ホテル予約の詐欺メッセージ：日本旅行の前に「支払いの問題」を装う偽メッセージを見分ける方法

以下の内容は、報道、ホテルや企業の告知、香港のコンピュータ緊急対応チームの情報に基づいています。報告されている傾向を示したもので、すべての事例を網羅するものではなく、確認時点で原因は公式に確認されていませんでした。

2026年五月上旬のゴールデンウィークのころから、Booking.comで日本のホテルを予約した人に、カードの認証に失敗したので24時間以内に情報を更新しないと予約を取り消すというメールやWhatsAppのメッセージが届きました（The Standard、2026年6月2日、日本の報道を引用）。

ホテルサンルート浅草の2026年5月21日のお知らせによると、Booking.comで予約した一部の宿泊者に、予約の確認を装ってクレジットカード情報の入力を求めるWhatsAppのメッセージが届いていて、ホテルは予約の確認や支払いについて、WhatsAppなどのメッセージアプリで宿泊者に直接連絡することは決してないとしています。

J-CASTニュースは、2026年六月上旬までに自社サイトで注意を呼びかけたホテルグループや個別のホテルが少なくとも40あったと数え、観光庁がBooking.com、関係するホテル、業界団体に原因を含めた事実確認を始めたと報じました（2026年6月10日）。また、日本ホテル協会が2026年6月12日に注意を呼びかけたとも報じています（2026年6月15日）。

The Standardは、Booking.comの日本法人による初期の調査ではバックエンドのシステムが直接ハッキングされた証拠は見つからなかったと報じました。2026年6月17日には、J-CASTが、日本ホテル協会は予約情報がどのように漏れたのかまだ知らされていないとし、Booking.comは関係するホテルとの確認を続けているとしていると報じています。2026年10月8日に確認した時点では、Booking.comや観光庁による原因の発表は見つかりませんでした。

こうしたメッセージは本物らしく見えることがあります。HKCERTによると、実際のチェックイン日や宿泊者のフルネームが含まれている場合があります。本物らしい連絡経路も証明にはなりません。2023年末からの以前の波では、詐欺師がホテルのBooking.comログイン情報を盗み、それを使って宿泊客に支払い要求を送る詐欺の被害に、日本国内の多数のホテルが遭ったと、日本および地域のメディアが報じました（バンコク・ポスト経由の共同通信、2024年4月）。Agodaのホテル向けガイダンスも同じ手口を説明しています。

これは一つの会社だけの問題ではありません。Booking.comの安全についてのページは、この種のサイバー犯罪は新しいものではなく、Booking.comだけのものでもないとしていて、Agodaの宿泊施設向けの案内も、詐欺犯がAgodaに似せた偽サイトへのリンクを宿泊者に送る手口を説明しています。

2026年9月には別の事案が続きました。複数の予約サイトにまたがる予約をホテルが管理するために使う「TEMAIRAZU」システムを提供する手間いらず株式会社（Temairazu Inc.）は、2026年9月28日、9月21日の夜遅く以降、複数のホテルの宿泊客がWhatsAppなどのメッセージアプリ、メール、SMSで不審なメッセージを受け取っており、同社の調査で同システムへの不正アクセスが確認されたと発表しました。同社は、宿泊客の情報の一部が第三者に閲覧・取得された可能性を否定できないこと、これらのメッセージがその不正アクセスに起因する可能性があること、そして関連性はなお確認中であることを説明しています。同社の助言は本ガイドと同じです。リンクを開かず、カード情報を入力せず、返信や支払いをせず、予約の確認はホテルまたは予約サイトの公式窓口を通じてのみ行ってください。ホテルグランドヒル市ヶ谷の2026年9月29日付のお知らせによると、不正アクセスは9月21日に発生し、9月26日に対処済みで、9月21日以前に9月21日以降の宿泊を予約し、WhatsAppを利用している宿泊客の一部がこうしたメッセージを受け取ったとのことです。

