宿泊施設を狙うサイバー攻撃と情報漏洩｜2026年の事例と今日からできる対策
2026年は、宿泊施設の予約情報を悪用したサイバー攻撃が相次いでいます。予約サイトや予約管理システムへの不正アクセスをきっかけに、実際の予約番号や宿泊日を知った第三者が、ホテルを装ってゲストにメッセージを送り、カード情報をだまし取る手口です。
本記事では、2026年に宿泊業界で起きた主な事例を整理し、手口の共通点と、小規模なホテル・旅館・民泊でも今日からできる対策をまとめます。
※2026年10月9日時点の公表情報にもとづきます。調査が続いている事案もあるため、最新の状況は各社の公式発表をご確認ください。
2026年に宿泊業界で起きていること
1. Booking.comの予約者を狙ったフィッシング
Booking.comで予約したゲストに、ホテルを装ったメッセージが届く被害が続いています。日本ホテル協会は、2025年11月から注意喚起を重ね、2026年6月12日には4度目の注意喚起を出しました。WhatsAppなどのメッセージアプリで、実際の予約番号と宿泊日を示し、「カード情報が確認できないと予約がキャンセルされる」などと伝えて、偽サイトへ誘導する手口です。同協会は、ホテル側の管理システムに異常や情報漏えいの形跡は認められておらず、予約情報の漏えい元は不明としています。
Booking.com自身も、2026年4月13日、第三者が一部のゲストの予約情報にアクセスできた可能性のある不審な活動を確認したと、海外メディアに認めています。同社は、影響を受けた予約のPINを更新し、ゲストに通知したと説明しています。
また、ホテル運営会社のポラリス・ホールディングスは、2026年5月28日にBooking.comのグループアカウントへの不正アクセスを確認し、複数のホテルで売上金の受取口座が書き換えられ、約900万円の不正送金が発生したと公表しています。ゲストだけでなく、施設の売上そのものが狙われた例です。
2. 予約管理システムへの不正アクセス
2026年9月には、宿泊施設向けの予約管理システム「TEMAIRAZU（手間いらず）」への不正アクセスが公表されました。同社の発表によると、9月21日の深夜頃から、複数の施設から「予約者に不審なメッセージが届いている」との連絡があり、調査の過程で不正アクセスが確認されました。
10月7日の第二報では、第三者に閲覧・取得された可能性のある情報として、宿泊者の氏名、電話番号、メールアドレス、宿泊施設名、チェックイン日・チェックアウト日、宿泊料金が挙げられています。同社は、クレジットカード情報と予約サイトのログイン情報は保持していないと説明しています。不正アクセスは遮断済みで、個人情報保護委員会と警察に報告し、外部の専門機関と調査を進めているとしています。報道によると、この件を公表した宿泊施設・運営会社は100社を超えています。
3. 背景：委託先・取引先を経由した攻撃が上位に
IPA（情報処理推進機構）が2026年1月に発表した「情報セキュリティ10大脅威 2026（組織編）」では、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」でした。自社のパソコンを守るだけでなく、予約サイト・サイトコントローラー・PMSなど、使っているサービス全体を含めて考える必要があります。
手口の共通点：本物の予約情報が使われる
今回の一連の被害には、次の共通点があります。
- 本物の情報を使う：予約番号、宿泊日、施設名が正しいため、ゲストは偽物だと見抜きにくい
- 普段使う連絡手段で届く：WhatsApp、メール、SMSなど
- 急がせる口実がある：「カード情報の再入力」「予約の確定」「事前チェックイン」「至急の支払い」
- 入口は施設の外にあることも多い：施設のパソコンが無事でも、予約サイトや委託先のシステムから情報が漏れることがある
つまり、「うちは小さいから狙われない」は通用しません。施設が直接攻撃されなくても、施設の名前を使ってゲストがだまされ、問い合わせ・返金対応・口コミの悪化が施設に跳ね返ってきます。
宿泊施設が受ける影響
| 影響 | 内容 |
|---|---|
| ゲストの金銭被害 | 偽サイトでカード情報を入力し、不正利用される |
| 施設の売上被害 | OTAの管理画面で受取口座を書き換えられ、売上が送金される |
| 信用・口コミ | 「ホテルから詐欺メッセージが来た」と受け止められ、評価が下がる |
| 対応の負担 | 問い合わせ対応、予約の確認、注意喚起の掲載、関係先との調整 |
| 法令上の報告 | 個人データの漏えい等が起きた場合、個人情報保護委員会への報告と本人への通知が必要になることがある |
個人情報保護委員会は、不正アクセスなど不正の目的によるおそれがある漏えい等や、本人の数が1,000人を超える漏えい等を、報告が必要な類型として定めています。速報は発覚から速やか（目安3〜5日以内）に、確報は原則30日以内（不正の目的によるおそれがある場合は60日以内）です。委託先で起きた漏えいでも、施設側の対応が必要になる場合があります。
今日からできる対策チェックリスト
