HOTEL CYCLEの予約管理システム侵害、宿泊予約者になりすましたフィッシングメールが送信される

項目	内容
発生日	2025年9月4日
対象組織・業界	HOTEL CYCLE（宿泊業）
攻撃手法	予約メールアカウント情報の悪用 → 予約管理システムへの不正アクセス → 予約者へのフィッシングメール送信
情報源	Security NEXT（2026年1月26日）

概要

宿泊予約は「予約者と宿の間で氏名・連絡先・カード情報がやり取りされる」業務です。この情報がそのまま攻撃者の手に渡ると、次に起きるのは予約者本人になりすまして予約者へ連絡するという、極めて成立しやすいフィッシングです。

2026年1月26日、尾道のホテル「HOTEL CYCLE」は、自社の予約メールアカウント情報を悪用され予約管理システムが不正アクセスを受けた可能性があると公表しました。2025年9月4日に、一部の予約者へホテルになりすまし、個人情報やクレジットカード番号の詐取を試みるフィッシングメールが第三者から送信されたことが確認されています。

経緯

• 2025年9月4日: 予約者にホテルなりすましのフィッシングメールが送信される
• その後: ホテル側が侵害を確認、警察通報・調査を実施
• 2026年1月26日: 公表

外部からの侵入形跡やマルウェア感染は見つからず、確認された履歴はローカル接続のみとされています。

原因

同社の説明では「自社予約メールのアカウント情報を利用し、予約管理システムに対して不正アクセスが行われた可能性」とされ、侵入経路の技術的詳細は公表されていません。

考えられる原因（推測）: 予約メールアカウントの認証情報が、フィッシングまたは他サービスからのパスワード使い回し経由で窃取されたケースが典型です。マルウェア感染の痕跡が確認されなかったことから、認証情報単体の窃取と正規ログインによる侵入が最も自然な仮説になります。

対策

宿泊業に限らず、「予約者向けの正規メール窓口」を持つ組織が学ぶべきポイントを整理します。

組織が学ぶべきこと

1. 予約メールアカウントは「顧客情報の入り口」であることの再認識

予約管理システムへの入口として使われるメールアカウントは、単なる連絡窓口ではなく、顧客情報全体への鍵です。汎用メールと同じ運用（パスワード単体・共有・使い回し）で扱ってはいけません。

2. 業務メールへのMFA適用

本件でホテル側は2要素認証への変更を実施しています。認証情報が漏れる可能性を前提に、業務メール全アカウントへの多要素認証の適用が、正規ログインを装った侵入を防ぐ最短の防御です。

3. 予約者への注意喚起の速度

フィッシングメールは9月4日に送られていたことが確認されており、被害の実質は「予約者が偽メールに騙されたか」で決まります。ホテル側は自社顧客への注意喚起をどれだけ早く出せたかが、二次被害を左右します。

ヤグラの視点 — 一度騙されてしまった顧客への「その先」

宿泊予約という業務は、顧客側から見れば「自分が予約したホテルからのメール」を信じることが前提の関係です。訓練で防げる分岐点は、実は組織内部ではなく顧客との接点にあります。ホテル側がやれることは、社内訓練だけでなく、顧客に対して「弊社からこういう連絡は差し上げません」を平時から明示しておくこと。顧客の防御を助ける情報開示は、ブランド保護の一部です。ヤグラの アウェアネス は組織内の訓練・報告文化に加え、PhishAI で疑わしいメール報告を数分で分析し、同種の攻撃が顧客に広く届いていないかを追える体制を提供しています。

今後の対応

同社は2要素認証への変更と再発防止のスタッフ教育を実施済みとしています。二次被害の続報は本記事公開時点で確認されていません。

更新履歴

日時	内容
2026-07-28	過去アーカイブとして記事化（キュレーション）