ホテル客室にPC隠しフィッシングメール約48万件送信―兵庫県警、中国籍の男を逮捕

兵庫県警は2026年10月15日、神戸市内のホテル客室にパソコンを隠し、ホテルのWi-Fiを無断利用して大量のフィッシングメールを送信した疑いで、中国籍の39歳の男を逮捕したと明らかにしました。読売新聞によると、押収されたパソコンには約240万件のメールアドレスが保存され、約48万件のフィッシングメール送信履歴が残されていたといいます。

県警は、ホテルに置かれた端末を別の人物が遠隔操作していたとみて捜査しています。中国の犯罪組織による関与も捜査対象とされていますが、具体的な指示系統や依頼・報酬関係が確定したという発表ではありません。国内では過去に中国籍の夫婦がDDoS攻撃代行業者を利用したとして逮捕された事件もあり、攻撃者が拠点設置や実行を分担する手口の危険性がうかがえます。

ホテルWi-Fiを悪用したフィッシングメール大量送信事件のサマリー

• 発表・報道日：2026年10月15日
• 捜査機関：兵庫県警
• 容疑者：神戸市在住の中国籍の男（39歳）
• 問題とされた行為：2025年5月15日、神戸市中央区のホテルに客を装って侵入し、客室にパソコンを隠してホテルのWi-Fi経由でフィッシングメールを大量送信した疑い
• メールの内容：クレジットカード会社を装い、偽サイトへ誘導してカード情報などの入力を求めるもの
• 押収端末の解析結果：約240万件のメールアドレスを保存、フィッシングメールの送信履歴は約48万件
• 運用体制：別の人物が隠された端末を遠隔操作した可能性を県警が捜査
• 関連容疑：男とその妻は、他人名義のカード情報を使い約47万円分の商品を購入したとする別の電子計算機使用詐欺容疑でも逮捕
• 捜査状況：組織的関与や余罪などを調査中。容疑者らの認否は読売新聞の報道では明らかにされていません

※「約240万件」は押収端末内に保存されていたメールアドレスの件数であり、今回新たに漏えいした人数を意味しません。また「約48万件」は送信履歴の件数であり、48万人が受信したことや、カード情報が48万件盗まれたことを示す数字ではありません。

冷蔵庫の裏に小型PCを隠し、別の人物が遠隔操作した疑い

読売新聞が伝えた兵庫県警の発表によると、容疑者は2025年5月15日、ホテルの宿泊客を装って客室に入り、パソコンを残してホテルのWi-Fiを無断使用した疑いが持たれています。関西テレビは、端末が客室の冷蔵庫の裏から発見されたと報じています。

この端末から送信されたとみられるメールは、クレジットカード会社の案内を装い、偽サイトへ誘導するものでした。受信者がカード番号や認証情報を入力すれば、詐取された情報がカードの不正利用に悪用されるおそれがあります。ただし、今回送信されたメールから実際に何人のカード情報が詐取されたかは、報道で確定値が示されていません。

また、県警は隠されたパソコンを別の人物が遠隔操作したとみています。時事通信は、容疑者らがIPアドレスなどを手掛かりに居場所を特定されないようにした可能性や、中国の犯罪組織が背後にいる可能性について捜査していると報じました。

さらに関西テレビによると、県警は容疑者らの自宅からスマートフォン74台を押収しているといいます。これらの端末が具体的にどのような役割を担っていたかは、同報道からは確定できません。

別件で約47万円のカード不正利用容疑、過去にも別のホテルを悪用か

読売新聞によると、男と妻（いずれも39歳）は、2026年1月1日に神戸市北区の商業施設で、他人のクレジットカード情報を使ってダウンジャケットなど3点、計約47万円相当を購入したとする電子計算機使用詐欺容疑でも逮捕されました。関西テレビは、他人名義のカード情報を登録したスマートフォンが用いられたと伝えています。

このカード不正利用の容疑と、ホテルから送られたフィッシングメールとの間で、同じカード情報が使われたかどうかは明らかになっていません。両事件を同一の情報窃取経路による被害と断定することはできません。

また、時事通信によると、男は2026年7～8月にも神戸市内の別のホテルにパソコンを隠してフィッシングメールを送信したなどとして、偽計業務妨害罪などで起訴されていました。捜査当局は同様の手法が繰り返された可能性を調べています。

なぜ危険なのか―宿泊施設の回線が犯罪インフラとして使われる

今回の特徴は、ホテルのWi-Fiの通信を盗聴して宿泊客から情報を抜き取ったという事件ではなく、ホテルの通信回線自体が大量の詐欺メール送信に利用されたとみられる点です。

一般に、犯行拠点と異なる施設のネットワークを使うと、外部に見える通信元がその施設のIPアドレスになる場合があります。端末を客室内に残して遠隔操作できれば、操作する人物が現場に滞在しなくても送信を続けられる可能性があります。これは本件報道の内容から読み取れる技術的なリスクであり、県警が今回の端末構成や通信経路を全て明らかにしたという意味ではありません。