アカウントを守る
- OTAの管理画面、サイトコントローラー、PMSで、二段階認証を有効にする
- パスワードを使い回さない。共有アカウントをやめ、スタッフごとにアカウントを分ける
- 退職者・委託をやめた業者のアカウントは、すぐに削除する
- スタッフには、必要な範囲の権限だけを付ける（清掃スタッフに予約情報や売上を見せない など）
- 管理画面のログイン履歴を、定期的に確認する
お金の流れを守る
- OTAの受取口座・請求先などの登録情報を、月に1回は確認する
- 登録情報の変更時に通知が届く設定があれば、有効にする
- 「口座を変更してほしい」という連絡は、メールだけで判断せず、電話など別の手段で確認する
ゲストを守る
- 予約確認メールや施設の案内に、「当施設がメッセージアプリでカード情報の入力を求めることはありません」と明記する
- 公式サイトやSNSに、注意喚起を掲載しておく
- ゲストから「このメッセージは本物？」と聞かれたときの回答を、スタッフ間で統一しておく
パソコン・スマートフォンを守る
- OS、ブラウザ、アプリを最新の状態に保つ
- 管理画面には、ブックマークから入る。メールやメッセージのリンクからログインしない
- 予約や売上のデータは、定期的にバックアップを取る
使っているサービスを確認する
予約サイト、サイトコントローラー、PMSなどを選ぶとき・見直すときは、次の点を確認しておくと安心です。
- 二段階認証が使えるか
- スタッフごとに権限を分けられるか、操作の記録が残るか
- 宿泊者の個人情報が暗号化して保管されているか、通信が暗号化（HTTPS）されているか
- バックアップが取られているか
- 万一の際に、施設への連絡と公表がどのように行われるか
ゲスト向け注意喚起の文例
予約確認メールや公式サイトに、そのまま使える文例です。施設の実際の連絡方法に合わせて調整してください。
【ご予約のお客様へ】当施設や予約サイトを装い、予約番号や宿泊日を示して、クレジットカード情報の入力や支払いを求める不審なメッセージが確認されています。当施設が、WhatsAppなどのメッセージアプリやSMSで、カード情報の入力や追加の支払いをお願いすることはありません。不審なメッセージのリンクは開かず、ご予約の内容は、ご予約いただいた予約サイトの公式アプリ、または当施設の公式連絡先でご確認ください。
英語・中国語・韓国語など、ゲストの言語でも用意しておくと効果的です。
被害が疑われるときの初動
- ゲストに注意喚起する：公式サイト・予約確認メールで、不審なメッセージに注意するよう案内する
- パスワードを変更する：OTA、サイトコントローラー、PMSのパスワードを変更し、二段階認証を確認する
- 登録情報を確認する：受取口座、メールアドレス、ユーザー・権限に、身に覚えのない変更がないか確認する
- 関係先に連絡する：利用しているOTAやシステム会社に連絡し、状況と対応を確認する
- 報告の要否を確認する：個人情報保護委員会への報告が必要か確認し、警察（都道府県警察のサイバー犯罪相談窓口）にも相談する
- カード情報を入力したゲストには：すぐにカード会社へ連絡するよう案内する
AXIONのセキュリティへの考え方
どのシステムも、被害の可能性をゼロにはできません。だからこそ、AXIONは、被害の範囲を小さくし、異常に気づきやすくする設計を重視しています。
- 宿泊者の個人情報（名簿・旅券の画像）は、暗号化して保管
- 通信はすべて暗号化（HTTPS）
- データは毎日バックアップ
- 二段階認証に対応。権限ごとに見られる範囲を分け、操作の記録を残す
- 宿泊者の個人情報は、保存期間を過ぎると自動で削除
よくある質問
Q. ゲストに偽メッセージが届いたら、施設の責任になりますか？
A. 漏えい元がどこかによって変わります。施設のシステムから漏れていなくても、ゲストからの問い合わせや注意喚起の対応は施設に来ます。まずは注意喚起と、使っているサービスの確認を進めてください。法的な判断が必要な場合は、弁護士などの専門家にご相談ください。
Q. 小さな民泊でも対策は必要ですか？
A. 必要です。攻撃の多くは、予約サイトやシステム経由で、施設の規模に関係なく起きています。二段階認証の設定と、ゲストへの注意喚起の2つだけでも、今日から始められます。
Q. 予約サイトから「口座情報を確認してください」というメールが来ました。
A. メールのリンクからはログインせず、ブックマークや公式アプリから管理画面に入って確認してください。不審な場合は、予約サイトの公式窓口に問い合わせてください。
まとめ
- 2026年は、予約サイトや予約管理システムへの不正アクセスと、本物の予約情報を使ったフィッシングが相次いでいる
- 被害はゲストのカード情報だけでなく、施設の売上（受取口座の書き換え）にも及ぶ
- 対策の基本は、二段階認証・権限の分離・登録情報の定期確認・ゲストへの事前の注意喚起
- 使っている予約サイト・サイトコントローラー・PMSのセキュリティも、あわせて確認する
あわせて、ホテル管理システム（PMS）とは？、宿泊者名簿の書き方と保存もご覧ください。