「無視してください」で終わらせない：予約詐欺メールに宿が返す4つの答え

結論

2026年10月中旬になっても、泊まる予定のホテルを名乗り、本物の予約情報を書き込んだ詐欺メールが宿泊客に届いています。10月16日にTogetterでまとめられた事例では、パック旅行で予約した人に「内容に間違いがなければ承認してください。承認しないと部屋を押さえたことにならない」という趣旨のメールが届きました。本人がホテルに問い合わせると、答えは「当館からそのようなメールは送らないので、無視してください」でした。

この答えは間違っていません。それでも投稿者は、情報がどこから漏れているのか分からず安心できない、と不安を書き込みました。宿泊客が知りたいのは、メールが本物かどうかだけではないからです。

• 宿泊客が知りたいのは4つ：①このメールは本物か、②自分の予約は大丈夫か、③情報はどこから漏れたのか、④もう入力してしまったらどうすればよいか。「無視してください」は①にしか答えていない
• 問い合わせは漏えいの第一報になる：届いた経路・宛先・中身を毎回記録すれば、どこから漏れたかを絞り込む手がかりになる
• パック旅行の客には、宿のお知らせが届きにくい：契約と支払いの相手は旅行会社。旅行会社と組んで知らせる必要がある

この記事では、電話口で返す答えの型と、問い合わせを記録して漏えい元を絞り込む手順をまとめます。

はじめに

宿泊予約の情報を悪用した詐欺は、2026年に入って規模が大きくなりました。サイトコントローラー※注1「TEMAIRAZU（手間いらず）」を提供する手間いらず株式会社は10月9日、不正アクセスで予約情報を閲覧・取得された可能性がある人は最大で約445万人だと開示しました。対象の情報は、氏名、電話番号、メールアドレス、宿泊施設名、チェックイン日・チェックアウト日、宿泊料金などです。同社はクレジットカード情報を保有していません。

同社の10月7日の第二報によると、詐欺メッセージはWhatsApp、メール、SMSなどで届き、事前チェックインや予約の維持を理由に外部サイトへ誘導して、カード情報の入力や支払いを求めます。冒頭の事例の「承認しないと部屋を押さえたことにならない」という文面も、この型によく似ています。ただし、事例のホテル名や使っているシステムは明らかになっておらず、漏えい元は特定されていません。

事案の経緯と初動は手間いらず不正アクセスから学ぶホテルのセキュリティSOPで、施設のお知らせの書き方は手間いらず事案12社のお知らせの読み比べで取り上げました。この記事は、その間にある宿泊客からの1本の電話に絞ります。

何が起きたのか：パックで予約した客に「ホテルから承認依頼」

まとめられた投稿（10月15日夜）によると、経緯は次のとおりです。

• オタ活（推し活）の遠征で泊まる予定のホテルから、予約内容の「承認」を求めるメールが届いた。承認しないと部屋を押さえたことにならない、と書かれていた
• 投稿者はパック旅行で予約していたため、ホテルから直接連絡が来るのはおかしいと考え、ホテルに問い合わせた
• ホテルの答えは「そういうメールが届いているようで対応しているが、当館から送ることはないので無視してほしい」というものだった
• メールには投稿者の名前、予約番号、ホテル名がはっきり書かれており、投稿者は情報の出どころが分からないことへの不安を訴えた

反応には、似た体験が続きました。氏名・日程・金額まで書かれた英文メールで「返信しないとキャンセル扱いになる場合がある」と迫られた人、1週間後に泊まるホテルから「専用のチェックインリンク」が届いていた人、同じメールで実際にだまされたという人もいます。10万円をだまし取られかけ、ホテルにもっと早く周知してほしかったと書いた人もいました。

この事例から読み取れる要点は2つです。1つは、ホテルはこうしたメールが出回っていることを把握していたのに、少なくともこの宿泊客には事前に知らされていなかったこと。もう1つは、投稿者が詐欺に気づけた決め手が、「パックで予約したのに、なぜホテルから」という予約経路の違和感だったことです。

