本物の予約番号が書かれたメッセージ
湯河原の宿をネットで予約するなら、届く前に知っておいてほしいメッセージがあります。本物の予約番号と宿泊日が書かれていて、「クレジットカードが確認できないため、リンクから再入力しないと予約を取り消します」と迫ってきます。宿から届いたように見えますが、送り主は宿ではありません。
今年のゴールデンウィークごろから、Booking.comで国内のホテルを予約した人に、WhatsAppなどのメッセージアプリを通じて、まさにこの内容のメッセージが届いています。日本ホテル協会は2026年6月12日、4回目となる注意喚起を出しました。協会によると、該当するホテルの管理システムに異常や情報漏えいの形跡はなく、予約情報がどこから漏れたのかはわかっていません。帝国ホテル東京のような大きなホテルも、Booking.comとagodaで予約した人に向けて注意を呼びかけています。
ここでは二つの別々の出来事が起きていて、分けて考えるとわかりやすくなります。4月、Booking.comは一部の利用者に、第三者が予約情報にアクセスしたと知らせました。対象は氏名、メールアドレス、住所、電話番号、そして宿とやり取りした内容です。金融情報へのアクセスはなかったとしています。それとは別に、ホテルの従業員をだましてBooking.comのログイン情報を盗み、本物の管理画面から宿泊客にメッセージを送る手口が何年も続いています。4月の件が今年の国内の被害を説明するという証拠は、まだ誰も示していません。宿泊客にとっては、原因がどちらでも、すべきことは変わりません。
メッセージが届いたら
ルールは短いです。Booking.comは、正規の支払いや予約の変更で、電話やSMS、メールでカード情報を求めることは決してないとしています。予約を受けている宿が、カード番号をもう一度入れるためのリンクを送る理由もありません。部屋を確保したければカードを再入力せよ、というメッセージは、予約番号がどれほど本物らしくても詐欺です。
リンクは開かないでください。予約に使ったアプリやサイトを自分で開き、そこで予約を確認します。それでも気になるなら、宿の公式サイトに載っている番号に電話しましょう。Yugawara Clubの宿のページには、公式サイトがある宿はそのリンクを載せています。
すでにカード情報を入力してしまったら、カードの裏面にある番号でカード会社に電話し、利用を止めてもらいます。そのうえで、予約アプリで本物の予約を確認します。全国どこからでも、消費者ホットライン「188」にかければ、近くの消費生活センターにつながり、相談できます。
湯河原で宿を営んでいるなら
湯河原の宿には小さなところが多くあります。家族で営む旅館、ゲストハウス、飲食店の上の数部屋。その多くが、Booking.com、楽天トラベル、じゃらん、自社サイトで同時に部屋を売っています。小さな宿では、こうしたアカウントがフロント裏の一台のパソコンにまとまり、スタッフ全員で一つのログインを使うようになりがちです。攻撃者が狙うのは、そのログインです。
マイクロソフトは、長く続くある攻撃の始まり方を詳しく報告しています。従業員のもとに、Booking.comや宿泊客を装ったメールが届きます。悪い口コミへの対応、宿泊についての問い合わせ、アカウントの確認。リンクを開くと「私はロボットではありません」に似せた偽の確認画面が出て、パソコンにコマンドを貼り付けるよう指示されます。それでパスワードを盗むマルウェアが入ります。管理画面のログインを手に入れれば、攻撃者は宿の名前で、本物のシステムからすべての予約客にメッセージを送れます。
Booking.comが施設向けに出している対策は短いリストです。二段階認証を有効にする。ログインは一人ずつ分け、共有しない。パスワードを使い回さず、宿のメールにも二段階認証を設定する。そして、同社が挙げる兆候に気をつけます。送っていない支払い依頼が宿泊客に届いている、変えていない料金や連絡先が変わっている、見覚えのない場所からのログイン通知が来る、二段階認証に知らない電話番号が追加されている。同社のパートナー担当が尋ねるのは施設IDだけで、パスワードを聞くことはありません。
そして、詐欺師より先に宿泊客へ伝えましょう。予約確認メールと公式サイトに一文入れるだけで足ります。「当館がメッセージでカード情報の再入力やリンクからの支払いをお願いすることはありません」。この一文を読んだ人は、偽物が届いたときにどうすればいいかわかります。
外に任せても、名前は自分の宿
ここからは、Yugawara Clubの外での私の仕事の話です。私は東京でMKUltramanというITコンサルティングを営んでいて、業種を問わず同じ構図を見てきました。予約もメールもウェブサイトも外部のサービスに任せ、リスクもサービス側が負っていると思い込む。実際はそうではありません。何か起きたとき、お客様が目にするのは自分の宿の名前です。このことは「You outsourced the work, not the responsibility」という長めの記事に書きました。下にリンクがあります（英語）。
別の目で見てほしいときは、外部からの確認サービスがあります。最大3ドメインについて、インターネット上の誰もがすでに見られる情報だけを読みます。メール認証、DNS、ウェブサイトの仕組み、公開されているログイン画面、証明書です。料金は10万円（税別）で、宿のシステムを試すようなことは一切しません。Booking.comのアカウントの中までは見えません。ただ、宿から届いたように見えるメールを第三者が送れてしまう設定になっていないかはわかります。それが、宿泊客に次に届くかもしれないメッセージです。
どれもIT部門は必要ありません。予約サイトの二段階認証、一人一つのログイン、そして宿泊客への正直な一文。これで、いちばん簡単な侵入口はふさげます。ルールを知っている宿泊客は、取り消しの脅しを気にせず、湯河原への旅を楽しめます。