Booking.comの宿泊予約者へのフィッシングメッセージ
日本ホテル協会の2026年6月12日の注意喚起によると、Booking.comを通じてホテルを予約した客に、ホテルを装ったフィッシングメッセージがWhatsAppなどで届く事例が多発している［6］。協会は、ホテル側の管理システムに異常や情報漏洩の形跡は認められていないとした［6］。観光庁長官は6月17日の会見で、Booking.com側でも原因は直ちに解明されておらず、調査をしていると承知していると述べた［12］。
経緯
Booking.comの日本語の告知では、サイバー犯罪者がWhatsAppを利用したフィッシング詐欺の試みが最近確認されている〔注1〕［1］。旅行者が心当たりのない不審なメッセージやメール、電話を受け取った場合、それらは宿泊施設やBooking.comを装った悪意のある人物からのものかもしれない［1］。
日本ホテル協会は、事例が「今年のゴールデンウイーク頃から」多発しているとした［6］。メッセージは実際の予約番号や宿泊日程を示しつつ、クレジットカード情報が確認できないため手続きをしなければ予約がキャンセルされるとして、リンク先のフィッシングサイトに誘導する［6］。
| 組織 | 受け取った客 | 経路 | 内容 | 資料 |
|---|---|---|---|---|
| 藤田観光 | - | WhatsAppなどのメッセージアプリ | 同社グループ施設やBooking.comを装い、フィッシングサイトへ誘導するおそれのある不正なURLリンクを含む | ［7］ |
| 帝国ホテル（東京、大阪、京都、上高地） | Booking.com、Agodaを通じて予約した一部の客 | メール、WhatsAppなどのメッセージアプリ | 予約の確認を装ってクレジットカード情報の入力を求めるなど、フィッシングサイトへ誘導するおそれのある不正なURLリンクを含む | ［2、3、4、5］ |
| ホテルニューオータニ大阪 | Booking.comを通じて予約した一部の客 | WhatsAppなどのメッセージアプリ | 同ホテルを装い、「予約を確定するために手続きが必要」「確認のためリンク先のURLをクリックしてください」といった内容を含む | ［8］ |
| オークラ東京 | Booking.com経由で予約した一部の客 | WhatsAppなどのメッセージアプリ | 「予約情報の一部が不足している」「24時間以内に情報を更新しない場合、予約が自動的にキャンセルされる」などと不安をあおり、フィッシングサイトへ誘導する | ［10］ |
説明の食い違い
J-CASTニュースの5月26日の記事によると、日本法人のブッキング・ドットコム・ジャパンの広報部長は5月22日の取材に「Booking.comからは一切、予約情報は流出していない」と述べた［13］。部長は「弊社のバックシステムへの犯罪者のアクセスの形跡は一切ない」とし、提携ホテルの管理画面のパスワード管理や安全対策はホテル側の担当範囲だと説明した［13］。5月からの国内の事態は「4月の動きとはパターンが違う」とも述べた［13］。
オークラ東京の告知では、同ホテルのシステムから客の情報が流出・漏えいした事実は確認されていない［10］。J-CASTニュースの同じ記事は、ホテルオークラ神戸が「当ホテルでは予約アカウントが不正利用された形跡はない」としたと報じた［13］。
ポラリス・ホールディングスは開示文書で、同社グループの一部のホテルで宿泊予約者へのフィッシングメッセージの送信を確認したと説明した［9］。これらはBooking.comの管理画面への不正アクセスで取得された情報が悪用された可能性があり、調査を進めている［9］。一部の事象では、外部予約管理システムを経由した情報漏えいの可能性も確認の対象に含めた［9］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Booking.com | 一部の予約のPINを強制的に変更し、客とホテルに通知した | ［13］ |
| 2026年 | 藤田観光 | グループ施設やBooking.comを装った不審なメッセージへの注意を告知した | ［7］ |
| 2026年 | 帝国ホテル、ホテルニューオータニ大阪 | 注意を求めるお知らせを公式サイトに掲載した | ［14］ |
