ポラリス・ホールディングス、Booking.comのグループアカウントが不正アクセス — 売上金の受領口座を改ざんされ約900万円の被害、宿泊予約者にはフィッシングメッセージ

項目	内容
異常検知日	2026年5月23日
公表日	2026年6月3日
対象組織・業界	ポラリス・ホールディングス（宿泊施設の運営）
事象	宿泊予約サービス「Booking.com」のグループアカウントへの不正アクセス、売上金受領口座情報の改ざん、宿泊予約者へのフィッシングメッセージ送信
金銭被害	1件で約900万円（ほかの複数施設では不正送金を未然に防止）
情報源	Security NEXT（2026年6月3日）

概要

宿泊施設の運営を手がけるポラリス・ホールディングスは2026年6月3日、同社が利用する宿泊予約サービス「Booking.com」のグループアカウントが不正アクセスを受けたことを公表しました。

同社は2026年5月23日に異常を検知。調査の結果、同社グループが運営する複数施設で、売上金を受領する口座に関する情報が、第三者の口座情報に改ざんされていたことが判明しました。うち1件では売掛金の一部が不正な口座に送金され、約900万円の損失が発生しています。ほかの複数施設でも同様の改ざん行為が行われていましたが、不正送金については未然に防止できたとしています。

さらに、同社が運営する一部ホテルでは、宿泊予約者に対するフィッシングメッセージの送信が確認されました。予約者の連絡先が攻撃者の手元にある状態で、ホテル側からの正規の連絡を装ったメッセージが送られたことになります。

経緯

• 2026年5月23日: Booking.com のグループアカウントで異常を検知
• 調査により、グループが運営する複数施設で売上金の受領口座情報が第三者の口座情報に改ざんされていたことが判明
• 1件で売掛金の一部が不正な口座に送金され、約900万円の損失が発生。ほかの複数施設では不正送金を未然に防止
• 運営する一部ホテルで、宿泊予約者に対するフィッシングメッセージの送信を確認
• 2026年6月3日: 公表

原因

侵入経路は特定・公表されていません。同社は「予約サービスサイトの管理画面が不正アクセスを受け、取得された情報が悪用された可能性」に加え、「外部予約管理システム経由で流出した可能性」も指摘しており、調査中の段階です。

考えられる原因（推測）: 宿泊予約プラットフォームの管理画面（エクストラネット）を狙う攻撃は、国内外で継続的に観測されている手口です。典型的なパターンは、予約プラットフォームからの連絡や宿泊客からの問い合わせを装ったメッセージで施設側の担当者に偽のログイン画面を開かせ、管理画面の認証情報を取得するものです。取得した認証情報でログインした攻撃者は、予約者の氏名・連絡先・滞在日程といった情報を閲覧できるため、その情報を使って「予約内容の確認」「事前決済のお願い」を装った、内容の整合性が取れたフィッシングメッセージを宿泊予約者へ送れます。今回、宿泊予約者に対するフィッシングメッセージの送信が確認されている点は、この形と符合します。

また、施設側が Booking.com を単独で操作するのではなく、複数の予約サイトを束ねるサイトコントローラー等の外部予約管理システムを経由している構成では、その外部システム側が侵害されても同じ結果になり得ます。同社が両方の可能性を並べているのは、この構成上、どちらから入られたかを施設側のログだけでは切り分けられないことを示唆します。ただしこれらはいずれも公表されていない推測であり、断定はできません。

なお、売上金の受領口座を書き換えるという手口は、この種の管理画面侵害の中でも収益化の速さが際立ちます。予約データを盗んで名簿として売るより、口座情報を1箇所書き換えて次回の入金サイクルを待つほうが、攻撃者にとって工数が小さく金額が大きくなります。

対策

組織が学ぶべきこと

1. 「自社システムではない場所」に売上金の入口がある

書き換えられたのは自社の会計システムでも銀行の登録情報でもなく、予約プラットフォーム上の受領口座設定です。自社のサーバやネットワークをどれだけ堅牢にしても、この項目は守れません。宿泊業に限らず、決済代行・ECモール・広告プラットフォーム・受発注SaaSなど、外部サービスの管理画面に「振込先」「請求先」「支払先」が保存されている業種は同じ構造を抱えています。入金経路の設定値が、自社の統制外にいくつ存在するかを棚卸しすることが出発点になります。