宿泊施設側には、通信元IPアドレスの悪用による回線・メールサービスの制限、正規利用者への影響、通信ログの確認や捜査対応などの負担が生じ得ます。一方、宿泊客が同じWi-Fiに接続していたことだけで、カード情報を盗まれたと判断する根拠はありません。

ホテルなどの施設管理者が確認したいのは、長時間接続する不審な端末の有無、端末ごとの通信量や大量のメール送信に関連する異常、宿泊者の退室後も残る機器の有無、機器発見時のログ保全・通報手順です。通信内容を一律に監視することではなく、宿泊者のプライバシーに配慮しながら不正利用を検知できる運用が課題になります。

関連事件：中国籍の夫婦が約1万5,000円でDDoS攻撃代行を依頼した事例

攻撃者自身が高度なプログラムを作成・運用しなくても、外部に攻撃の実行を依頼できる問題は以前から確認されています。

2024年11月27日、京都府警は、京都市内のスポーツジム検索サイトにDDoS攻撃を仕掛けて閲覧不能にしたとして、中国籍の夫婦を電子計算機損壊等業務妨害容疑で逮捕しました。セキュリティ対策Labでは、「サイバー攻撃（DDoS攻撃）で業務妨害した中国籍の夫婦を逮捕」として報じています。

INTERNET Watchが伝えた大学教授の解説などによると、この事件で夫婦は攻撃代行業者に1回約1万5,000円を支払ってDDoS攻撃を依頼したとされています。技術的な知識や攻撃設備を持たない人物でも、対価を支払って他人に攻撃を実行させる形が問題となりました。

また、国内では海外の攻撃代行サービスを利用した別のDDoS事件も摘発されています。セキュリティ対策Labの「サイバー攻撃代行サービスを利用してDDoS攻撃 大分の男性を逮捕」では、海外のサービスを使って出版社のサーバーを攻撃した疑いが取り上げられています。

ただし、2024年の京都事件はDDoS攻撃による業務妨害、今回の兵庫県の事件はフィッシングメールの大量送信であり、攻撃の目的や手法は異なります。現時点で今回の容疑者が攻撃代行サービスを購入・提供していたことや、両事件に共通の犯罪組織が関与していることは確認されていません。比較すべき点は、攻撃の準備・運用・実行を複数の人物やサービスで分担し得ることです。こうした犯罪形態は国籍だけで説明できるものではありません。

個人が注意したいフィッシングメールとカード不正利用への対策

今回の容疑では、クレジットカード会社を装った大量のフィッシングメールが送られたとされています。カード会社から届いたように見えても、メールの差出人名やロゴだけでは正規の連絡か判定できません。警察庁とフィッシング対策協議会は、メール内のリンクではなく、ブックマークや公式アプリからサービスへアクセスするよう勧めています。

• カード会社からの確認メールを受信した場合： 「利用停止」「本人確認」「決済失敗」などの案内が届いても、本文のURLからカード番号や認証コードを入力せず、公式アプリや事前に登録したブックマークで利用状況を確認します。
• 偽サイトにカード番号・有効期限・セキュリティコード等を入力した場合： 直ちにカード発行会社の公式窓口へ連絡し、利用停止・再発行の要否を確認します。利用明細と不正利用通知も点検してください。
• IDやパスワードを入力した場合： 正規サイトからパスワードを変更し、同じパスワードを使い回している他サービスも変更します。多要素認証やパスキーを利用できる場合は有効にします。
• メール内で認証コードの入力を求められた場合： ワンタイムパスワードや本人確認コードは他人に知らせず、不審な認証通知がないか確認します。
• 被害の疑いがある場合： 不審メールやアクセス先URL、被害日時、カード利用明細などの記録を保存し、カード会社や警察のサイバー犯罪相談窓口へ相談します。

2026年6月に公開されたフィッシング対策協議会の「利用者向けフィッシング詐欺対策ガイドライン 2026年度版」では、迷惑メール対策や多要素認証といった技術的な防御、公式アプリからのアクセス、不審な入力をした場合の早急な相談を基本対策としています。

出典

• 無断使用のWi-Fiで詐欺メール大量送信、偽計業務妨害容疑で中国籍の男逮捕…ホテル客室にPC隠す – 読売新聞（2026年10月15日）
• ホテルのWi-Fiで「ニセサイトに誘導するメール48万件」送信しホテルの業務を妨害した疑い – 関西テレビ（2026年10月15日）
• ホテルから大量の偽メール送信容疑＝中国人逮捕、客室にPC隠す―兵庫県警 – 時事通信（2026年10月15日、配信記事）
• 大阪・関西万博前後はサイバー攻撃が増加、特に関西の中小企業が狙われる可能性 – INTERNET Watch
• フィッシング対策 – 警察庁
• 利用者向けフィッシング詐欺対策ガイドライン 2026年度版 – フィッシング対策協議会
• DDoS攻撃は犯罪です！ – 警察庁