関西エアポートワシントンホテル、海外予約サイト不正ログインで顧客宛にフィッシング配信

項目	内容
発生日	2025年1月4日〜2026年1月6日（不正利用期間）
対象組織・業界	フラット・フィールド・オペレーションズ株式会社（関西エアポートワシントンホテル運営）
攻撃手法	海外予約サイトへの不正ログイン。顧客宛にフィッシングサイト誘導メッセージが配信
情報源	Security NEXT（2026年2月4日）

概要

関西国際空港付近の宿泊施設「関西エアポートワシントンホテル」を運営するフラット・フィールド・オペレーションズは、2026年2月4日、海外予約サイトのアカウントに不正ログインされ、宿泊客に対しフィッシングサイトへ誘導する通知が配信されたと公表しました。

流出が判明した情報は氏名・電話番号・予約日・予約番号など。一部の顧客については、クレジットカード情報・支払い情報・国籍が流出した可能性があるとしています。

経緯

• 2025年1月4日〜2026年1月6日: 海外予約サイトを通じて予約を申し込んだ顧客が影響を受ける期間
• 2026年1月4日: フィッシングメッセージが配信されていることを顧客からの問い合わせにより把握
• 2026年1月9日: 個人情報保護委員会へ報告
• ログインパスワードの変更・パソコンのセキュリティチェックを実施、対象顧客へ経緯説明と謝罪
• 2026年2月4日: 経緯を公表

原因

同社は攻撃手法の詳細（認証情報の窃取方法）を公表していません。「海外の予約サイトにおいて不正ログインが発生」との表現に留まります。

考えられる原因（推測）: 予約サイト運営者側のアカウントが乗っ取られたケースでは、(a) パスワードリスト型攻撃（他社サービスからの漏えい認証情報を流用）、(b) 予約サイト管理担当者へのフィッシングでの認証情報窃取、(c) 予約サイト側の脆弱性、(d) MFAが有効化されていなかった、が典型的な経路です。特に「海外の予約サイト」は日本語文脈のフィッシング訓練の外側にあるため、パスワード運用や多要素認証の整備が後手に回りがちです。

対策

組織が学ぶべきこと

1. 予約プラットフォーム管理アカウントは「重要度の高いアカウント」として扱う

宿泊業では自社予約サイト以外にOTA（オンライントラベルエージェント）・海外予約サイト等、複数のプラットフォームにアカウントを持つことが一般的です。それぞれの管理アカウントが乗っ取られると、顧客個人情報・カード情報・予約変更権限に加え、顧客と直接コミュニケーションできるメッセージ機能まで攻撃者に渡ります。パスワード使い回し禁止・MFA必須・利用者数の絞り込みが最低ラインです。

2. フィッシング「配信元が正規事業者」の破壊力

本件で最も深刻なのは、フィッシングメッセージの配信元が「予約した本物の予約サイト」だった点です。宿泊客側からは通常の予約関連連絡と見分けがつかず、クリック率・入力率は通常のフィッシングより桁違いに高くなります。事業者は「顧客が騙されない」ことを期待するのではなく、「攻撃者が配信できる状態を作らない」ことに投資すべきです。

3. 顧客への説明の粒度

本件では「一部の顧客はカード情報等が流出した可能性」と対象を切り分けた発表になっています。この粒度で説明できるのは、どの予約データにどこまでアクセスされたかを事後にログから追跡できているためです。予約サイト側のアクセスログ・アクション履歴を取得できる契約になっているかは、契約時に確認すべきポイントです。

ヤグラの視点 — 影響範囲の自動調査：「同じフィッシングが誰に届いたか」を数分で把握する

正規の予約プラットフォーム経由でフィッシングメッセージが配信された本件は、宿泊客一人ひとりが「自分のところに届いたメッセージが本物か」を判断する必要に迫られる、極めて厄介な事案です。事業者側が受ける問い合わせも「私のメールは本物ですか」「これは詐欺ですか」に集中します。

この状況で真っ先に必要なのは、同じフィッシングメッセージが具体的にどのアドレス・電話番号に配信されたか、誰がクリックし、誰が情報を入力したかの把握です。予約サイト側のログ、自社側のカスタマーサポート問い合わせログ、認証ログを横断で相関できれば、対処優先度の高い顧客から順に個別連絡できます。ヤグラの PhishAI は、報告されたフィッシングについて社内の影響範囲（同じメッセージが誰に届いたか）を自動調査する機能を持ちますが、本件のような「顧客向け配信」でも思想は同じで、攻撃メッセージの配信範囲と反応者を短時間で確定させる能力が二次被害を断つ鍵になります。

今後の対応

同社は個人情報保護委員会への報告を完了し、対象顧客への個別連絡を進めています。カード情報流出の可能性がある顧客の被害拡大有無、および同じ手口が他の予約サイト事業者で発生しないかを注視します。

更新履歴

日時	内容
2026-07-30	初稿公開（キュレーション）