セキュリティ情報漏洩のニュースサイトセキュリティ対策Labの運営とBtoB マーケティングコンサル支援|合同会社ロケットボーイズ

オークラアクトシティホテル浜松は2026年8月31日付のお知らせで、宿泊予約サイト「Booking.com」を通じて同ホテルを予約した一部の利用者に対し、ホテルをかたって予約確認や支払いを求める不審なメールが送信されている事象を確認したと公表しました。 ホテルはBooking.comへ状況確認と調査を依頼し、自社のBooking.com予約アカウントについては不正利用された形跡がないことを確認したとしています。 一方、不審メールが送信された原因については引き続きBooking.comへ調査を依頼しており、ホテル側は管理システムのログインパスワードを変更するなどの措置を実施しました。 現時点で、ホテルは予約情報や個人情報が漏えいしたとは公表していません。Booking.com予約者に不審メールが届いた経緯や、送信者がどのように予約情報を把握したのかも明らかになっていません。 オークラアクトシティホテル浜松の不審メール事案のサマリー 【確認済み】オークラアクトシティホテル浜松は、Booking.com経由で予約した一部利用者への不審メール送信を確認しました。 【確認済み】不審メールはホテルをかたり、予約確認や支払いを求める内容です。 【確認済み】ホテルはBooking.comへ状況確認と調査を依頼しました。 【確認済み】ホテル側のBooking.com予約アカウントについて、不正利用された形跡は確認されていません。 【確認済み】ホテルは管理システムのログインパスワードを変更するなどの措置を実施しました。 【確認済み】利用者には、不審メールやアプリメッセージに記載されたURLへアクセスしないよう呼びかけています。 【確認済み】カード情報を入力・決済してしまった場合は、カード会社や金融機関、警察へ相談するよう案内しています。 【調査中】不審メールが送信された原因は公表時点で調査中です。 【確認できず】予約情報や個人情報が第三者へ漏えいしたとの発表はありません。 【確認できず】不審メールの送信件数や対象者数は公表されていません。 【確認できず】攻撃者や具体的な情報取得経路は公表されていません。 【確認できず】個人情報保護委員会や警察への報告・届出について、今回の発表では記載されていません。 項目 内容 公表日 2026年8月31日付 対象組織 オークラアクトシティホテル浜松 運営会社 オークラアクトシティホテルマネジメント株式会社 対象サービス Booking.comを通じた宿泊予約 確認された事象 ホテルをかたる予約確認・支払い要求の不審メール 対象者 Booking.com経由で予約した一部利用者 対象件数 公表されていません ホテルのBooking.com予約アカウント 不正利用の形跡なし 個人情報漏えい 公表されていません 原因 Booking.comへ調査依頼中 ホテル側の対応 管理システムのログインパスワード変更など 利用者への注意 不審なURLへアクセスしない カード情報を入力した場合 カード会社・金融機関・警察へ相談 個人情報保護委員会への報告 公表資料では確認できませんでした Booking.com予約者の一部にホテルをかたる不審メール オークラアクトシティホテル浜松によると、Booking.comを通じて宿泊予約した一部の利用者に対し、同ホテルをかたる不審なメールが送信されていることを確認しました。 メールでは予約の確認や支払いを求める内容が記載されているとしています。 ホテルは利用者に対し、不審なメールやアプリメッセージを受信した場合、本文に記載されたURLなどへ絶対にアクセスしないよう注意を呼びかけています。 また、すでにリンク先でクレジットカード情報を入力したり、決済を行ったりした場合には、速やかにカード会社や金融機関、最寄りの警察署へ相談するよう案内しています。 ホテルのBooking.com予約アカウントに不正利用の形跡なし 今回の事案で重要なのは、ホテル側のBooking.com予約アカウントが侵害されたと確認されたわけではない点です。 オークラアクトシティホテル浜松はBooking.comへ状況確認と調査を依頼し、「当ホテルでは予約アカウントが不正利用された形跡はない」と説明しています。 そのため、現時点で「ホテルのBooking.com管理アカウントが不正アクセスを受けた」「ホテルから予約者情報が流出した」と断定することはできません。 不審メールの送信者が、どのような経路で対象者が同ホテルを予約していることを把握したのかも明らかになっていません。 個人情報漏えいは公表されず、原因は調査中 ホテルの発表では、予約者の氏名、メールアドレス、電話番号、宿泊日程などの個人情報が漏えいしたとの記載はありません。 