琵琶湖ホテル、Booking.comの予約管理アカウントに不正アクセス — 宿泊予約者にフィッシング誘導メッセージが配信

項目	内容
発生日	2026年6月（公表・報道）。ホテル側の告知は5月下旬以降に順次
対象組織・業界	琵琶湖ホテル（京阪ホテルズ＆リゾーツが運営・宿泊業）
攻撃手法	Booking.comの宿泊予約情報管理システム上のホテルアカウントへの不正アクセス → 予約者へのフィッシングメッセージ配信
情報源	Security NEXT（2026年6月12日） / 京阪ホテルズ＆リゾーツ（琵琶湖ホテル）

概要

京阪ホテルズ＆リゾーツが運営する琵琶湖ホテルは、宿泊予約サイトBooking.comが提供する宿泊予約情報管理システム上のホテルアカウントが、外部の第三者による不正アクセスを受けた可能性があることを公表しました。

これにより、Booking.com経由で予約した一部の顧客に対し、フィッシングサイトへ誘導するメッセージが配信されたことが確認されています。同社は不正アクセスの原因や詳細について、関係者と連携しつつ調査を進めているとしています。

同様の被害は京阪ホテルズ＆リゾーツグループの他のホテルでも報告されており、単独施設の事案ではなく、宿泊事業者のOTA（オンライン旅行代理店）管理画面を狙った一連の攻撃の一部と位置づけられます。

経緯

• 2026年5月〜6月: Booking.comの予約情報管理システム上のホテルアカウントに、外部の第三者による不正アクセスを受けた可能性を確認
• 同システム経由で、Booking.com経由の予約者の一部に、フィッシングサイトへ誘導するメッセージが配信されたことを確認
• 京阪ホテルズ＆リゾーツグループの他のホテルでも同種の被害を確認・告知
• 顧客に対して、不審なメッセージのリンクを開かないよう注意喚起
• 2026年6月12日: 事案が報じられる。原因・詳細は関係者と連携して調査中
• 2026年6月18日: 琵琶湖ホテルが「不正アクセスとフィッシングメッセージ配信に関するお詫びとお知らせ」を掲出

原因

不正アクセスの原因・侵入経路は公表されておらず、調査中です。同ホテルは「Booking.comが提供する宿泊予約情報管理システム上のホテルアカウントが外部の第三者による不正アクセスを受けた可能性がある」とだけ説明しており、認証情報がどのように取得されたかには触れていません。

なお、記事および告知の範囲では、顧客の個人情報が具体的にどの種類・どの規模で第三者の閲覧に晒されたかは明示されていません。確認されているのは、予約者に対してフィッシングサイトへ誘導するメッセージが配信されたという事実です。

考えられる原因（推測）: OTAの宿泊施設向け管理画面（エクストラネット）を狙う攻撃は、2023年以降、国内外で継続的に観測されている類型です。公開情報から見て典型的な経路は、(a) 施設のスタッフ宛に「予約者からの問い合わせ」「宿泊者の身分証確認」などを装ったメッセージが管理画面のメッセージ機能やメールで届き、リンク先の偽ログイン画面で認証情報を入力してしまう、(b) 偽の認証確認画面や「システム更新のため」というポップアップから、コマンド実行を促す ClickFix 型の手口で情報窃取型マルウェアを実行させられる、(c) 窃取された認証情報がそのまま、あるいは別経路で入手されたものが管理画面へのログインに使われる、という流れです。

このパターンで攻撃者が管理画面を掌握すると、予約者の氏名・滞在日程・連絡先という「本物の予約情報」を手元に持った状態で、宿泊施設の正規のメッセージチャネルから連絡できるようになります。そのため、受け取った顧客側からは通常の宿泊案内と区別することが極めて困難になります。本件で顧客に配信されたメッセージも、この構造を利用したものである可能性が考えられます。

対策

組織が学ぶべきこと

1. 守るべきログイン画面が自社のドメインの外にある

宿泊事業者にとってOTAの管理画面は、顧客の個人情報と予約情報が集まる最も重要なシステムの一つですが、そのログイン画面も、認証ログも、アクセス制御の設定も、自社の管理下にはありません。自社のファイアウォールやEDRの内側で守れる範囲の外側に、顧客データへの入口が存在している状態です。この構造では、自社側で打てる手は、「アカウントを使う人間の側」に集中します。具体的には、多要素認証の有効化、管理画面にアクセスする端末の限定、権限を持つスタッフ数の最小化、退職者アカウントの即時削除です。