このセクションの情報源：The Standard：Booking.comのデータ漏えいの不安が日本の旅行者に（2026年6月2日） · ホテルサンルート浅草：お知らせ（2026年5月21日） · J-CASTニュース（2026年6月10日） · J-CASTニュース（2026年6月15日） · J-CASTニュース（2026年6月17日） · HKCERT：Booking.comのフィッシングの警告（2026年6月15日） · Bangkok Post（共同通信）：日本のホテルがフィッシング詐欺の被害に（2024年四月） · Agoda Partner Hub：サイバー攻撃（2026年8月5日更新） · Booking.com：旅行者向けの安全のヒント · 手間いらず（Temairazu）：不審なメッセージおよび不正アクセスに関するお知らせ（2026年9月28日） · ホテルグランドヒル市ヶ谷：お知らせ（2026年9月29日）

Booking.com：メール、電話、テキストメッセージ、WhatsAppでクレジットカード情報を求めることは決してなく、予約確認書の支払いポリシーと違う銀行振込を求めることもないとしています。カスタマーサービスが尋ねるのは予約番号と暗証番号（PIN）だけです。

Expedia：カスタマーサービスが、テキストメッセージで送金や支払い情報を求めたり、アカウントのパスワードやギフトカードを求めたりすることは決してないとしています。

Airbnb：ホストがAirbnbの外で予約するよう求めることはポリシー違反で、送金や銀行振込での支払いを求めるのは不正な予約の可能性があるとしています。また、外部リンクを含む一部のメッセージをブロックしています。

Agoda：2026年10月8日に確認した時点では、Agodaが決して求めないことを旅行者向けに示した説明は見つかりませんでした。ホテル向けの案内では、詐欺犯がAgodaに似せた偽サイトへのリンクを宿泊者に送ると警告しているので、同じように確認し、Agodaのアプリかウェブサイトで自分で予約を開きましょう。

このセクションの情報源：Booking.com：旅行者向けの安全のヒント · Expedia：詐欺を見抜くためのヒント（2022年9月23日） · Airbnbヘルプセンター：Airbnbを通じた支払いと連絡 · Agoda Partner Hub：サイバー攻撃（2026年8月5日更新）

本当のカードの問題も起こります。Booking.comの宿泊施設向けの資料によると、ホテルがカードが無効だと報告すると、宿泊者にはBooking.comからメールとSMSが届き、24時間以内に新しいカード情報を入力するよう求められます。期限があるというだけでは偽物とは言えません。身を守るのは、どこで手続きをするかです。カードの更新は、自分で開いた予約の中だけでしましょう。

カード情報を入力する場所：アプリや、サイトのアドレスを自分で入力して開いた予約の中なら、本物の可能性が高いです。メッセージのリンクからしか行けないページや、チャットでの「ここにカード番号を送って」は、確認するまで偽物と考えましょう。

支払い方法：予約確認書の支払いポリシーと同じ方法なら、本物の可能性が高いです。銀行振込、ギフトカード、確認書にない方法は、確認するまで偽物と考えましょう。

連絡してくる相手：予約サイトか、ホテルが公表している連絡先からのものなら、本物の可能性が高いです。WhatsAppを使わないとしているホテルからのWhatsAppのアカウントや個人の番号は、確認するまで偽物と考えましょう。

リンク：リンクを使う必要がなかったなら、本物の可能性が高いです。予約サイトの本当のドメインではないアドレスは、確認するまで偽物と考えましょう。HKCERTは、表示名ではなくアドレス全体を確認するよう勧めています。

自分で確認したとき：予約の画面や、アプリやウェブサイトから開いた予約サイトのヘルプセンターで同じ依頼が確認できれば、本物の可能性が高いです。どちらにも問題が表示されなければ、そのメッセージは偽物と考えましょう。

このセクションの情報源：Booking.com Connectivityの資料：支払い関連データの扱い · Booking.com：旅行者向けの安全のヒント · ホテルサンルート浅草：お知らせ（2026年5月21日） · HKCERT：Booking.comのフィッシングの警告（2026年6月15日）

ステップ1：リンクをタップしたり返信したりしないでください。まずスクリーンショットを撮りましょう。

ステップ2：アプリで自分で予約を開くか、ブラウザに予約サイトのアドレスを入力します。予約の状態、金額、支払いポリシーを確認しましょう。

ステップ3：アプリかウェブサイトのヘルプセンターから予約サイトに問い合わせます。Booking.comは、カスタマーサービスへの連絡はサイトとアプリに載っている窓口だけを使うよう案内しています。

