Booking.comを装った詐欺が急増中
「予約直後の偽メッセージ」に要注意！
実際の予約情報を使った巧妙ななりすまし——
Microsoftも警告した最新攻撃手法「ClickFix」を徹底解説
最終更新: 2026年5月｜出典: Microsoft・観光庁・フィッシング対策協議会
旅行の直前・直後に届く「公式っぽいメッセージ」が危ない
ホテルを予約してすぐ、Booking.comのメッセージ機能やSMSで「お支払い情報が未確認のため、予約がキャンセルされる恐れがあります」と連絡が来たら——あなたはすぐに信じてしまいませんか？
2026年4月、Booking.com自身が第三者による不正アクセスで顧客の予約情報が漏洩した可能性があると公式に認めました。氏名・メールアドレス・電話番号・予約詳細などが流出し、これを悪用したフィッシング詐欺が日本国内でも急増しています。
Booking.comは2026年4月13日（現地時間）、第三者による不正アクセスで予約情報が漏洩した可能性があると公式発表。日本では2026年2月、コンフォートホテル東京東日本橋など複数施設でBooking.com経由のフィッシング被害が報告。国内21都道府県の宿泊施設118カ所以上が被害に遭っている。
（2024年・過去最多）
不正送金被害額（2024年）
（21都道府県）
（年間200万件超える見込み）
Booking.com詐欺とは何か——仕組みをわかりやすく解説
Booking.com詐欺とは、実際にBooking.comで行われた予約情報を盗み出し、ホテルや公式サービスになりすましてユーザーに連絡をとり、クレジットカード情報や個人情報を騙し取る詐欺です。
実際に届く「偽メッセージ」の例
下記リンクより、お支払い情報をご確認ください：
http://booking-secure-verify.com/confirm?id=XXXXX
攻撃のルート——どこからメッセージが来るのか
Booking.com
メッセージ機能
ホテルのアカウントが不正アクセスされ、正規の機能を通じて偽メッセージが送られてくる。最も見破りにくい手口。
SMS
（スミッシング）
「Booking.com」送信元を装ったSMS。予約番号や氏名が入っているため信憑性が高く見える。
メール
（フィッシング）
公式そっくりのデザインの偽メールで外部リンクに誘導。HTMLメールで本物の見分けが困難。
どうやって騙されるのか——詐欺の全プロセスを図解
🏨 ホテルへの不正アクセス——予約者情報を入手
詐欺師がBooking.com上のホテル管理アカウントに不正アクセス。ゲストの氏名・予約日・連絡先・予約番号などを取得する。
📨 予約者への偽メッセージ送信——本物そっくりの内容
実際の予約情報（氏名・日程・施設名）を使って偽メッセージを送信。「支払いが未確認」「キャンセル警告」など緊急性を演出。
🔗 偽サイトへ誘導——本物そっくりの入力画面
Booking.comのデザインをコピーした偽サイトへのリンクをクリックさせる。URLは微妙に違うが、見た目はほぼ同一。
💳 クレジットカード情報を盗む
偽サイトにカード番号・有効期限・CVVを入力させる。入力した瞬間に詐欺師に送信され、不正利用が始まる。
🦠 マルウェア感染——2025年型の最新攻撃（ClickFix）
Microsoftが2025年4月に警告。偽CAPTCHAを表示し「ロボット確認のため」コマンドを実行させることで、Lumma Stealer等のマルウェアを自動インストール。認証情報・パスワード・クレカ情報を根こそぎ盗む。
旅先でのスマホ利用、セキュリティは万全ですか？
楽天モバイルなら安心のセキュリティ対策つき
旅行中はWi-Fiやスマホの使用が増え、フィッシングのリスクも高まります。信頼できるキャリアのセキュリティ機能で、不審なサイトへのアクセスをブロック。旅先でも安心のスマホ環境を。
楽天モバイル公式サイトを見る → データ無制限・国内通話無料・楽天ポイントでお得に使える【楽天モバイル】
2025年型の最新攻撃「ClickFix」——Microsoftが警告
