する価値があります。

対策は公的指針を起点に

自前で長大なチェックリストを作るより、まずは信頼できる公的指針を出発点にするのが効率的です。利用者・事業者の双方向けに、フィッシング対策協議会が「フィッシング対策ガイドライン」「利用者向けフィッシング詐欺対策ガイドライン」を公開しています。社内教育やユーザー向け告知の土台として活用できます。あわせてIPAの注意喚起も、不正ログイン対策の啓発に有用です。

現場目線の所感

正直なところ、今回の手口は「利用者教育で何とかする」という発想の限界を突きつけてきます。実在の予約番号を提示され、24時間以内と急かされれば、ふだん用心深い人でも手が滑ります。現場の情シスとしては、自社のシステムログに異常がないからといって安心はできません。むしろ「自分たちが直接侵入されていなくても、取引先や委託先の一点突破で顧客データが流れ、矢面に立たされる」という構図に、どこまで備えられているか。限られた人員で委託先全部を監視するのは現実的ではないからこそ、決済導線の設計や、平時からの正規連絡ルートの明示といった「仕組みで効かせる対策」に投資する意味は大きいと感じます。

まとめ

  • Booking.com予約客を狙い、実在の予約番号で信用させる文脈つきフィッシングが急増。日本ホテル協会は2026年6月12日に4度目の注意喚起を発出した。
  • 各ホテルは自社システムへの侵入の形跡はないとしており、漏えい経路は2026年6月時点で未特定。プラットフォーム・委託先経由のリスクとして捉えるべき。
  • 情シスは取引先ポータルのMFA有効化、決済導線の見直し、利用者への先回り告知を、公的指針（フィッシング対策協議会・IPA）を起点に整えたい。

出典

タイトルとURLをコピーしました