小田急リゾーツ Booking.com経由顧客にWhatsAppフィッシング — 同種被害が業界で連鎖
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年1月14日以降 |
| 対象組織・業界 | 小田急リゾーツ（宿泊業）／対象施設に「山のホテル」を含む |
| 攻撃手法 | Booking.com不正アクセス → WhatsApp等で予約キャンセル装いフィッシング |
| 情報源 | Security NEXT（2026年2月3日） |
同じ手口が、同じ月に、複数のホテルで発生している——これは「たまたま」ではなく、プラットフォーム全体が侵害されている可能性を示唆します。
2026年2月3日、小田急リゾーツは、Booking.com 経由で予約した顧客に対してWhatsApp等でフィッシングメッセージが送信されたと公表しました。手口・チャネルとも、同時期に他のホテル（新横浜グレイスホテル、ベストウェスタン福岡天神南 等）で発生した事案とほぼ同一です。
- 2026年1月14日以降: 複数顧客からの問い合わせで判明
- その後: 全施設のBooking.comログインパスワードを変更、Booking.comへ調査依頼
- 2026年2月3日: 公表
宿泊予約サイト「Booking.com」への不正アクセス。詳細な侵入経路は非公表。
考えられる原因（推測）: 業界複数社で同時期に同じ手口が発生していることから、(a) Booking.com プラットフォーム側の広範な侵害、(b) 攻撃者が管理者アカウントのリストを何らかの経路で入手、(c) 情報スティーラー等で複数事業者のBooking.com認証情報が窃取された、いずれかのパターンが考えられます。
攻撃手口の詳細
Section titled “攻撃手口の詳細”- チャネル: WhatsApp
- 内容: 「この手続きを24時間以内に完了しない場合、ご予約がキャンセルになります」+ URL
- 誘導先: フィッシングサイト
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 同種被害の連鎖に気づけるか
Section titled “1. 同種被害の連鎖に気づけるか”1月14日～2月20日にかけて、複数のホテルで同じ手口が発生していました。「自社が最初の被害者ではない」ことを早期に認識できれば、業界情報の共有・警察・行政への相談が早まり、事案全体の収束を早められます。業界団体・専門メディアの情報収集は、単なる情報収集を超えて防御の一部です。
2. 影響範囲の即時把握
Section titled “2. 影響範囲の即時把握”「Booking.com経由の顧客に、いつからいつまでの間、フィッシングが送られた可能性があるか」——この問いに数分で答えられるかが、注意喚起のスピードを決めます。予約データベースと外部プラットフォームの操作ログを横断的に見られる状態が、この種の連鎖被害への対応力です。
3. WhatsAppチャネルへの対応
Section titled “3. WhatsAppチャネルへの対応”複数事案でチャネルが WhatsApp に統一されている点は、攻撃者が意図的にこのチャネルを選んでいることを示唆します。「弊社は WhatsApp で連絡しません」 を平時から明示するだけで、多くの顧客は偽物と判断できます。
ヤグラの視点 — 「同じ攻撃が誰に届いたか」を業界レベルで把握する
Section titled “ヤグラの視点 — 「同じ攻撃が誰に届いたか」を業界レベルで把握する”自社の顧客だけを追うのでは、業界横断の連鎖攻撃に対処できません。同業他社の公表事案から、自社の顧客にも同じ手口が届く可能性を予測することが、実効的な予防になります。
一方、自社顧客への影響を把握する上では、報告→AI分析→影響範囲の自動調査の速度が決定的です。ヤグラの PhishAI は、不審メッセージのワンクリック報告を起点に、AI が数分で 同じメッセージが社内・顧客の誰に届いているかを自動調査 します。「業界の他社で同じ攻撃が発生している」情報を掴んだ瞬間に、自社内で同種メッセージが届いていないかを能動的に検索できる体制が、連鎖被害を早期に断ちます。
同社は対応済み、Booking.com側の調査結果を待つ状況。
| 日時 | 内容 |
|---|---|
| 2026-07-28 | 過去アーカイブとして記事化（キュレーション） |