KAYA 京都二条城、ホテル・予約サイトを装うフィッシングを再注意喚起 Booking.comやWhatsAppで不正リンク誘導|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月21日更新日時: 2026年08月21日

KAYA 京都二条城は2026年8月18日、同ホテルや宿泊予約サイトを装った不審なメール、フィッシングメール、不審メッセージが確認されているとして、利用者に改めて注意を呼びかけました。

同ホテルは5月22日にも同様の注意喚起を公表しており、8月時点でもBooking.comのメッセージ機能やWhatsAppなどを通じ、不正なリンクへ誘導する事例が報告されているとしています。

一方、今回の公表では、KAYA 京都二条城のシステムやBooking.comのホテル管理アカウントが不正アクセスを受けたとは説明されていません。個人情報や予約情報の流出、クレジットカード情報の窃取、実際の金銭被害についても確認されたとの記載はなく、「フィッシングへの注意喚起」と「システム侵害」を分けて捉える必要があります。

KAYA 京都二条城のフィッシング注意喚起のサマリー

【確認済み】KAYA 京都二条城は2026年8月18日、ホテルや宿泊予約サイトを装った不審メール・不審メッセージについて再度注意喚起しました。
【確認済み】同ホテルは2026年5月22日にも、ほぼ同内容の注意喚起を公表しています。
【確認済み】8月時点で、Booking.comのメッセージ機能やWhatsAppなどを通じ、不正なリンクへ誘導する事例が報告されています。
【確認済み】KAYA 京都二条城は、メール、Booking.comのメッセージ機能、WhatsAppなどを通じて、クレジットカード情報、パスワード、個人情報の再登録を求めることはないとしています。
【確認済み】ホテルは、不審なメッセージを受信した場合、本文中のリンクへアクセスせず削除するよう案内しています。
【確認済み】Booking.comも2026年6月5日、WhatsAppを利用したフィッシング詐欺の試みを確認しているとして、利用者向けの注意喚起を公表しています。
【確認済み】日本ホテル協会は6月12日、Booking.com経由の予約客に対し、WhatsAppなどでホテルを装ったフィッシングメッセージが多発しているとして注意喚起しました。
【確認できず】KAYA 京都二条城のBooking.com管理アカウントやホテル側システムが不正アクセスを受けたとの情報は、今回の公表では確認できません。
【確認できず】KAYA 京都二条城から予約情報や個人情報が流出したとの情報は公表されていません。
【確認できず】本件に関するフィッシングメッセージの送信件数、対象者数、クレジットカード情報入力などの被害件数は公表されていません。

項目	内容
再注意喚起日	2026年8月18日
初回確認できる注意喚起	2026年5月22日
対象施設	KAYA 京都二条城
事象	ホテルや宿泊予約サイトを装うフィッシングメール・不審メッセージ
確認・報告された経路	Booking.comのメッセージ機能、WhatsAppなど
誘導先	不正なリンク
入力を求められる可能性がある情報	ホテルはクレジットカード情報、パスワード、個人情報の再登録をオンライン連絡で求めないと注意喚起
ホテル側システムへの不正アクセス	確認できませんでした
Booking.com管理アカウントの侵害	KAYA 京都二条城の事案としては確認できませんでした
個人情報・予約情報の流出	確認できませんでした
被害件数	確認できませんでした
利用者への対応	リンクへアクセスせず削除し、送信元アドレス、URL、アカウント名を確認。不明点はホテルへ問い合わせ

何が起きているのか　Booking.comやWhatsAppから不正リンクへ誘導

KAYA 京都二条城によると、2026年8月現在、同ホテルや宿泊予約サイトを装った不審なメールやメッセージが確認されています。

ホテルが特に挙げているのが、Booking.comのメッセージ機能やWhatsAppなどを通じ、不正なリンクへ誘導する手口です。

同ホテルは、メール、Booking.comのメッセージ機能、WhatsApp、そのほかのオンライン上の連絡手段を通じて、クレジットカード情報、パスワード、個人情報の再登録を求めることは一切ないと説明しています。

不審なメッセージを受け取った場合は、本文中のリンクにはアクセスせず削除し、送信元メールアドレス、URL、送信アカウント名などを確認するよう呼びかけています。

5月にも同じ注意喚起　8月に「再度のお知らせ」

今回の公表は初めての注意喚起ではありません。

KAYA 京都二条城は2026年5月22日にも、「当ホテルを装った不審メール・不審メッセージにご注意ください」とする告知を掲載していました。

5月の告知でも、Booking.comのメッセージ機能やWhatsAppなどを利用して不正リンクへ誘導する事例が報告されているとしており、クレジットカード情報、パスワード、個人情報を入力しないよう注意を促しています。

8月18日の告知は「再度のお知らせ」とされ、「8月現在」も不審なメールやメッセージが確認されていると説明しています。

ただし、ホテルは不審メッセージの件数や、5月から8月まで継続的に同一の攻撃者やキャンペーンが活動しているのかについては明らかにしていません。このため、注意喚起が継続していることは確認できますが、個別の攻撃主体や事案同士の関連を断定することはできません。

ホテルやBooking.comへの不正アクセスが確認された事案ではない

今回の公表で特に注意したいのは、「Booking.comのメッセージ機能を通じた不審メッセージ」が報告されていることと、「ホテルやBooking.comの管理アカウントが侵害されたこと」は同義ではない点です。