脅威グループ「Storm-1865」が、Booking.comになりすましたフィッシングメールを悪用。偽のCAPTCHA画面（ロボット確認）を表示し、ユーザー自身にPowerShellコマンドを実行させることでマルウェアを自動インストールさせる「ClickFix」攻撃を使用。配信されるマルウェアはXWorm・Lumma Stealer・VenomRAT・AsyncRATなど複数種類。認証情報・パスワード・クレジットカード情報が根こそぎ盗まれる。
⚠️ ClickFix攻撃の流れ
- ①Booking.com偽メールのリンクをクリック
- ②「ロボット確認が必要です」と偽CAPTCHA表示
- ③「キーボード操作で確認してください」と表示
- ④Windowsのファイル名を指定して実行→コマンドを貼り付け
- ⑤マルウェア自動インストール・情報盗取開始
✅ 正規のCAPTCHAの特徴
- ✔「キーボード操作」を求めることはない
- ✔PowerShellやコマンドの実行を求めない
- ✔ブラウザ内だけで操作が完結する
- ✔画像・文字の識別が主な確認方法
- ✔コピー&ペーストを指示することはない
実際にあった被害——こんな人が騙された
数字で見るフィッシング詐欺の深刻さ——2024-2026年データ
フィッシング報告件数の急増（年別推移）
宿泊・旅行系フィッシングの特徴
| 項目 | 内容 | 特記事項 |
|---|---|---|
| 主な攻撃手法 | ホテル管理アカウントへの不正アクセス | 増加傾向 |
| 国内被害施設数 | 21都道府県・118カ所超 | 2026年も継続 |
| メッセージ送信経路 | Booking.com公式機能・SMS・メール | 判別が非常に困難 |
| 新型攻撃（2025年〜） | ClickFix（偽CAPTCHA+マルウェア） | Microsoft警告発令 |
| 被害回復 | マルウェア感染は発見が遅れやすい | 早期対応が最重要 |
旅行中の「副業勧誘メッセージ」にも要注意！
正規の転職・キャリアアップで収入増を目指す
旅先でのSNSで届く「一緒に稼ごう」「在宅でできる仕事」は詐欺の可能性大。本当に収入を増やしたいなら、信頼できる転職エージェントを活用しましょう。
おすすめ転職サービスを見る 👉
なぜ「旅行中」は特に騙されやすいのか
詐欺師は「人がどんな時に判断力を失うか」を熟知しています。旅行・出張中はその代表例です。
旅行の興奮・非日常感
旅行中は気持ちが浮き立っており、普段より批判的思考が働きにくくなる。「旅先でトラブルは困る」という焦りも後押しする。
時間がない・余裕がない
チェックイン前後は荷物の整理や移動で多忙。「今すぐ確認しないと」という言葉に反応しやすい状況になっている。
本物の予約情報が使われる
自分の名前・予約日・ホテル名が正確に書かれているため「公式からの連絡」と信じやすい。情報漏洩があるから正確なのに。
スマホの小さい画面でURLを確認しにくい
モバイルではURLが省略表示されるため、偽ドメインへの誘導に気づきにくい。旅行中はほぼスマホで操作するため被害が拡大。
今すぐできる！Booking.com詐欺から身を守る5つの対策
-
リンクからカード情報を絶対に入力しないメッセージ内のリンクは使わない。必ず公式アプリ（Booking.com）を自分で開いて確認。正規の支払いページは必ず「https://www.booking.com」から始まる。
-
URLを必ず確認する——1文字の違いが命取り「booking-secure.com」「booking-confirm.net」など公式に似た偽ドメインに注意。スマホでは長押しでURLを事前確認できる。「.booking.com」以外のドメインは全て疑う。
-
「今すぐ！」「48時間以内！」と急かされたら冷静に詐欺師の最大の武器は「焦らせること」。本当に重要なら公式アプリに通知がある。急かされるほど、一度立ち止まって公式で確認する習慣を。
-
