TL;DR
- 01何が起きたか
ホテルを運営するポラリス・ホールディングスが使う Booking.com のアカウントに第三者が入り込み、複数のホテルで、売上金を受け取る口座が第三者の口座に書き換えられた。1 ホテルでは売掛金（受け取るはずの代金）の一部がその口座に振り込まれ、約 900 万円の損失が出た。ほかのホテルは、同社の言う早期対応で、不正送金を未然に防いだ。
- 02なぜ見分けられないか
書き換えは、正規の管理画面から、ログイン済みの操作として行われた。システムから見れば、いつもの設定変更と区別がつかない。
- 03欠けていた層
検出は効いていた。検知と早期対応で、被害は 1 ホテルに収まった。効かなかったのは、振込先の変更を、お金が動く前に、変更した本人とは別の人が確かめる層である。
何が起きたか
- 当事者
- ポラリス・ホールディングス（ホテル運営）。グループのホテルは、予約サイト Booking.com をグループ単位のアカウントで管理していた。
- 書き換えられたもの
- Booking.com からホテルへ売上金を払い込む先の口座。ホテル側が管理画面で登録しておく設定で、これが第三者の口座に変えられた。
- 被害
- 1 ホテルで、売掛金（受け取るはずの代金）の一部が不正な口座に振り込まれ、約 900 万円の損失（開示時点）。ほかの複数のホテルでも書き換えがあったが、早期対応で不正送金を未然に防いだ。
- 宿泊客への波及
- 一部のホテルの予約客に、フィッシングのメッセージが届いた。管理画面から取られた予約情報が使われた可能性と、外部の予約管理システムから漏れた可能性の両方を、同社が調べている。
- 侵入の経路
- 開示時点では調査中で、公表されていない。本 Brief も断定しない。
- 業界の背景
- Booking.com に掲載するホテルの管理画面（エクストラネット）は、以前から狙われている。セキュリティ企業 Sekoia の 2025 年 11 月の調査では、Booking.com を装ったメールでホテルの職員に不正なプログラムを実行させ、管理画面のログイン情報を盗む手口が確認されている。宿泊客は、乗っ取ったアカウントのメールや WhatsApp で、本物の予約情報を添えて、支払い情報の再確認を装うページへ誘われていた。
用語メモ
エクストラネット — Booking.com がホテル向けに用意する管理サイト。
認証済みセッション — ログインが済んだ状態。この状態での操作は、システムには正規の操作として見える。
止めるべきだったのは ② の確定時点。③ の払い込み自体は、登録どおりの動き。④ と ③ の前後は、開示からは分からない。
経路は調査中。
複数のホテルの口座を、第三者の口座に。
1 ホテル分が不正な口座に入る。
同社の言う早期対応による。
3 の払い込みは、登録された口座への通常の動きである。問題は 2 の変更が、正しい変更として受け入れられたことにある。
時系列 — 公表と対応
- ポラリスが、Booking.com のグループアカウントの異常に気づき、調査を始める。
- 複数のホテルで受取口座が書き換えられていた。1 ホテルで売掛金の一部が不正な口座へ振り込まれ、約 900 万円の損失。ほかは早期対応で不正送金を未然に防いだ。
- ポラリスが不正アクセスを開示する。同日、旅行業界メディアの TRAICY が報じる。
- 06-03 にかけて、セキュリティ専門媒体の ScanNetSecurity、Security NEXT が報じる。
本件の事実は、ポラリス・ホールディングスの 5 月 28 日の開示と、それを伝えた報道に拠る。侵入の経路、宿泊客の個人情報が漏れたかどうかは、開示時点で調査中である。開示資料は同社サイトから取り下げられており、本 Brief では報道を出典として示す。
公表後の対応
- ポラリス: 全ホテルの Booking.com 関連アカウントのパスワードを変え、アクセスの記録の開示を求め、被害が広がらないよう手当てをした。クレジットカード情報の漏えいは確認されていない。業績への影響は軽微と見込む。
- 業界: Booking.com のホテル向け管理画面を狙う手口は、国内でも被害の公表が相次いでいる。多くは宿泊客へのフィッシングで、本件はそこから一歩進み、ホテル自身のお金の流れを書き換えた点で被害が直接の損失になった。
なぜ止まらなかったか
この事案の失敗は、アカウントに入り込まれたことだけではない。振込先の変更を、確定の前に別の人が確かめる層が無かったことにある。
お金の行き先を変える操作が、ログインした状態のまま、確定まで通った。
ログインは「入ってきたのが登録された人か」を確かめる仕組みで、入った後に何をするかは確かめない。セキュリティの言葉では、ログインが済んだ状態を「認証済みセッション」と呼ぶ。この状態で行われた操作は、システムには正規の操作として見える。振込先の変更も、連絡先の変更も、同じ一つの操作として扱われる。
検出は効いていた。ポラリスはアカウントの異常を検知し、ほかのホテルでは不正送金を未然に防いだ。ただ、検出は異常が表に出てから働く。それでも 1 ホテル分は送金された。その送金が検知の前か後かは、開示からは分からない。止めるべきだったのは、その手前、振込先の変更が確定する時点である。
証明は変更が確定する前に働き、検出は異常が表に出た後に働く。その間、書き換えられた口座は正しい設定として扱われる。