KAYA 京都二条城の8月18日の公表には、同ホテルの予約管理システムやBooking.com管理画面に第三者が不正アクセスしたとの記載はありません。

予約情報や顧客の個人情報が流出したとの説明もなく、攻撃者が実在する宿泊予約情報をどのように取得したのかについても公表されていません。

したがって、現時点で本件を「KAYA 京都二条城への不正アクセス」や「個人情報漏洩」と表現することは適切ではありません。

宿泊業界ではBooking.comを経由した予約客を狙うフィッシング事案が複数確認されていますが、ホテルごとに確認されている事実は異なります。管理アカウントの侵害や情報流出の可能性を公式に公表している施設もある一方、今回のKAYA 京都二条城の公表は注意喚起にとどまっています。

Booking.comもWhatsAppフィッシングを注意喚起

Booking.comは2026年6月5日、ホテルの管理者、カスタマーサポート担当者、オンライン旅行代理店のスタッフなどを装った不審メッセージについて注意喚起を公表しました。

Booking.comによると、サイバー犯罪者がWhatsAppを利用したフィッシング詐欺を試みる事例が確認されています。

同社は、メール、電話、テキストメッセージ、WhatsAppを通じてクレジットカード情報の提供を求めることはないと説明しています。また、予約確認書に記載された支払いポリシーとは異なる銀行振込を依頼することもないとしています。

KAYA 京都二条城の注意喚起とBooking.comの公表は、少なくとも「WhatsAppを含むオンライン上の連絡を使い、正規のホテルや予約サービスになりすまして情報入力を促す」という点で共通しています。

日本ホテル協会もフィッシング多発を公表　実在する予約情報を使う手口も

一般社団法人日本ホテル協会も2026年6月12日、Booking.comを通じてホテルを予約した利用者に対し、フィッシングメッセージへの注意を呼びかけています。

同協会によると、2026年のゴールデンウイーク頃から、WhatsAppなどを通じてホテルを装ったフィッシングメッセージが届く事例が多発しています。

日本ホテル協会が説明した事例では、実際の予約番号や宿泊日程を示したうえで、「クレジットカード情報を確認できない」「手続きをしなければ予約がキャンセルされる」などと不安をあおり、フィッシングサイトへ誘導する手口が確認されています。

ただし、この「実際の予約番号や宿泊日程を使う」という特徴が、KAYA 京都二条城が確認したすべての不審メッセージに該当すると公表されているわけではありません。

日本ホテル協会は6月12日時点で、同協会が把握した事案について、ホテル側の管理システムに異常や情報漏洩の形跡は認められておらず、予約情報がどのように漏洩したのかは明らかになっていないと説明していました。

セキュリティ対策Labでは、この日本ホテル協会による注意喚起についても、Booking.com経由のフィッシングメッセージが多発している事案として取り上げています。

想定される二次被害　クレジットカード情報や認証情報の窃取に注意

KAYA 京都二条城は、今回の注意喚起で具体的な被害件数を公表していません。

一方、フィッシングサイトへ誘導された場合、今後想定されるリスクとして、クレジットカード情報、パスワード、個人情報などを第三者に取得される可能性があります。

特に、正規の予約に関連しているように見えるメッセージや、「予約がキャンセルされる」「支払い情報を再登録する必要がある」といった内容は、旅行者に短時間での判断を迫りやすい特徴があります。

クレジットカード情報を入力してしまった場合は、カード会社へ速やかに連絡し、利用停止や不正利用の監視について相談する必要があります。

パスワードを入力した場合は、同じパスワードを利用しているサービスも含めて変更し、多要素認証を利用できる場合は有効化することが重要です。

KAYA 京都二条城とは

KAYA 京都二条城は、京都市中京区にある宿泊施設です。二条城や京都御所に近い立地で、2023年に「KAYA 京都二条城 BWシグネチャーコレクション by ベストウェスタン」として開業しました。

同ホテルは2026年4月27日にBest Westernとの提携を終了し、「KAYA 京都二条城」として新たなブランド体制で運営を開始しています。

公式サイトでは宿泊予約にKOKO HOTELSの予約システムへのリンクも設置されています。一方、2026年4月27日以前の予約などについては予約時期に応じた確認・取消先が案内されており、利用者は不審メッセージ内のリンクではなく、ホテル公式サイトから正規の予約確認経路へアクセスすることが重要です。

宿泊施設・情報システム部門への示唆

今回の事案ではホテル側システムへの侵害は確認されていませんが、宿泊施設にとってフィッシング対策は顧客向け注意喚起だけで完結する問題ではありません。

攻撃者がホテル名、宿泊日程、予約番号などを利用すれば、利用者にとって正規メッセージとの判別は難しくなります。宿泊施設側では、予約管理システムやOTA管理画面のアカウントについて、多要素認証、利用者の限定、ログイン履歴の監視、パスワードの使い回し防止などを徹底する必要があります。

また、顧客に対して「どのチャネルで、どの情報を要求することがあるのか」を平時から明確に示すことも重要です。KAYA 京都二条城が今回、「クレジットカード情報、パスワード、個人情報の再登録をオンライン上の連絡で求めることはない」と明示したことは、顧客が真正性を判断する基準になります。

ホテル公式サイト、予約確認メール、OTAの正規画面など、顧客が自ら確認できる「正規の入口」を明示しておくことも有効です。緊急性を強調するメッセージから直接決済や再認証を行わせる運用は避け、利用者が公式サイトやアプリから予約状況を再確認できる導線を整備する必要があります。

インシデント発生時には、「フィッシングメッセージが届いた」「予約管理アカウントが侵害された」「予約情報が閲覧された可能性がある」「個人情報流出が確認された」を分けて公表することも重要です。これらを一括して「Booking.comのフィッシング被害」と表現すると、実際の侵害範囲が不明確になり、利用者が取るべき対応も判断しにくくなります。