予約ハイジャック詐欺とは？本物のホテル予約情報を悪用する新型フィッシング詐欺の全貌と対策

はじめに：完璧なはずだった旅行計画に届いた一通のメッセージ

楽しみにしていた旅行のためにホテルを予約した。何も問題はないように見えた――その瞬間まで。

そんな折、ゲストサービスからの定型的なフォローアップのように見えるメッセージが届きます。ホテル名、旅行日程、支払い情報など、あなたの予約に関する具体的な内容に言及したものです。

一見すると本物ですが、実際は偽りです。

これは、Norton（ノートン）などを展開するGenの脅威リサーチャーが「予約ハイジャック詐欺（Reservation Hijack）」と呼ぶ、拡大を続ける詐欺トレンドの一部です。この手口が非常に巧妙な理由は、『自分と予約先のホテルだけが知っているはずの機密情報』を悪用している点にあります。

2026年4月、大手オンライン旅行予約プラットフォームのBooking.comは、一部の顧客の予約情報（氏名、連絡先、予約データなど）に不正な第三者がアクセスしたことを警告しました（Guardian紙の報道による）。影響を受けた顧客数は公表されていません。こうしたインシデントは、攻撃者に予約ハイジャック詐欺を実行するための『文脈情報』を与えてしまう可能性があります。

予約ハイジャック詐欺とは？

予約ハイジャック詐欺とは、本物のホテル予約情報を利用してメッセージに正当性を持たせ、旅行者をだまして支払い情報や機密情報を入力させる標的型フィッシング詐欺の一種です。

高度なケースでは、詐欺師はホテルのシステムやBooking.comのような予約プラットフォームへのアクセス権を取得し、通常なら信頼できるとみなされるチャンネルからゲストに直接接触します。つまり、届いたメッセージは見た目が本物であるだけでなく、あなたが信頼するプラットフォーム経由で送られてくるため、詐欺を見抜くことが格段に難しくなるのです。

この詐欺が効果的なのはまさにこの点です。見慣れない不審なメッセージを信用するよう求めるのではなく、すでに馴染み深く感じられるメッセージを信用するよう仕向けるのです。

Nortonリサーチャーが明らかにした調査結果

Nortonのリサーチャーたちは、実際の予約データと信頼できる旅行プラットフォームを悪用する詐欺の増加を確認しています。主な調査結果は以下の通りです。

• 詐欺師は無差別なユーザーではなく、有効な予約を持つ旅行者を狙っている
• メッセージは、予約プラットフォームや公式を装ったメールなど、信頼できるチャンネル経由で届けられる
• 攻撃には、正当な予約に紐づいた緊急の支払い要求が含まれることが多い
• 実際の予約詳細の使用により、従来のフィッシング詐欺よりもはるかに高い成功率を誇る

予約ハイジャック詐欺の出現は、より大きな傾向の表れでもあります。詐欺師は画一的なメッセージから離れ、高度に文脈化されたパーソナライズ型の攻撃へと移行しているのです。

詐欺師はどうやって予約情報を入手するのか

この詐欺で最も不安を感じるのは、攻撃者が驚くほど多くの情報を把握している点です。場合によっては、次のような方法で予約情報へのアクセスを得ています。

• ホテルやパートナーアカウントの侵害：ホテルスタッフへのフィッシング攻撃や脆弱なパスワードの悪用
• サードパーティベンダーの悪用：予約システムに接続された外部業者の脆弱性をつく
• プラットフォームのメッセージ機能の乗っ取り：正規の宿泊施設になりすまして連絡する

なお、この詐欺の標的になったからといって、必ずしも自分のアカウントがハッキングされたわけではありません。データを保有する企業側が情報流出被害を受けており、攻撃者がその実データを利用してメッセージをより本物らしく見せているケースもあるのです。

詐欺の手口：攻撃はこうして進行する

予約ハイジャック詐欺は、多くの場合、最近行った旅行予約に関するメッセージから始まります。メール、SMS、WhatsApp、さらには予約プラットフォーム内のメッセージ機能経由で届くこともあり、実際の詳細に言及しているため、すぐには疑いを持ちません。

メッセージは通常、『支払いに問題が発生しました』『予約の確認が必要です』といった問題を提示します。そして、『すぐに対応しないと予約がキャンセルされる』というような緊急性が強調されるのが特徴です。

そこから、正当に見えるが実際には金銭情報や個人情報を盗む目的で作られた偽の支払いページへ誘導されます。ここまで来ると状況があまりにもリアルに感じられるため、多くの人は疑問を持つことなく入力してしまうのです。

