東武ホテル・ホテルグレイスリー・ホテル京阪浅草がBooking.com経由のフィッシング詐欺メッセージを相次ぎ公表-Booking.com 本体も2026年4月に不正アクセスを認定【2026年5月】|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年05月14日更新日時: 2026年05月14日

2026年5月7日〜12日にかけて、複数の日本の大手ホテルグループが「Booking.comを経由したフィッシングサイト誘導メッセージが顧客に送信されている」と相次いで発表しました。

発表したのは株式会社東武ホテルマネジメント（5月7日）、WHGホテルズ株式会社（ホテルグレイスリー・ワシントンホテル等、5月11日）、ホテル京阪浅草（5月12日）の3グループです。いずれも手口は共通しており、Booking.comを通じて予約した宿泊客に対して「WhatsApp」などのメッセージアプリ経由で「予約の確認のためクレジットカード情報の入力が必要」と偽ったフィッシングサイトへのURLリンクが送られています。

なお、Booking.com本体も2026年4月13日に第三者による不正アクセスで顧客の予約情報が漏洩した可能性があると公式に認めており、本件はその延長線上の被害波及として位置づけられます。

1 この記事のサマリー
2 各グループの発表詳細
3 2026年4月にBooking.com 本体で不正アクセス
4 Booking.com経由で宿泊予約をした方への推奨対応
5 参考情報

この記事のサマリー

東武ホテルマネジメント（5月7日）：Booking.comを通じて予約した顧客に対し、WhatsApp等でクレジットカード情報入力を求める不審メッセージが送信されていることを確認。
WHGホテルズ・ホテルグレイスリー（5月11日）：ホテルやBooking.comを装った不審なメッセージが送信されている事象を確認。WhatsApp等を介してフィッシングサイトへ誘導するURLリンクを含む。
ホテル京阪浅草（5月12日）：不正アクセスによりフィッシングサイトへ誘導するメッセージが配信されたことを公表。
Booking.com本体も2026年4月13日に不正アクセスを認定。流出した可能性があるのは氏名・メールアドレス・電話番号・予約詳細等（クレジットカード番号は含まれていないとしている）。
国内のホテルを狙ったBooking.com経由のフィッシング攻撃は2023年6月以降継続しており、2026年5月時点で100以上の宿泊施設が被害を公表。3グループの発表はこの継続する攻撃キャンペーンの最新事例です。

各グループの発表詳細

東武ホテルマネジメント（2026年5月7日）

発表タイトル：フィッシングサイトへの誘導に関する注意喚起

Booking.comを通じて当社運営のホテルをご予約された一部のお客さまに対し、WhatsAppなどのメッセージアプリを使用し、ご予約の確認を装ってクレジットカード情報の入力を求める不審なメッセージが送信されている事象を確認したと発表しました。

東武ホテルマネジメントは「当社からお客さまのご予約に関して、メッセージアプリを使用して直接ご連絡を差し上げることは一切ございません」と明示しています。対応策として、Booking.comをはじめとする各オンライン予約サイトにおけるパスワードの定期的な変更など必要な対策を講じていくとしています。

同社が運営する主な施設は、コートヤード・マリオット銀座東武ホテル・ACホテル・バイ・マリオット東京銀座・品川東武ホテル・浅草東武ホテル・東武ホテルレバント東京・渋谷東武ホテル・川越東武ホテル・成田東武ホテルエアポート・宇都宮東武ホテルグランデ等です。

問い合わせ先：[email protected]（株式会社東武ホテルマネジメント広報宣伝部）

WHGホテルズ・ホテルグレイスリー（2026年5月11日）

発表タイトル：ホテルやオンライントラベルエージェントを装った不審なメール・メッセージにご注意ください

WHGホテルズ（ホテルグレイスリー・ワシントンホテル等を運営）が全ブランド横断での注意喚起を発表しました。弊社ホテルやBooking.comを装った不審なメッセージが送信されている事象が確認されたとして、WhatsAppなどのメッセージアプリを介して配信されており、悪質なフィッシングサイト（詐欺サイト）へ誘導するおそれのある不正なURLリンクが含まれていると説明しています。

WHGホテルズが展開するホテルグレイスリーは、銀座・田町・浅草・新宿・札幌・京都三条・大阪なんば・那覇（国内）、ソウル・台北（海外）等に展開する国際的なホテルグループです。