新横浜グレイスホテル、Booking.com経由の顧客にWhatsAppフィッシング — 予約プラットフォーム侵害の連鎖

項目	内容
発生日	2026年1月18日以降
対象組織・業界	新横浜グレイスホテル（宿泊業）
攻撃手法	Booking.com不正アクセス → WhatsApp経由でフィッシングメッセージ送信
情報源	Security NEXT（2026年2月17日）

概要

宿泊業者が使う外部予約プラットフォーム（Booking.com、Expedia、Agoda 等）は、業界の標準インフラです。しかしプラットフォーム側で侵害が起きたとき、責任と対応の主体は誰なのかという問いは、いまだに業界で明確な合意がありません。

2026年2月17日、新横浜グレイスホテルは、Booking.com経由で予約した顧客に対しWhatsAppなどのメッセージアプリでフィッシングメッセージが送信されたと公表しました。原因はBooking.comへの不正アクセスとされ、ホテル側のシステムは直接の侵害を受けていません。

経緯

• 2026年1月18日以降: 複数顧客からの問い合わせでフィッシング送信が判明
• その後: Booking.comのログインパスワードを変更、Booking.comへ調査依頼
• 2026年2月17日: 公表、顧客への注意喚起（SNS経由の連絡はない旨）

原因

宿泊予約サイト「Booking.com」への不正アクセス。侵入経路の詳細は公表されていません。

考えられる原因（推測）: プラットフォーム側の侵害でも、実務的な原因は「ホテル側の Booking.com管理者アカウント認証情報の窃取」であるケースが多く、フィッシング・パスワード使い回し・共有IDの流出が起点になり得ます。プラットフォーム全体が破られたのか、個別ホテルのアカウントが破られたのかは、公表情報からは判別できません。

攻撃手口の詳細

• チャネル: WhatsApp（メールではなく）
• 内容: 「24時間以内に手続きを行わない場合、ご予約がキャンセルされます」といった緊急性を演出するメッセージ
• 誘導先: フィッシングサイトへのURL

対策

組織が学ぶべきこと

1. 「予約プラットフォームは自社のインフラの一部」と見做す

Booking.com のようなプラットフォームは業界標準ですが、事業者側から見れば「顧客データを預けている外部SaaS」です。プラットフォーム側での侵害でも、被害を受けるのは事業者と顧客という関係は、SaaS依存全般に共通する構造リスクです。

2. プラットフォーム管理者アカウントの認証強化

Booking.com のような予約プラットフォームの管理者アカウントは、実質的に「全予約顧客の情報にアクセスできる鍵」です。MFA適用、IP制限、パスワード使い回し禁止を、日常業務で徹底する必要があります。プラットフォーム側の機能提供が不十分な場合は、事業者側のパスワード管理ツール・アクセス管理でカバーします。

3. 「WhatsAppで連絡することはない」を平時から明示

本件でホテル側が実施した「SNSを通じたメッセージ送付がないこと」の顧客告知は、二次被害を防ぐ上で重要です。平時から「弊社はこのチャネルで連絡しません」を明示しておくと、事案発生時に顧客が正規連絡と偽物を判別しやすくなります。

ヤグラの視点 — 外部プラットフォームまで含めた攻撃面

自社のシステムをどれだけ堅牢にしても、業務データを預けているプラットフォームが破られれば漏えいは発生します。この構造は、Booking.com のような大規模SaaSでも、小規模の業界特化ツールでも同じです。「攻撃面」はもはや自社のシステム境界の中だけには収まらない——契約している全SaaS、連携している全外部プラットフォームが、実質的に自社の攻撃面です。

ヤグラの AI SOC は、SaaS・クラウド連携先のログも含めた横断監視を提供します。プラットフォーム側の異常（普段と異なる時間の管理者ログイン、大量ダウンロード等）を、事業者側の監視ダッシュボードで捉えられる体制が、この種の連鎖被害を早期発見する鍵です。

今後の対応

同ホテルは対応済み。Booking.com側の調査結果を待つ状況。

更新履歴

日時	内容
2026-07-28	過去アーカイブとして記事化（キュレーション）