| 2026年 | ポラリス・ホールディングス | Booking.comのグループアカウントの異常を検知し、調査を始めた | ［9］ |
| 2026年 | ポラリス・ホールディングス | Booking.comアカウントへの不正アクセスを開示した | ［9］ |
| 2026年 | オークラ東京 | Booking.com経由で予約した客への注意喚起を掲載した | ［10］ |
| 2026年 | Booking.com | 日本語のニュースルームに不審なメッセージへの注意を求める告知を掲載した | ［1］ |
| 2026年 | 観光庁 | Booking.comや関係ホテル、業界団体への事実確認の調査を始めたことを取材に明らかにした | ［15］ |
| 2026年 | 日本ホテル協会 | Booking.comを通じて予約した客への注意喚起を出した | ［6］ |
| 2026年 | 観光庁 | ホームページで注意を呼びかけ、長官が会見でBooking.comへの要請を説明した | ［11、12］ |
影響範囲
| 記事の日付 | 報じた内容 | 資料 |
|---|---|---|
| 2026年5月26日 | ホテル法華クラブグループ、東急ステイ、ホテルオークラ神戸、相鉄ホテルズ、ホテルモントレも公式サイトで注意を呼びかけた | ［13］ |
| 2026年6月1日 | 帝国ホテルは、実際にカード情報を盗まれたとの報告はないとした | ［14］ |
| 2026年6月10日 | 同紙の調べでは、ゴールデンウイーク頃から6月上旬までに少なくとも40以上のホテルグループ・個別ホテルが注意喚起を掲載した | ［15］ |
| 2026年6月15日 | NHKは6月12日に、不審なメッセージの事例が「90件ほど報告されたホテルもある」と伝えた | ［16］ |
運営会社の口座情報の改ざん
ポラリス・ホールディングスの開示文書では、第三者の不正アクセスで、同社グループの複数のホテルの売上金受領口座情報が第三者口座に改ざんされた［9］。1ホテルでは売掛金の一部が不正な口座に振り込まれ、約9百万円の損失が発生している［9］。ほかの複数のホテルでは、早期の対応で不正送金を防いだ［9］。顧客のクレジットカード情報の漏えいは確認されていない［9］。
対応と現状
Booking.comは告知で、メール、電話、テキストメッセージ、WhatsAppを通じてクレジットカード情報の提供を求めることは決してないと説明した［1］。予約確認書に記載された支払いポリシーと異なる銀行振込を依頼することも決してない［1］。旅行者には、リンクをクリックする前に十分に注意し、端末にウイルス対策ソフトなどのセキュリティ対策を設定するよう求めた［1］。不審なメッセージを受け取ったら、リンクをクリックしたり個人情報を提供したりせず、予約確認メールに連絡先のある24時間365日対応のカスタマーサービスチームに連絡するよう勧めた［1］。
藤田観光の告知では、同社グループ施設とBooking.comからWhatsAppなどで予約内容やクレジットカード情報に関する連絡を直接送ることは一切ない［7］。帝国ホテルは、疑わしいメールやメッセージに記載されたURLにアクセスしないよう求めた［2、3、4、5］。ホテルニューオータニ大阪はBooking.comのサポートチームと連携し、事実関係と原因の調査を行っている［8］。オークラ東京はBooking.comへ調査を依頼した［10］。
ポラリス・ホールディングスは、全ホテルでBooking.comと関連システムのアカウントのパスワードを変更し、Booking.comへのアクセスログの開示要請と調査を実施した［9］。関係機関に相談し、Booking.comの運営会社と今後の対応を協議している［9］。
日本ホテル協会の注意喚起では、各ホテルと協会がBooking.com側に、速やかな原因調査と結果の開示及び対策の実施を求めている［6］。協会は、具体的な原因や影響範囲等に関する十分な説明が確認できていないとし、関係機関に報告して対応を要請した［6］。
会見での説明
