株式会社グリーンズは2026年2月4日、同社が運営する「コンフォートホテル東京東日本橋」において、Booking.com経由で予約した一部顧客に対し、第三者がフィッシングサイトへ誘導するメッセージを配信したと発表しました。調査の結果、Booking.comが提供する予約情報管理システムのアカウントが不正アクセスを受け、予約者情報が漏えいした可能性があるとしています。
関連：2025年に発生したホテル業や宿泊業へのサイバー攻撃や不正アクセスの事例と対策
目次
WhatsAppを使ったフィッシング詐欺目的のメッセージが判明
同社によると、2026年1月21日、Booking.comを通じて同ホテルに予約した一部の顧客に対し、SNS「WhatsApp」を利用したフィッシング詐欺目的のメッセージが送信されていることが判明しました。
判明後、同社はBooking.comの予約情報管理システム（管理画面）のパスワードを直ちに変更し、同日中に該当するとみられる顧客へBooking.comのメッセージ機能を通じて注意喚起を送付。あわせて自社ホームページ上でも注意喚起を公開しました。その後、同社とBooking.comの双方で不正アクセス状況などの調査を進めたとしています。
管理画面アカウントが不正アクセスを受けた可能性
調査の結果、同ホテルが使用するBooking.comの管理画面アカウントが、2026年1月19日21時15分頃（日本時間）に外部の第三者により不正アクセスを受けたことが原因と説明しています。
漏えいの可能性がある対象：2026年1月19日までに予約した顧客
漏えいの可能性がある対象は、Booking.comを通じて2026年1月19日までに同ホテルを予約した顧客で、同社は「宿泊対象期間が2026年1月19日〜2026年12月13日の予約」を含むとしています。
漏えいの可能性がある情報：氏名・電話番号・国名・予約情報など
漏えいの可能性がある情報として、同社は以下を挙げています。
-
氏名
-
電話番号
-
住所のうち国名
-
宿泊予約情報（予約番号、宿泊日、宿泊プランなど）
一方で、クレジットカード番号など決済に必要な情報は含まれていないとしています。
二次被害：フィッシングサイトでカード決済したとの報告も
同社は二次被害について、一部の顧客がメッセージに記載されたフィッシングサイトにアクセスし、クレジットカードで支払いを行ったとの報告を受けていると明らかにしました。
ホテル側の連絡を装った誘導により、顧客側で支払い操作をしてしまった可能性が示唆されます。
関連記事
Booking.comを装ったフィッシング攻撃とソーシャルエンジニアリングで認証情報窃取マルウェアを配布
Booking.comに偽装した「ClickFix」によるサイバー攻撃、ホテル/宿泊 業界を標的に
Booking.comを装うフィッシングサイトのURLに「ん」-ClickFIXも確認
新横浜グレイスホテル、Booking.com経由の不正アクセスでフィッシング メッセージ送付 個人情報が第三者に閲覧された可能性も
シルバーアクセサリーの銀時、不正アクセスで1.7万件の個人情報漏洩
2025年版 ホテル・宿泊業を襲う不正アクセスやサイバー攻撃や個人情報漏洩の事例と対策
小田急リゾーツ「山のホテル」、Booking.comへの不正アクセスで個人情報の第三者閲覧可能性-フィッシング誘導メッセージ送信も
TOKAIコミュニケーションズ、OneOffice Mail Solutionへの不正アクセス-最大約8万件のメールアドレスなど漏洩
ユニバーサル ミュージックのECサイト ユニバーサルミュージックストアへ不正アクセス 個人情報漏洩の恐れ-セキュリティ研究者も漏洩を指摘
