ベストウェスタンプラス福岡天神南、宿泊予約管理システム侵害でWhatsApp経由の顧客なりすましフィッシング

項目	内容
発生日	2026年1月30日〜2月20日
対象組織・業界	ベストウェスタンプラス福岡天神南（ポラリス・ホールディングス運営／宿泊業）
攻撃手法	宿泊予約管理システムのアカウント侵害 → WhatsApp経由でフィッシングメッセージ送信
情報源	Security NEXT（2026年3月6日）

概要

「顧客がホテルからの連絡を受け取るチャネル」は、いまやメールだけではありません。楽天トラベル、HIS、じゃらん、SNS、そしてWhatsAppやLINE——攻撃者は、顧客が「そのホテルとの連絡でよく使うチャネル」を狙って侵入経路を選びます。

2026年3月6日、ベストウェスタンプラス福岡天神南（ポラリス・ホールディングス運営）は、宿泊予約管理システムを第三者に侵害され、予約客に対してWhatsApp経由でフィッシングメッセージが送信されたと公表しました。

経緯

• 2026年1月30日〜2月20日: 予約客にWhatsApp経由でフィッシングメッセージが送信される
• 2026年3月6日: 公表、パスワード変更、不正アクセスに用いられた可能性のあるアカウント削除

原因

宿泊予約管理システムのアカウント侵害。侵入経路の詳細は公表されていません。

考えられる原因（推測）: 予約管理システムのアカウント（複数のOTA経由の予約を統合管理するシステムの認証情報）が、フィッシングまたは他サービスからの使い回しで窃取された可能性が高いです。楽天トラベル・HIS・じゃらんという複数OTAの予約情報が同時に流出したことから、統合管理システム側の侵害と考えられます。

影響を受けた情報

• 対象: 楽天トラベル、HIS、じゃらん、および同社ウェブサイト・インターネット予約サイト経由の予約客
• 情報: 氏名、メールアドレス、宿泊予約情報
• 期間: 2月20日以前の予約
• 顧客への注意喚起: SNSやWhatsAppで連絡することはない、疑わしいメッセージのURLアクセスを避けるよう呼びかけ

対策

組織が学ぶべきこと

1. 予約管理システムは「複数OTAの認証を一元化した鍵」

本件で3つのOTA（楽天トラベル・HIS・じゃらん）の予約情報が同時に流出したのは、予約管理システムがそれらを統合していたためです。「便利さの裏側で、単一の侵害が全チャネルの顧客情報を露出させる」構造は、統合管理を選ぶ全ての事業者に共通する構造リスクです。

2. WhatsApp・SNS経由のなりすましへの警戒

本件のフィッシングはメールではなくWhatsApp経由で行われました。「怪しいメール」の判別に慣れた顧客も、「予約したホテルからのWhatsAppメッセージ」は疑わないケースがあります。顧客に対して「弊社はこのチャネルで連絡しません」を平時から明示する——この情報開示自体が防御の一部です。

3. 「同じメッセージが誰に届いたか」の即時把握

1月30日から2月20日まで、約3週間にわたってフィッシングメッセージが送信されていたと推定されます。この期間に、同じメッセージが誰に届いたかを即時把握できていれば、注意喚起のスピードが上がり被害を減らせた可能性があります。予約管理システムの操作ログの粒度と保存期間が、二次被害の規模を左右します。

ヤグラの視点 — 「同じメッセージが誰に届いたか」を数分で答える

顧客に届いたフィッシングを、自社側で「誰に・いつ・何が届いたか」を数分で答えられる体制は、二次被害の連鎖を短時間で断つ鍵です。予約管理システムのログ、送信ログ、外部OTAとの連携ログを横断的に集約・分析できる状態が、フィッシング拡散の即時把握を可能にします。

ヤグラの PhishAI は、不審メッセージのワンクリック報告を起点に、AIが数分で分析し、同種のメッセージが他の顧客・社内に届いていないかを自動調査します。「1件の報告から拡散全体を追える」設計が、この種の踏み台化事案に対する現実的な防御です。

今後の対応

同社は対応済み。本件はクローズとして扱います。

更新履歴

日時	内容
2026-07-28	過去アーカイブとして記事化（キュレーション）