また、Booking.com側のシステムや別の予約管理システム、宿泊者側のアカウントなど、どこから情報が取得された可能性があるのかについても説明されていません。 ホテルは不審メールの原因について、引き続きBooking.comへ調査を依頼しているとしています。 したがって、現段階で確認できるのは「Booking.com経由で予約した一部利用者に、ホテルをかたる不審メールが届いた」という事象までです。 送信者が実際の予約情報を利用していたのか、情報漏えいを伴うのか、Booking.comのシステムと直接関係するのかについては、今後の調査結果を待つ必要があります。 管理システムのログインパスワードを変更 オークラアクトシティホテル浜松は、Booking.comへ調査を依頼するとともに、ホテル側でも管理システムのログインパスワードを変更するなど、必要な措置を講じたとしています。 ただし、どの管理システムのパスワードを変更したのか、多要素認証やセッション失効など追加措置を実施したのかについては公表されていません。 また、パスワード変更は不正アクセスが確認されたことを意味するものではありません。 今回の発表では、ホテルのBooking.com予約アカウントについて不正利用の形跡はないとしています。 Booking.comを装うフィッシングは国内ホテルでも相次ぐ Booking.comを通じた宿泊予約者を狙い、ホテルや予約サイトを装って支払い・カード情報の入力を求めるフィッシングは、2026年に国内ホテルでも相次いで公表されています。 セキュリティ対策Labでは、東武ホテル、ホテルグレイスリー、ホテル京阪浅草などがBooking.com経由の予約者に対する不審メッセージを公表した事例を取り上げています。 関連記事：東武ホテル・ホテルグレイスリー・ホテル京阪浅草がBooking.com経由のフィッシング詐欺メッセージを相次ぎ公表 また、日本ホテル協会もBooking.com経由の予約者を狙うフィッシングについて複数回注意喚起を行っています。 関連記事：日本ホテル協会がBooking.comフィッシングで4度目の注意喚起 ただし、これら過去の事案と今回のオークラアクトシティホテル浜松の事象が同一の攻撃者や同じ侵入経路によるものかは確認されていません。 類似した手口が存在することと、個々のインシデントの原因を同一視しないことが重要です。 予約確認を装うメールは「実際の予約」と一致していても注意 宿泊予約を狙ったフィッシングでは、受信者が実際に旅行を予定しているタイミングで、予約確認や支払いエラーなどを理由にカード情報の入力を求めることで信用させる手口があります。 そのため、ホテル名や宿泊予定が一致していることだけで、メールを正規のものと判断するのは危険です。 今回、オークラアクトシティホテル浜松も、メールやアプリメッセージ内のURLにはアクセスしないよう案内しています。 予約状況を確認する必要がある場合は、受信メッセージ内のリンクからではなく、Booking.comの公式アプリや公式サイトを利用者自身で開く、またはホテルの公式サイトに掲載されている連絡先へ確認する方法が安全です。 クレジットカード情報をすでに入力した場合は、カード会社へ連絡し、利用停止や再発行、不正利用の有無を確認する必要があります。 情報システム・ホテル事業者への示唆 今回の発表ではホテル側の予約アカウントへの不正利用は確認されていませんが、宿泊予約サービスを悪用したフィッシングは、ホテル事業者にとって継続的なリスクになっています。 ホテル側では、OTAの管理画面アカウントについて、パスワード使い回しの禁止、多要素認証、ログイン元の監視、不要アカウントの削除、退職者・委託先アカウントの即時無効化などを継続する必要があります。 また、不審メッセージが確認された際には、予約管理アカウントのログだけでなく、PMS、サイトコントローラー、メール、外部予約管理サービスなど、予約情報へアクセスできる周辺システムも含めて確認することが重要です。 利用者への注意喚起では、「ホテルやBooking.comがメールでカード情報の再入力を求めることがあるか」など、正規の決済フローを明確に示すことで、フィッシングを判断しやすくできます。 今回の事案では原因がまだ判明していません。 今後、Booking.com側の調査によって、情報取得経路、対象範囲、個人情報への影響が明らかになるかが確認ポイントです。 出典 「Booking.com」を通じたご予約に関する当ホテルをかたる不審なメールの送信事象について - オークラアクトシティホテル浜松 会社概要 - オークラアクトシティホテル浜松 東武ホテル・ホテルグレイスリー・ホテル京阪浅草がBooking.com経由のフィッシング詐欺メッセージを相次ぎ公表 - セキュリティ対策Lab 日本ホテル協会がBooking.comフィッシングで4度目の注意喚起 - セキュリティ対策Lab

ブログ