ステップ4：または、メッセージに書かれたものではなく、ホテルの公式サイトに載っている電話番号やメールアドレスでホテルに問い合わせます。ホテルサンルート浅草はBooking.comで予約した人をBooking.comのサポートに案内しているので、ホテルからそちらに回されることもあります。問い合わせの例：「［予約サイト］で予約しました。予約番号は［番号］、チェックインは［日付］です。カードの支払いに失敗したというメッセージが届きました。私の予約に支払いの問題はありますか。」

思いがけないカードの記録がすべて詐欺とは限りません。たとえばレストランの予約に関連する仮押さえなら、予約の内容と照らし合わせて確認できます。

このセクションの情報源：Booking.com：旅行者向けの安全のヒント · ホテルサンルート浅草：お知らせ（2026年5月21日）

Booking.comで東京のホテルを予約し、チェックインは2026年11月20日です。2026年11月10日、WhatsAppにメッセージが届き、あなたのフルネーム、日程、ホテルが書かれていて、カードの認証に失敗したので24時間以内にリンクから「カードを確認」するよう求めています。

Booking.comはWhatsAppでカード情報を求めることは決してないとしているので、確認するまで偽物と考えます。リンクはタップしません。自分でBooking.comのアプリを開き、予約に支払いの問題が表示されず、ヘルプセンターでも問題がないと確認できれば、メッセージは無視して報告しましょう。アプリ自体がカードの更新を求めている場合は、24時間よりずっと前に、予約の中でアプリから更新します。

このセクションの情報源：Booking.com：旅行者向けの安全のヒント · Booking.com Connectivityの資料：支払い関連データの扱い

カードの裏面かカード会社のアプリに載っている番号でカード会社に電話しましょう。カードを止めて新しいカードを発行してもらい、心当たりのない請求があれば伝えます。Booking.comとHKCERTのどちらもこう勧めています。

予約サイトのパスワードを変え、二段階認証をオンにしましょう。Booking.comはどちらも勧めています。そのうえで、詐欺にあったかもしれないと予約サイトに伝えます。Booking.comは、報告をセキュリティチームに回すとしています。

証拠を残しましょう：メッセージ、スクリーンショット、リンク、取引の記録（HKCERT）。

旅行への備え（私たちの提案）：新しいカードが出発までに届かないこともあるので、二枚目の支払い用のカードを持っていき、予約がまだ有効かアプリで確認しましょう。

このセクションの情報源：Booking.com：旅行者向けの安全のヒント · HKCERT：Booking.comのフィッシングの警告（2026年6月15日）

予約サイトへ：アプリのヘルプや報告の機能を使います。Airbnbは、怪しいメッセージを報告するかフラグを付けるよう求めています。

日本で：緊急の場合は110番に電話します。警察庁は、実際に被害があった場合は最寄りの警察署に届け出るよう求めています。緊急でない相談は#9110で警察の相談窓口につながり、東京では警視庁総合相談センター（03-3501-0110でもつながります、警視庁のページは2026年10月6日更新）につながります。警視庁の英語のページ（最終更新2017年）では、日本語、英語、中国語、韓国語で対応するとしていますが、受付時間は書かれていません。

警察庁のオンラインの窓口は日本語で、住んでいる都道府県を入力する必要があるので、海外からなら自分の国の窓口のほうが現実的でしょう。フィッシングメールはフィッシング対策協議会（info@antiphishing.jp）に転送でき、フィッシングのテキストメッセージはスクリーンショットを送れます（日本語のサイト）。日本サイバー犯罪対策センター（JC3）が受け付けているのは悪質なネットショップについての情報なので、ホテルのメッセージの報告先ではありません。

英国：Action Fraudは2025年12月4日にReport Fraudに変わりました。イングランド、ウェールズ、北アイルランドではreportfraud.police.ukを使うか0300 123 2040に電話し、スコットランドでは101で届け出ます。

フランス：Cybermalveillance.gouv.frは、銀行でカードの利用停止（faire opposition）をし、警察か憲兵隊に被害届を出し、メールはSignal Spamに、テキストメッセージは33700に報告するよう勧めています。カードを手元に持ったままオンラインでカード情報が使われた場合は、Perceval（service-public.gouv.fr、FranceConnect経由）で届け出られます。電話での相談はInfo Escroqueries（0 805 805 817、無料、月～金の9:00～18:30）です。PHAROSは違法なオンラインのコンテンツを報告する窓口で、自分の被害の届け出先ではありません。