この詐欺が非常に説得力を持つ理由

この詐欺を他と区別するのは、その個別対応の精度です。攻撃者は推測ではなく、あなたがどこへ旅行するのか、どのホテルを予約したのか、どのくらいの期間滞在するのかをすでに知っています。

そうした文脈が強力な信頼感を生み出します。メッセージは無作為に送られてきたものや場違いなものには感じられず、いつもの旅行体験の一部のように自然に溶け込んでいるのです。

そして、それこそが狙いです。詐欺師はもはや、拙い日本語や変な文面で人を騙そうとしているだけではありません。実生活の中のリアルな情報とリアルな場面を利用して、要求が完全に理にかなっていると感じさせているのです。

情報を盗まれると何が起こるのか

予約ハイジャック詐欺の被害は、単なる一度の不正請求にとどまりません。共有した情報の内容によっては、次のような二次被害につながる可能性があります。

• 盗まれた支払い情報を使った不正購入
• 個人情報の悪用によるなりすまし（ID窃盗）
• 流出したデータを利用した追加の詐欺被害
• 予約が取り消された場合の旅行計画の混乱

特に機密性の高い情報が漏洩した場合、その影響は旅行を超えて長期にわたる恐れがあります。

ホテル予約時に安全を守るための鉄則

最も重要な原則はただひとつ。「予約を信頼せよ、メッセージを信頼するな」です。予約に関するアクションを求められたら、立ち止まって必ず自力で確認しましょう。以下のステップが役立ちます。

予約ハイジャック詐欺を回避する3つのポイント

• メッセージ内の支払いリンクをクリックしない：たとえホテルや予約プラットフォームからのものに見えても、一呼吸置いて正当性を確認する
• 必ず正規の窓口に直接アクセスする：予約サイトに自分でログインするか、公式の連絡先を使ってホテルに電話で確認する。不審なメッセージがプラットフォーム内から届いた場合は、電話での照会が確実
• 緊急性を煽る文言に警戒する：「今すぐ」「至急」といった切迫した表現は、詐欺の典型的な兆候（レッドフラグ）

こうした小さな心がけが、せっかくの正当な予約を実際の損失に変えるのを防ぎます。

被害に遭った可能性があるときの対処法

詐欺メッセージとやり取りした可能性があると思ったら、迅速に次の行動を取りましょう。

1. すぐに銀行またはクレジットカード会社に連絡する
2. 各アカウントに不正な取引がないか監視する
3. 予約サイトとメールアカウントのパスワードを変更する
4. 予約プラットフォームおよび消費生活センターなどの関係機関に相談・報告する

早めの対応が、被害の拡大を防ぐ鍵となります。

なぜこの種の詐欺が増加し続けるのか

予約ハイジャック詐欺のような手口が増えているのは、攻撃者がより高度で標的を絞った戦術を採用しているためです。画一的なフィッシングメールに頼る代わりに、個人の詳細情報、信頼できるプラットフォーム、カスタマイズされたメッセージを駆使して、日常のやり取りにシームレスに紛れ込ませています。

同時に、旅行需要の回復とともにオンライン予約が急増しており、詐欺師にとっては『有効な予約を持ち、まさに連絡を待ち望んでいる旅行者』に接触できる絶好の機会が増えています。

その結果生まれたのが、一見まったく怪しく見えない新しいタイプの詐欺なのです。

今日のオンラインセキュリティは、大きな危険信号を見分ける能力だけでは不十分です。詐欺は直感だけでは見破れないほど精巧になっています。大切なのは、強力なサイバーセーフティ対策を常備し、油断している瞬間でも多層的な防御が働く環境を整えることです。

Norton 360 DeluxeのようなAI搭載セキュリティソフトは、不審なサイトをブロックし、フィッシング攻撃の兆候を検出し、個人情報を厳重に保護することで、詐欺師の一歩先を行く安心を提供します。自信を持って旅行を楽しめる環境づくりにお役立てください。

---

• Luis Corrons（ルイス・コロン）
• セキュリティエバンジェリスト

Luis Corronsは、Gen（Avast、AVG、Avira、Norton）のセキュリティエバンジェリストであり、AMTSOおよびMUTEのボードメンバーも務めています。業界イベントで著名なスピーカーとしても活躍しています。

編集者注：本記事は、サイバーセーフティにおける重要なトピックへの認識を高めることを目的とした教育情報を提供するものです。Nortonの製品・サービスが、本記事で取り上げるすべての種類の脅威、詐欺、犯罪から保護するとは限りません。記事の調査・執筆・レビューの体制について詳しくは、弊社の編集方針をご参照ください。