宿泊業（ホテル・旅館）を標的としたサイバー攻撃の脅威と求められる対策

近年、宿泊業（ホテル・旅館）を標的としたサイバー攻撃が急増しています。特に予約サイトを悪用する手口が増えていることから、宿泊施設を運営する事業者様にとって対策が急務となっているのが実情です。

本コラムでは、ホテル・旅館を標的としたサイバー攻撃の実態と主な手口、事業者様が講じておきたい対策についてわかりやすく解説します。

宿泊業におけるサイバー攻撃の実態

はじめに、宿泊業におけるサイバー攻撃の実態を整理します。近年発生したサイバー攻撃の件数と、顧客のサービス利用実態を確認しておきましょう。

ホスピタリティ・旅行・娯楽業を標的とするサイバー攻撃数が急増

チェック・ポイント・ソフトウェア・テクノロジーズ株式会社が公開した「グローバル脅威インテリジェンス分析結果（2026年5月）によれば、サイバー攻撃を受けた組織は世界で週平均2,055件（前年比2％増）です。一方、ホスピタリティ・旅行・娯楽業を標的としたサイバー攻撃は前年同月比24％増加しており、農業（同51％増）に次ぐ増加率となりました（※）。ここには宿泊業も含まれることから、ホテル・旅館がサイバー攻撃の標的となるケースが急増している実態が見て取れます。

チェック・ポイント・ソフトウェア・テクノロジーズ株式会社｜グローバル脅威インテリジェンス分析結果（2026年5月）

宿泊業者を標的としたサイバー攻撃の手口

ホテルや旅館がサイバー攻撃の標的となった場合、事業者・宿泊者は具体的にどのような被害に遭うおそれがあるのでしょうか。攻撃者の代表的な手口を紹介します。

偽メッセージ・フィッシング

予約サイトの名を語り、偽のチャットやメールを予約者へ送付する手口です。予約番号や宿泊予定日が記載された偽メッセージを送り、「キャンセル防止のため再認証が必要です」などと伝えてユーザーを偽サイトへ誘導します。遷移先の偽サイトでクレジットカード情報等を窃取されるケースも少なくありません。公式サイトを巧妙に模した偽サイトが用いられることもあるため、誤ってクレジットカード情報を入力してしまうおそれがあります。

さらに、特定の個人や組織に関する情報を収集して悪用する「スピアフィッシング」と呼ばれる手口も存在します。ターゲットに関する情報に基づいて狙い撃ちにするため、通常のフィッシングよりも成功率が高い点が特徴です。偽メッセージの信憑性が高まり、高額決済への警戒心が薄れるなど、被害規模の拡大につながりやすい傾向があります。

PC管理画面の乗っ取り

宿泊客を装った攻撃者がホテルや旅館に問い合わせ、悪意のあるリンクをクリックさせたり、添付ファイルを送りつけたりしてPCの管理画面を乗っ取る手口です。乗っ取られたPCは、攻撃者が意のままに遠隔操作できる状態となります。ホテルや旅館が使用しているPCから発信された正規のメッセージと、攻撃者によって発信された偽メッセージの見分けがつかなくなるため、宿泊業者・利用者の双方が気づかないうちに被害に遭っていることもあり得るでしょう。

予約サイト経由の顧客情報窃取

オンライン予約システムや、ホテルチェーンの独自システムを直接攻撃する手口です。データベースに格納されている顧客情報が窃取され、個人情報が流出する事態も発生しています。

2023年12月、オランダの企業が運営する予約サイトBooking.comは自社ホームページに注意喚起メッセージを掲載しました。メッセージによれば、予約先施設を装った偽メッセージの送付や支払いを要求するメールやチャットが届く事象が発生していたとのことです。また、旅行者を装って宿泊施設にメールを送付し、PCをマルウェアに感染させ、Booking.comのパートナー施設ID・パスワードを盗み取る事例も発生しました。国内の宿泊施設においても複数の施設でBooking.com管理システムへの不正アクセスに関するプレスリリースが公表されており、実際に自社のアカウントからフィッシングメールが送信される被害が発生しています。