2. 攻撃の入口も、被害の出口も「メールではない」

この類型の攻撃は、OTA管理画面のメッセージ機能を入口に使い、顧客への配信も同じメッセージ機能を出口に使います。メールフィルタの守備範囲を完全に外れた経路です。同時に、顧客の側から見ても、いつも予約確認に使っているアプリ内メッセージから届くため、「見慣れないメールアドレスから来たら疑う」という一般的な判断基準が機能しません。

3. 顧客への注意喚起は「何を絶対に求めないか」で書く

不正アクセスの調査には時間がかかりますが、顧客への注意喚起は待てません。効果があるのは「不審なメッセージにご注意ください」という抽象的な呼びかけではなく、「当ホテルがメッセージ内のリンクからクレジットカード情報の再入力をお願いすることはありません」という、正規の運用の否定形です。これは調査結果を待たずに、事案の初期段階から出せます。

4. グループ横断で同時に確認する

本件は京阪ホテルズ＆リゾーツグループの複数ホテルで同種の被害が確認されています。攻撃者は業種・システムを絞って横に広げるため、1施設で被害を認知した時点で、同じOTAアカウント運用をしているグループ全施設のログイン履歴・メッセージ送信履歴を同時に確認することが被害の早期把握につながります。施設ごとの個別対応では、認知の時間差がそのまま被害の時間差になります。

ヤグラの視点 — 訓練のマルチチャネル化：メール一本足の訓練では、予約管理画面から来る攻撃は止まらない

多くの組織のセキュリティ訓練は、いまも「不審なメールを見分ける」訓練です。年に1〜2回、疑わしいメールを模した訓練メールが届き、クリック率が測定されます。しかし本件のような事案で認証情報が奪われる現場は、メールソフトの中ではありません。予約管理画面のメッセージ受信箱、あるいは業務中に表示されるポップアップの中です。

サイバーインシデントの原因の74%は人的要因とされ、そこに生成AIによって「人を騙す能力」が急激に上がった攻撃が集中しています。宿泊業のOTA管理画面を狙う攻撃はその典型で、実在する予約情報を引用した自然な日本語のメッセージが、業務上必ず開かなければならないチャネルに届きます。「日本語が不自然だから怪しい」という古い見分け方は、もう通用しません。

さらに厄介なのは、この攻撃がフロントの現場スタッフを狙うという点です。情報システム部門ではなく、繁忙時間帯に顧客対応をしながら予約管理画面を操作している人が標的になります。訓練シナリオが本社の事務職を想定した画一的なものであれば、現場には届きません。

ここで必要になるのは、攻撃の実チャネルと業務コンテキストを反映した訓練です。メールだけでなく、SMS・電話・ポップアップ警告・ClickFix型の偽認証画面といった経路を含み、かつ「予約者からの問い合わせ」「宿泊者の本人確認」といった現場の業務文脈に沿ったシナリオで、実際に手が止まるかどうかを検証する。ヤグラの アウェアネス は、最新の攻撃手口（認証情報詐取・SMS/電話を使った攻撃・ClickFix型）を反映したマルチチャネル型の訓練を、脅威調査から企画立案まで含めて運用不要で回せるように設計されています。

そして、騙される確率をゼロにはできないという前提に立てば、次に必要なのは騙された後の速さです。「このメッセージは怪しい」と現場が気づいた瞬間に1クリックで報告でき、AIが数分で危険度を判定し、同じ手口が他の施設・他のスタッフにも届いていないかを自動で確認する。この一連の流れを持てるかどうかが、1施設の事故をグループ全体の事故にしないための分岐点になります。→ PhishAI

今後の対応

不正アクセスの原因・詳細および影響範囲は調査中で、京阪ホテルズ＆リゾーツはBooking.comを含む関係者と連携して調査を進めています。監視ポイントは、認証情報の窃取経路の特定、フィッシングメッセージの配信対象数、顧客側での実被害（カード情報の入力・不正利用）の有無、およびグループ他施設での追加被害の報告です。宿泊事業者のOTA管理画面を狙う攻撃は継続しており、同種の公表が他社から出る可能性があります。

更新履歴

日時	内容
2026-08-04	アーカイブとして初稿作成（2026年6月12日報道時点）