Booking.comを装う詐欺から予約客を守る ― 注意喚起の出し方と連絡文例

自館の名前で、客に詐欺が届いている

チェックイン中の客がスマートフォンを見せてくる。「Booking.comから〈お支払いに失敗しました〉とメッセージが来たんですが、これ本物ですか」。即答できるか。できないなら、自館の予約客はすでに詐欺の射程にいる。

Booking.comも自館も、予約後にメッセージでカード情報や追加の支払いを求めることはない。「支払いに失敗しました」「24時間以内にカードを再登録してください」は、すべて詐欺。この1点を、客に先回りして渡しておく。

手口はこうなっている。攻撃者はまず自館を狙う。偽の予約問い合わせを装ったメールで担当者のパソコンにマルウェアを仕込み、Booking.comの管理画面（エクストラネット）のIDとパスワードを盗む。次に、その施設になりすまして正規のメッセージ機能から予約客へ「カード情報を再入力してほしい」と送る。正規の経路で届くから、客は見抜けない。マイクロソフトが2024年12月以降このキャンペーンの継続を確認している（出典5）。

2026年4月にBooking.com本体が不正アクセスを公表してから、国内で注意喚起を出す施設が相次いだ。報道では100施設を超えている（出典9・10）。帝国ホテル、ホテルニューオータニ大阪、MIMARUなど、規模も業態もばらばら。攻撃者は施設の大小を選ばない。Booking.comに出ている施設アカウントを手当たり次第に狙う。

掲載日は各施設の公式お知らせに基づく（2026年6月8日時点で確認）。帝国ホテルはページ本文に日付の明記がなく、報道に基づき5月22日とした。

正規の連絡と詐欺の見分け方

手口は次々変わる。だから手口を覚えさせるのではなく、Booking.comと自館が「やらないこと」を1つ伝える。やらないことは変わらない。

Booking.comも自館も、予約後にメッセージでカード番号の再入力や追加の支払いを求めない。

この1文を客が覚えていれば、文面がどれだけ巧妙でも判断できる。以下は、スタッフ向けの見分け表。客に直接渡すものではなく、フロントで即答するための手元資料。

Booking.com公式は、メッセージでカード情報や支払いを求めることはないと明言している（出典1・4）。ただし正規のメッセージ機能から詐欺が届くケースがあるため、「経路が正規か」だけでは判断できない。判断の軸は上の5点。

客に届く詐欺メッセージの典型

スタッフが手口を知っていれば「それは詐欺です」と即答できる。

共通点は「焦らせる」「外部リンクへ誘う」「カード情報か支払いを求める」の3つ。日本語の精度も上がっており、文面の不自然さでは見抜けなくなっている。客に「日本語がおかしいかどうか」を判断基準として伝えるのは避ける。

連絡文例 ― そのままコピーして使える

【施設名】【電話番号】を差し込めばそのまま使える。予約から滞在までの流れに沿って、詐欺メッセージが届きやすいタイミングに合わせた。

予約直後の確認メール

予約した直後の客に「詐欺が来ても従わない」基準を渡す。最も効く場所。

チェックイン前リマインド（数日前〜前日）

滞在直前は詐欺が最も届きやすい。出発前にもう一度、短く。

公式サイトのお知らせ（常設）

「この連絡は本物か」と施設名で検索した客の受け皿。常設して、いつ見ても確認できる状態にする。

フロント口頭・客室掲示

チェックイン時に直接。聞かれたときのスタッフの答えも、この文で統一する。

4場面を一度に整える必要はない。効果が高い順に、公式サイトの常設 → 予約確認メールへの一文 → チェックイン前リマインド → フロント掲示。文面はどれも同じ趣旨で揃えてある。客が何度見ても同じ基準を受け取れるようにした。

「本物ですか」と聞かれたら / 被害が出たら

フロントの即答を揃える

スタッフごとに答えがぶれると、客はかえって不安になる。全スタッフでこの順番を共有する。

1. 断定する。「カード情報やお支払いを求める連絡は、当館もBooking.comも送っていません」と先に言い切る。
2. 止める。「リンクは開かないでください」。
3. 確認して返す。「こちらで予約状況を確認します」と、施設側で正規の予約を確認して安心材料を返す。

「大丈夫です」とあいまいに流す、「Booking.comに聞いてください」と突き放す、客の画面のリンクをスタッフが代わりに開いて確認する（感染の恐れがある）。この3つは避ける。

すでにカード情報を入力してしまった客

入力済みと分かったら時間との勝負。せかさず、落ち着いて手順を示す。

1. カード会社へすぐ連絡。利用停止と再発行を依頼する。カード裏面の電話番号から。
2. 正規の予約を確認。Booking.com公式アプリか管理画面で予約と請求を確認する。身に覚えのない請求はカード会社に異議を申し立てる。
3. 公的窓口へ相談。警察相談は #9110、消費生活相談は消費者ホットライン 188。
4. Booking.comへ報告。自館アカウントの不正利用が疑われる場合、セキュリティ窓口へ届け出る。

客から相談を受けたら、いつ・どんな連絡が届いたか（スクリーンショットがあれば理想）を控えておく。自館アカウントの乗っ取り確認やBooking.comへの報告に使える。相談先の電話番号（カード会社・#9110・188）をフロントの手元に1枚置いておくと、その場で渡せる。

管理画面を乗っ取らせない

客への詐欺は、もとをたどれば自館の管理画面の乗っ取りから始まる。ここを守れば、自館の名前が詐欺に使われる事態を入り口で止められる。

二段階認証を有効にする。パスワードが漏れても、もう1つの認証がなければログインを止められる。Booking.comはパートナー向けに二段階認証を提供している。複数スタッフで共有しているアカウントこそ、必ず設定する。

偽の予約問い合わせに乗らない。「ゲストと連絡が取れない」「24時間以内に対応しないとアカウント停止」と急かすメールは、感染への入り口。確認画面でキーボード操作やコマンドの貼り付けを促す指示（偽のCAPTCHAを装う手口）には絶対に従わない。

パスワードの使い回しをやめて、ログイン履歴を見る。他サービスと同じパスワードを避ける。ログイン履歴を週に一度は確認して、身に覚えのないアクセスがないか見る。送信済みメッセージに、自分が送っていないものが混じっていないかも点検する。

使わないアカウントを残さない。退職者や異動者のログインが生きていると、気づかないうちに侵入口になる。複数スタッフで1つのIDを共有せず、人ごとに分けておく。

乗っ取りに気づいたら、すぐ止める。不審なログインや、客への身に覚えのないメッセージを見つけたら、直ちにパスワードを変更してBooking.comのセキュリティ窓口へ報告する。感染が疑われる端末はネットワークから切り離す。

Booking.comはパートナー向けにアカウント保護や不正の報告窓口を用意している（出典1〜3）。設定手順や報告先はそちらが正本。

着手の順番

上から順に。全部を一度にやる必要はない。

大切なのは、誰が対応しても同じ案内になること。担当を決めておけば、問い合わせが来ても現場で迷わない。右列は目安。自館の体制に合わせて差し替えてほしい。

OTAの運用そのものに手が回らない場合は、運用代行という選択肢もある。判断材料はOTA運営代行のメリットと選び方で整理している。