2. 変更検知の対象に「設定値」を含める

不正アクセスの検知は、通常ログイン履歴や通信の異常に向けられます。しかし本件で被害を確定させたのは、口座情報という1フィールドの変更です。この変更は、攻撃としては極めて静かで、正規の管理者操作と区別しにくい形をとります。一方で、口座情報は業務上ほとんど変更されない項目です。「変わらないはずの項目が変わった」ことは、機械的に検知しやすい異常でもあります。管理画面の変更通知メールを担当者個人の受信箱ではなく組織の共有経路で受ける、月次で設定値のスクリーンショットや台帳と突き合わせる、といった運用は、追加投資をほとんど必要としません。

3. 入金の「来なかった」を早く気づける仕組みを持つ

本件で複数施設の改ざんが判明した一方、1件で送金が完了しています。口座改ざん型の被害は、入金がなかったことに気づくまで発覚しないという時間差を持ちます。売掛金の入金照合を月次でしか行わない運用では、気づくまでに最長で1ヶ月以上かかります。プラットフォームからの入金予定と実入金の突合を短いサイクルで回せているかどうかが、被害額の上限を決めます。

4. 予約者への二次被害は、施設が説明責任を負う

宿泊予約者にとって、届いたフィッシングメッセージは「予約したホテルからの連絡」です。プラットフォームが侵害されたという事情は、予約者側には見えません。連絡先が攻撃者の手元にある以上、フィッシングは公表後も続く可能性があります。「当社からこの種の連絡は行わない」という基準を明示した告知を、予約者が最も見る導線（予約確認メール、施設サイトのトップ、チェックイン案内）に置くことが、二次被害の抑止に直接効きます。

ヤグラの視点 — 攻撃面の拡張：守るべき境界は、自社のネットワークの外側にある

セキュリティの議論は、いまも「自社のネットワークをどう守るか」を中心に組まれがちです。しかし本件で侵害されたのは自社のサーバではなく、自社が利用している予約プラットフォームのアカウントでした。そこには予約者の個人情報と、売上金の振込先という二つの資産が置かれています。攻撃者にとっては、堅牢化された自社基盤を突破するより、こちらを狙うほうが合理的です。

この構造は宿泊業に固有のものではありません。事業のオペレーションがSaaSと外部プラットフォームに分散した結果、多くの企業の「一番おいしい場所」は、自社の資産台帳に載っていない場所へ移動しました。ECモールの出店管理画面、決済代行の管理コンソール、広告アカウント、クラウド会計、受発注SaaS。どれも自社のネットワーク境界の外にあり、EDRの管理対象外で、SIEMにログが流れていないことも珍しくありません。そして多くの場合、そこへのアクセスを守っているのはIDとパスワード、良くて多要素認証という薄い層だけです。

だからこそ、対策は二方向に分けて考える必要があります。ひとつはそこに至る入口である人です。今回のような管理画面の侵害は、担当者が偽のログイン画面に認証情報を入れてしまう形で成立することが多く、しかもそのメッセージは「宿泊客からの問い合わせ」や「プラットフォームからの通知」として、業務の文脈にぴったり収まる形で届きます。定型的な訓練メールを年1回受け取るだけでは、この文脈適合型の攻撃には届きません。人的要因への対策としては、最新のAI攻撃手口（SMS・電話・ClickFix等）を反映したマルチチャネル型の訓練が有効です。→ ヤグラ アウェアネス: https://yagurasec.com/awareness

もうひとつは外部サービス上の異常を、自社の監視対象に含めることです。予約プラットフォームや決済コンソールのログイン履歴・設定変更履歴を、自社のログと同じ場所で見られるようにする。侵入から検知までの時間差が被害規模を決めます。人手で全ログを監視するのは現実的でなく、AIによる24時間365日の横断ログ監視と自動封じ込め（検知から初動まで平均数分）が現実解になりつつあります。→ ヤグラ AI SOC: https://yagurasec.com/ai-soc

本件で同社が5月23日に「異常を検知」できたこと自体は評価すべき点です。ただし、その時点ですでに1件の不正送金は完了していました。検知が数日早ければ、失われたのは900万円ではなかった可能性があります。攻撃面が自社の外側へ広がった以上、監視の範囲もそこへ広げるほかありません。

今後の対応

侵入経路は調査中で、予約サービスサイトの管理画面経由か外部予約管理システム経由かの切り分けは公表されていません。宿泊予約者の個人情報がどの範囲まで閲覧されたか、フィッシングメッセージの送信対象件数、不正送金分の回収可否についても明らかにされていません。宿泊予約者側では、ホテルや予約サービスを名乗る決済・確認の連絡について、正規サイトから予約内容を確認するなどの慎重な対応が求められます。続報が出た時点で追記します。

更新履歴

日時	内容
2026-08-06	初稿公開（2026年6月3日公表時点の情報）