参考：Booking.com 「【重要】お客様へのお願い-フィッシングメールと宿泊施設への宿泊に関する注意喚起」

ランサムウェア攻撃

PCやサーバー内のデータを不正に暗号化し、データの復号と引き換えに金銭や暗号資産を要求する手口です。支払いに応じなければデータを公開するといった、二重脅迫の被害に遭った事例も確認されています。標的となった宿泊施設は顧客の個人情報や自社の機密データが使用不能となるため、施設運営を正常に続行できなくなるケースも少なくありません。さらに、宿泊客の氏名や連絡先、決済情報などがダークウェブに公開されるなど、信用毀損につながるおそれがあります。

ホテル・旅館を運営する事業者が講じるべき対策

巧妙化の一途をたどるサイバー攻撃に対して、ホテル・旅館はどのような対策を講じればよいのでしょうか。早急に講じておきたい対策は次の3点です。

多層防御の導入

組織のサイバーセキュリティ向上を図るには、まず基本的な対策をしっかりと講じることが大切です。

【サイバーセキュリティの基本】

• ウイルス対策ソフトの導入
• 最新のセキュリティパッチ適用
• ファイアウォールの設定
• 長く複雑なパスワードの使用と使い回しの禁止

ただし、これらの対策を講じたとしてもサイバー攻撃を100％防げるとは言い切れません。万が一脅威が侵入した場合のことも想定し、不審な挙動や通常とは異なる通信を検知する仕組みを導入しておくことをおすすめします。一例として、リアルタイムで不正なトラフィックを検出・遮断し、SQLインジェクションやクロスサイトスクリプティングなどの攻撃から予約サイトを保護するWAF（Web Application Firewall）を導入したり、予約ページへの改ざんを即座に検出し、迅速な対応を可能にするサービスを取り入れたりするとよいでしょう。脅威を入口で防ぐだけでなく、検知の仕組みを何重にも張り巡らせる多層防御を導入することで、迅速な初動対応を実現できる可能性が高まります。

システムの定期的な脆弱性診断

予約システムや顧客データベースにセキュリティ上の欠陥がないか、定期的にチェックすることも重要です。すでに顕在化している脆弱性に対応するだけでなく、可視化されていないセキュリティホールを発見する必要があるでしょう。サイバー攻撃者の視点からシステムやネットワークへの擬似的な侵入を試みるペネトレーションテストを通じて、潜在的な脆弱性の洗い出しと実被害の範囲検証を実施することをおすすめします。

従業員のセキュリティ教育

攻撃者による偽の予約メールや不審なリンクを見分けるための訓練など、従業員のセキュリティ教育を定期的に実施することも大切です。ホテル業界は顧客の個人情報を多く扱うため、情報漏洩や不正アクセスのリスクが高く、これらを防ぐためには従業員の意識改革を図る必要があります。従業員がサイバー攻撃の兆候を早期に発見し、迅速に対応できるよう、定期的にシミュレーションや演習を行いましょう。

宿泊業を標的としたサイバー攻撃対策に関するよくある質問

ホテルや旅館がサイバー攻撃の標的になりやすいのはなぜ？

宿泊施設には、決済情報をはじめとする顧客の個人情報が多く集まります。攻撃者にとって、窃取する価値のある情報が豊富にある環境といえるでしょう。また、予約サービスなど外部のシステムと連携しているケースが多く、脆弱性が生じやすいことも大きな要因です。宿泊業におけるサイバー攻撃対策は、不正アクセスや情報漏洩を未然に防ぐ上で不可欠な取り組みといえます。

予約サイト経由での情報漏洩にはどう対処すればいい？

予約サイトを介してホテル側のアカウントが乗っ取られたり、宿泊客がフィッシング被害に遭ったりする事態は十分に想定されます。すべてのアカウントに多要素認証を適用するほか、予約サイト経由で届いた不審なメッセージを開封しない、URLリンクをクリックしないよう徹底しましょう。また、定期的に従業員へのセキュリティ教育を実施し、最新のサイバー攻撃の動向を共有するとともに、脅威の侵入防止策やインシデント発生時の初動対応を周知することが大切です。

不正アクセスや顧客情報漏洩が疑われる場合はまず何をするべき？

不審な挙動や通信が見られるなど、サイバー攻撃の被害に遭っていることが疑われる場合には、被害拡大を防ぐための対応が求められます。被害に遭った可能性のある端末やシステムを速やかにネットワークから切り離し、すべてのアカウント情報を即座に変更しましょう。さらに、個人情報保護委員会や所轄の警察署、予約サイト経由の場合はサポート窓口へ迅速に報告・相談することが大切です。一連の初動対応が適切になされることにより、被害を最小限に抑えられる可能性があります。

まとめ