観光庁はホームページで、旅行予約サイトでホテルを予約した人に、ホテルや予約サイトを装う者から不審なメッセージが送信される事象が生じているとして注意を呼びかけた［11］。メッセージは予約確認を装ってクレジットカード情報の入力を求めるなど、フィッシングサイトへ誘導するおそれがある［11］。長官は6月17日の会見で、「主にブッキング・ドットコム社の事案が多い」として、同社に原因の究明や旅行者への注意喚起の徹底、宿泊施設や旅行者への速やかな対応等を求めていると述べた［12］。関係者に対しても、詳細の事実確認を行っている［12］。
未公表の事項
注
出典
当事者
- ［1］Booking.com B.V.『重要なお知らせ：ホテルの管理者、カスタマーサポート担当者、またはオンライントラベルエージェンシーのスタッフを装った不審なメッセージにご注意ください』（2026年6月5日公開、2026年6月11日更新）
関係組織
- ［2］株式会社帝国ホテル『ホテルやオンライントラベルエージェントを装った不審なメール・メッセージにご注意ください』（公開日不明、2026年11月4日閲覧）
- ［3］株式会社帝国ホテル『ホテルやオンライントラベルエージェントを装った不審なメール・メッセージにご注意ください』（公開日不明、2026年11月4日閲覧）
- ［4］株式会社帝国ホテル『ホテルやオンライントラベルエージェントを装った不審なメール・メッセージにご注意ください』（公開日不明、2026年11月4日閲覧）
- ［5］株式会社帝国ホテル『ホテルやオンライントラベルエージェントを装った不審なメール・メッセージにご注意ください』（公開日不明、2026年11月4日閲覧）
- ［6］一般社団法人日本ホテル協会『【注意喚起】Booking.com を通じてホテルを予約されたお客様へ フィッシングメッセージにご注意ください』（2026年6月12日公開、PDF）
- ［7］藤田観光株式会社『【重要なお知らせ】ホテルやオンライントラベルエージェントを装った不審なメール・メッセージにご注意ください』（2026年5月8日公開）
- ［8］株式会社ニュー・オータニ『当ホテルを装った不審なメッセージ（WhatsApp等）に関する注意喚起』（公開日不明、2026年11月4日閲覧）
- ［9］ポラリス・ホールディングス株式会社『不正アクセス（Booking.com アカウント）に関するお知らせ』（2026年5月28日公開、PDF）
- ［10］株式会社ホテルオークラ東京『【注意喚起】Booking.com（宿泊予約サイト）経由でご予約のお客様へ』（2026年6月3日公開）
公的機関
- ［11］観光庁『フィッシングサイトへ誘導する不審メッセージに関する注意喚起』（2026年6月17日公開）
- ［12］観光庁『6月長官会見要旨』（2026年6月17日公開、2026年6月23日更新）
報道機関
- ［13］株式会社ジェイ・キャスト『Booking.com経由の予約情報流出、日本法人は自社からの流出を全面否定...ではどこから？ ホテルオークラ神戸など関連ホテルはさらに拡大』（2026年5月26日公開）
- ［14］株式会社ジェイ・キャスト『Booking.com経由の予約情報流出問題、「日本の旅行者を標的」か 帝国ホテルなど注意喚起の呼びかけ、各地に広がる』（2026年6月1日公開）
- ［15］株式会社ジェイ・キャスト『観光庁が宿泊予約客への詐欺メッセージ問題で調査 「原因等の事実関係確認を求めている」』（2026年6月10日公開）
- ［16］株式会社ジェイ・キャスト『日本ホテル協会がBooking.com経由の予約客に注意喚起 「カード情報をだましとろうとする不審なメッセージ」』（2026年6月15日公開）
更新記録
- 2026年6月6日：公開した。
- 2026年6月10日：J-CASTニュースの6月10日の記事（出典15）を加え、観光庁の事実確認の調査を「時系列」に、注意喚起を掲載したホテルの数を「影響範囲」に加えた。
- 2026年6月11日：Booking.comの告知（出典1）の6月11日の更新を出典の注記に加えた。
- 2026年6月12日：日本ホテル協会の6月12日の注意喚起（出典6）を加え、リードと「経緯」「対応と現状」「未公表の事項」を改めた。
- 2026年6月15日：J-CASTニュースの6月15日の記事（出典16）を加え、「影響範囲」を改めた。
- 2026年6月17日：観光庁の注意喚起と6月の長官会見要旨（出典11、12）を加え、リードと「時系列」「対応と現状」を改めた。
- 2026年6月23日：観光庁の長官会見要旨（出典12）の6月23日の更新を出典の注記に加えた。