Booking.com予約情報悪用フィッシングが国内100施設超で継続、帝国ホテルなどが宿泊客に注意喚起

「Booking.comのフィッシングって、なぜ予約情報まで正確なんでしゅか？」
「うちは旅行業じゃないのに関係あるんでしゅか？」

チップス

ボス、帝国ホテルが「予約客にフィッシングメールが届く事案がある」って注意喚起したそうなんでしゅ。Booking.com自体は破られてないって聞いたんでしゅけど、何が起きてるんでしゅか？

ボス

ふふふ、攻撃者は中間にあるホテルの管理アカウントを狙っている。Booking.com本体ではなく、宿泊施設端末がマルウェア感染し、そこから予約者へフィッシングを送る構図だ。

2026年6月1日時点で、Booking.com予約情報を悪用した宿泊客向けフィッシングが国内100施設以上で確認されています。
帝国ホテルをはじめとする宿泊施設が公式連絡先以外からの問い合わせに警戒するよう注意喚起を出しており、ホテル管理端末のマルウェア感染を起点とした攻撃チェーンが見えてきました。
本記事では攻撃の流れと、宿泊施設・利用者双方が取るべき対策を整理します。

記事を読み終える頃には、宿泊施設としての対策と、利用者を守る注意喚起の出し方が具体化します。

事件の概要と被害規模

まず、いま国内で何が起きているのかを順に確認していきましょう。

100施設超で被害、攻撃は2023年から継続

本攻撃の発覚は2023年6月にさかのぼり、Booking.com予約客に対するフィッシング詐欺の被害が国内で相次いで報告されています。
2026年4月にBooking.comが顧客情報アクセス可能性を再度公表して以降、被害公表が増え、帝国ホテルやアパートメントホテルMIMARU、ザ・グランドホテル ギノワンなど多数の施設が公式サイトで注意喚起を出しました。
主な被害形態を整理すると、次のとおりです。

チップス

予約番号も金額も合ってるからつい信じちゃうやつでしゅ。これ、利用者は何を見れば見抜けるんでしゅか？

ボス

連絡経路に着目しろ。Booking.comの正規メッセージは予約サイト内にも残る。メール内のURLだけで再決済を求められたら、まず公式アプリから状況を確認するのが鉄則だな。

原因と教訓

次に、攻撃が成立してしまう構造的な原因と、宿泊施設側に求められる対策を見ていきましょう。

ホテル端末感染から始まる攻撃チェーン

攻撃の起点は、攻撃者自身が宿泊客を装ってホテルへ問い合わせメールを送り、Google DriveやDropboxなど正規サービス上のリンクからマルウェアを展開する手口です。
展開されるのはVidarやStealC、Lummaといった情報窃取マルウェアで、Booking.com管理画面の資格情報を奪われた後、本物の予約客に対して正規メッセージ機能経由でフィッシングが行われます。
典型的な攻撃フローは次のとおりです。

宿泊施設・利用者が取るべき対策

被害を断ち切るには、宿泊施設側の管理アカウント保護と、利用者側の連絡経路チェックが両輪です。
特にBooking.com管理画面の多要素認証は導入の遅れが指摘されており、未設定の施設は即時設定すべき項目です。
優先度の高い対策をまとめます。

チップス

うちの実家のホテルも危ないかもでしゅ。フロントは添付付きメールに慣れすぎてるんでしゅよね…。

ボス

フロント業務はホスピタリティが武器だが、それを逆手に取られている。教育とEDR、両方を回す前提で運用設計を見直してくれ。

まとめ

Booking.comの予約情報を悪用したフィッシングは、ホテル端末感染を起点に予約者を巧妙に騙す継続的な攻撃です。
宿泊施設は管理画面の多要素認証とEDR導入、利用者向け案内の整備を急ぎ、利用者側もメールURLだけで支払い対応をしないという原則を徹底することが大切です。
「公式以外の連絡は疑う」という運用を、宿泊業界全体で標準化していきましょう。

フィッシング対策やEDR運用の整備には、現場で実装経験のあるフリーランス人材の活用も選択肢です。
詳細は マキナレコードCodebookの解説 と livedoorニュースの報道 もご確認ください。