ドイツ：警察のOnlinewacheのポータルを使います。国外やオンラインでの犯罪は、ドイツの住所がある州を選びます。ポータルはおもにドイツ語ですが、最初のページで英語も選べます。緊急の場合は110番です。

このセクションの情報源：Airbnbヘルプセンター：Airbnbを通じた支払いと連絡 · 警察庁：サイバー事案の相談 · 警視庁：警視庁総合相談センター（2026年10月6日更新） · 警視庁：相談ホットライン（英語、2017年3月30日更新） · フィッシング対策協議会：報告 · 日本サイバー犯罪対策センター（JC3） · GOV.UK：ロンドン市警察の新しい窓口Report Fraud（2025年12月4日） · Report Fraud（英国の詐欺の届け出窓口） · Cybermalveillance.gouv.fr：フィッシング（2026年5月7日更新） · Service-public.gouv.fr：カードの不正利用（2026年2月13日確認） · CNIL：スパム、フィッシング、詐欺 · ドイツ警察：Onlinewacheのポータル

予約サイト、予約番号、支払いポリシーを控え、ホテルの公式サイトから電話番号を保存しておきましょう。

予約サイトのアカウントで二段階認証をオンにし、メッセージのリンクから開いたページではカード情報を決して入力しないようにしましょう。

支払いの依頼はすべて公式のアプリかサイトの中で確認し、カード会社の紛失・盗難の連絡先を保存し、二枚目の支払い用のカードを持っていきましょう。

このセクションの情報源：Booking.com：旅行者向けの安全のヒント

Booking.comがメール、電話、テキストメッセージ、WhatsAppでカード情報を求めることはありません。

Booking.comからの本物のカード無効の連絡はメールとSMSで届き、予約の中で24時間以内に更新を求めるものです。

2026年五月上旬からの報告された波：2026年六月上旬までに少なくとも40のホテルグループやホテルが注意を呼びかけ（J-CAST）。

原因：2026年10月8日時点で、Booking.comも観光庁も調査結果を公表していません。

日本：緊急は110番、警察への相談は#9110。英国：Report Fraud（0300 123 2040）。

このセクションの情報源：Booking.com：旅行者向けの安全のヒント · Booking.com Connectivityの資料：支払い関連データの扱い · J-CASTニュース（2026年6月10日） · J-CASTニュース（2026年6月17日） · 警察庁：サイバー事案の相談 · 警視庁：警視庁総合相談センター（2026年10月6日更新） · Report Fraud（英国の詐欺の届け出窓口）

このガイドのルールは、下の公式ページをもとにしています。Japan, Booked. が予約や申し込みを代行することはありません。

• Booking.com：旅行者向けの安全のヒント
• 手間いらず（Temairazu）：不審なメッセージおよび不正アクセスに関するお知らせ（2026年9月28日）
• ホテルグランドヒル市ヶ谷：お知らせ（2026年9月29日）
• Booking.com Connectivityの資料：支払い関連データの扱い
• Expedia：詐欺を見抜くためのヒント（2022年9月23日）
• Agoda Partner Hub：サイバー攻撃（2026年8月5日更新）
• Airbnbヘルプセンター：Airbnbを通じた支払いと連絡
• ホテルサンルート浅草：お知らせ（2026年5月21日）
• HKCERT：Booking.comのフィッシングの警告（2026年6月15日）
• The Standard：Booking.comのデータ漏えいの不安が日本の旅行者に（2026年6月2日）
• J-CASTニュース（2026年6月10日）
• J-CASTニュース（2026年6月15日）
• J-CASTニュース（2026年6月17日）
• Bangkok Post（共同通信）：日本のホテルがフィッシング詐欺の被害に（2024年四月）
• 警察庁：サイバー事案の相談
• 警視庁：警視庁総合相談センター（2026年10月6日更新）
• 警視庁：相談ホットライン（英語、2017年3月30日更新）
• フィッシング対策協議会：報告
• 日本サイバー犯罪対策センター（JC3）
• GOV.UK：ロンドン市警察の新しい窓口Report Fraud（2025年12月4日）
• Report Fraud（英国の詐欺の届け出窓口）
• Cybermalveillance.gouv.fr：フィッシング（2026年5月7日更新）
• Service-public.gouv.fr：カードの不正利用（2026年2月13日確認）
• CNIL：スパム、フィッシング、詐欺
• ドイツ警察：Onlinewacheのポータル