「ロボット確認」でキーボード操作を求められたら即中止正規のCAPTCHAはキーボード操作・コマンド実行を求めない。「キーボードを押して確認」「コピーして貼り付け」という指示はClickFix攻撃のサイン。絶対に従わないこと。
-
カード会社の「不正利用アラート」を今すぐ設定万が一情報が漏れても、利用通知をオンにしておけば即座に気づける。被害の最小化には初動の早さが最も重要。旅行前に必ず設定を確認しよう。
Booking.com公式が推奨するセルフチェック
旅行費用を「正しい投資」で積み立てる選択を
信頼できる証券会社で資産形成をはじめよう
「フィッシング詐欺でお金を失う」より「積み立て投資でお金を増やす」。金融庁登録済みの正規証券会社でNISA・積立投資を活用すれば、旅行費用も自然と貯まります。
おすすめ証券会社を比較する👉 日本株を始めるなら【DMM 株】！(PR)
もし詐欺に遭ったら——今すぐすべき緊急対処
🚨 カード会社へ今すぐ連絡——利用停止を依頼
カード裏面の緊急連絡先へ電話。「フィッシングサイトにカード情報を入力した」と伝えれば即日停止・再発行が可能。夜間・休日も24時間対応。
📱 Booking.comカスタマーサポートに報告
公式サポートページから「フィッシング被害を報告」。ホテルのアカウントが侵害されている場合の対応も依頼できる。
🦠 マルウェア感染が疑われる場合はPC・スマホをリセット
ClickFix型攻撃でコマンドを実行した場合は、デバイスのリセット・セキュリティソフトでのフルスキャンが必要。全パスワードの変更も必須。
🚔 警察・消費者センターへの相談
被害を警察に届け出ることで、同様の被害者への注意喚起につながる。返金の可能性を高めるためにも被害届は重要。
緊急連絡先一覧
緊急連絡先
旅行系詐欺はさらに進化する——2026年の脅威予測
Booking.com型の詐欺は「旅行系フィッシング詐欺」の先駆けに過ぎません。AI・マルウェアの高度化とともに、2026年にかけてさらなる被害拡大が予測されています。
📅 2026年 旅行・宿泊系詐欺 進化予測
AI生成の完璧な偽メール
日本語の不自然さがなくなり、本物と見分けがつかない精度の偽メールが量産される。送信者名も完全偽装。
ディープフェイク動画での本人確認詐欺
「本人確認のためビデオ通話を」と誘い、AIで作られた偽スタッフ映像と会話させる手口が登場。
Airbnb・Expediaへの拡大
Booking.com以外の宿泊・旅行予約サービスにも同様の不正アクセス手法が広がる。
旅行保険・航空会社を装った詐欺
フライトキャンセル通知・旅行保険申請を装い、より広い旅行者層を標的にする。
旅行の計画も、エンタメも「公式・正規」で安全に楽しもう
旅行中に届く「特別キャンペーン」「無料プレゼント」のリンクは詐欺の可能性大。エンターテインメントや旅行を楽しむなら、信頼できる正規サービスを。非公式サイトはリスクがあります。
おすすめエンタメサービスを見る👉
📝 この記事のまとめ
- Booking.com詐欺は「実際の予約情報」を使うため、本物と見分けることが非常に難しい
- 2026年4月、Booking.com自身が第三者による不正アクセス・情報漏洩を公式認定
- 国内21都道府県・118カ所超の宿泊施設で被害が発生——まだ継続中
- 2025年型の最新攻撃「ClickFix」はCAPTCHA偽装でマルウェアを自動インストールさせる（Microsoft警告）
- フィッシング報告件数は2024年に171万件（過去最多）——2025年は200万件超える見込み
- 対策の基本：リンクからカード情報を入力しない・URLを確認・公式アプリで確認
- 「今すぐ確認しないとキャンセル」はすべて詐欺師の「焦らせる罠」——一呼吸おいて公式確認を
- 被害に遭ったらカード会社へ即連絡、消費者ホットライン「188」へ相談
※本記事の情報は2026年5月時点のものです。最新情報はBooking.com公式・フィッシング対策協議会・IPA等でご確認ください。
出典: Microsoft Security Blog・観光庁・フィッシング対策協議会・東京商工リサーチ・各宿泊施設公式発表
No responses yet