まだ誰も気づいていない
異常に気づくことと、変更が正しいと確かめることの間にある隔たりが、本 Brief の言う検出と証明の落差であり、構造的な欠落である。
同じ形は、国の認証メール網から届いた開示要求に応じた Revolut にも、本物の配信ドメインから偽のメールが届いた SpeeCAN RAIDEN にも現れている。どれも「正規の経路から来た」ことが、「正しい依頼である」ことの代わりに使われていた。
対策するには
今回の手口は、仕組みがあれば一部まで防げた。振込先の変更を、別の人が別の経路で確かめるまで確定させない仕組みがあれば、書き換えは止まる。ただし変更は Booking.com の管理画面の中で起きたので、その仕組みは予約サイトの側に組み込まれている必要がある。利用者の側で足せるのは、変更の後、最初の入金の前に止める手立てである。変更の通知を本人以外も受け取り、身に覚えのない変更ならプラットフォームに支払いの停止を求める。
注意したい業界・業務
- 業界サービス・小売
- 予約サイトや EC、決済代行を通じて売上金を受け取る宿泊・飲食・小売の事業者。受取口座の設定は、外部サービスの管理画面にある。
- 業界金融・FinTech
- 振込先の登録や変更を受け付ける銀行・決済の事業者。利用者の側で書き換えられた振込先も、正しい指示として届く。
- 業務振込先・口座の変更
- 取引先や自分たちの受取口座を登録・変更する操作。変えた結果は、次の支払いまで表に出ない。
- 業務アカウント・権限の管理
- 外部サービスのアカウントと、誰が何を変えられるかの管理。今回の書き換えは、乗っ取られたアカウントから行われた。
同じ穴は、ホテルに限らず多くの組織にある。取引先の振込先を変える経理の操作、ネットバンキングの振込先の登録、EC や決済代行サービスの受取口座の設定。どれも、ログインできる人がその場で変えられ、変えた結果は次の支払いまで表に出ない。そして、この操作の持ち主は決まっていないことが多い。
- 経理
- 口座と支払いを扱う。変更は「システムの話」と見がち。
- 情報システム
- アカウントを管理する。変更は「業務の話」と見がち。
- 事業部門
- 予約サイトや決済サービスを契約し、日々使う。
三者の間に、「その振込先の変更は本当に正しいか」を確かめる役が無い。今回は 1 ホテルだけで約 900 万円の損失が出た。
いまの対策で防げるか
| 対策 | 今回 | 理由 |
|---|---|---|
| 多要素認証（MFA） | 一部 | 入口では効く。経路が未公表のため、今回効いたかは分からない。端末やログイン状態ごと乗っ取られると通り、入った後の操作の中身は見ない。 |
| 端末の監視（EDR） | 一部 | Sekoia の例のような端末への感染なら検知できる可能性がある。ただ、予約サイトや外部サービスの中で起きた設定変更は見えない。 |
| 折り返しの電話確認 | 効かない | 取引先から「口座を変えたい」と依頼が来たときには効く。今回のように自分たちの設定そのものが書き換えられると、誰にも電話がかからない。 |
| 送信ドメイン認証（DMARC など） | 関係しない | メールのなりすましを減らすが、今回の書き換えには関係しない。 |
- 変更した本人以外が確かめる。振込先の変更は、ログイン中の操作だけでは確定させない。あらかじめ決めた別の承認者が、ログインとは別の経路で承認したことを、変更の前に確かめる。乗っ取られたアカウントと同じ経路で承認できるなら、意味が無い。
- 新しい口座が本当に自分たちのものか確かめる。口座の名義を、銀行の側の確認で裏付ける。承認者がだまされた場合にも効く。
- 確かめられない変更は止め、何を確かめて通したかを残す。確かめられなかった変更は保留にし、その口座への支払いも止める。いつ、誰の承認で、どの口座を通したかを、後から第三者に示せる形、つまり証明として残す。
振込先の変更について、組織で確かめる 3 項目
- 受取口座や振込先を変更できるアカウントは誰か。変更されたとき、変更した本人以外の誰に知らせが届くか。
- 振込先の変更を、本人以外の人が登録時とは別の手段で確かめるまで、最初の入出金を止めておけるか。
- 変更後の最初の入金や支払いを、誰が、何日以内に照合するか。合わなければ、次の送金を止められるか。
注：承認者自身がだまされて承認した場合や、承認の経路まで乗っ取られた場合は、この仕組みでも通ってしまう。また、確かめるまで止める運用にすると、正規の変更も遅れる。
Sources
- 一次・当事者の開示ポラリス・ホールディングス「不正アクセス（Booking.com アカウント）に関するお知らせ」
報道・解析 4 件
- 報道Security NEXT「宿泊予約サービスの口座情報が改ざん、不正送金被害 - ポラリスHD」
- 報道TRAICY「ポラリスHD、ブッキングドットコムへの不正アクセスで不正送金被害 宿泊予約者へのフィッシングメッセージも確認」
- 報道ScanNetSecurity「Booking.comへの不正アクセス、売上金受領口座情報が改ざん 約 900 万円の損失が発生」
- 業界の調査Sekoia “Phishing campaigns ‘I Paid Twice’ targeting Booking.com hotels and customers”
参照: 事後の検知が証明にならない論点は「AI時代のサイバー防衛に残された、最後の層」。