2026年、予約情報はどこから漏れているか

宿泊客には、届いた詐欺メールはすべて「泊まる宿からの連絡」に見えます。しかし2026年に公表された事案を並べると、漏れた場所は宿の外にも内にもあります。

漏れた場所	2026年の主な公表例	宿泊客への連絡に使われた経路
OTA※注2の本体	Booking.com（4月）。予約情報への不正アクセスを認め、対象予約のPINを更新	WhatsAppなど（利用者の報告）
宿のOTA管理画面	ホテル日航プリンセス京都（3月、Expediaの管理者用アカウント）、ポラリス・ホールディングス（5月、Booking.comのアカウント）	WhatsAppなど
宿の自社予約システム	GHP（クラブチャペルホテルズ、8月、公式サイトの予約システムのデータベース）	—（閲覧された可能性を公表）
サイトコントローラー	手間いらず（9月公表、最大約445万人）	WhatsApp、メール、SMS

パック旅行では、ここに旅行会社のシステムも加わります。予約情報は旅行会社のシステムから、サイトコントローラーやPMS※注3など複数のシステムを経由して宿に届くことがあります。宿泊客から問い合わせを受けた時点では、ホテルにも漏えい元はすぐには分かりません。だからこそ、分かることと分からないことを分けて答える型が要ります。

宿泊客が知りたい4つのこと

電話をかけてくる宿泊客の質問は、ほぼ次の4つに集約されます。冒頭の事例の答えと並べると、足りない部分がはっきりします。

宿泊客の質問	「無視してください」で答えられたか	その場で返せる答え
①このメールは本物か	○	当館はメールやメッセージアプリで、予約の承認やカード情報の入力、支払いを求めない
②自分の予約は大丈夫か	×	電話口で予約を照会し、「予約は有効。承認や取り直し、追加の支払いは不要」と伝える
③情報はどこから漏れたのか	×	確認できた事実だけを伝える（例：当館が使う予約管理システムで不正アクセスが公表されている／調査中で、分かり次第公式サイトで知らせる）
④もう入力・支払いをしてしまったら	×	すぐカード会社に連絡して利用停止を相談する。送金した場合は金融機関と警察にも相談する

①だけで電話を終えると、宿泊客は「予約は本当に残っているのか」「また別のメールが来たらどうするのか」という不安を抱えたまま当日を迎えます。②の予約照会は1分もかかりません。電話をかけてきた客は、詐欺を疑って確かめるという正しい行動を取った人です。その行動に、具体的な答えで応える必要があります。

電話口の5ステップ

4つの答えを、受付の順番に並べたのが次の5ステップです。フロントと予約係の全員が同じ順で話せるよう、紙1枚にして電話機の横に置いておくと迷いません。

1. 確認してくれたことに礼を言う：「ご確認のお電話、ありがとうございます。そのメールは当館からお送りしたものではありません」
2. 予約を照会する：氏名と宿泊日で予約を開き、「ご予約は有効です。承認や取り直し、追加のお支払いは必要ありません」と伝える。パック旅行の客には「ご旅行代金のお支払い先は旅行会社です」と添える
3. 当館がしないことを伝える：「当館からメールやメッセージアプリで、カード情報の入力やお支払いをお願いすることはありません」
4. 入力・支払いの有無を聞く：入力していればカード会社へ、送金していれば金融機関と警察へ、すぐ相談するよう案内する
5. 届いた内容を聞き取る：届いた日時、経路（メール・SMS・WhatsApp・予約サイトのアプリ）、送信元、書かれていた情報を聞く。リンクは開かないようお願いする

ステップ3の一文は、自館の実際の運用と食い違わないように決めます。自社予約で事前決済のリンクを送っている施設なら、「当館からの決済のご案内は○○（自社ドメイン）からのみお送りします」と言い換えます。英語の問い合わせにも同じ順で答えられるよう、ステップ2と3は英文も用意しておきます（例：Your reservation is confirmed. We never ask for card details or payment through messaging apps.）。

問い合わせ1件ごとに残す8項目

5ステップ目の聞き取りは、宿泊客のためだけではありません。宿泊客からの問い合わせは、漏えいに気づく最も早い手がかりです。手間いらず事案でも、最初の発覚は9月21日に複数の施設から同社へ入った「予約者に不審なメッセージが届いている」という連絡でした。藤田観光も、宿泊客からの問い合わせで偽サイトへの誘導を確認したと公表しています。

問い合わせを受けたら、次の8項目を共有の記録表に残します。

項目	記録する内容	何に使うか
1. 受付日時	問い合わせを受けた日時	件数の増え方を見る
2. 予約経路	自社サイト・電話、OTA名、旅行会社名	経路に偏りがあるか
3. 予約日と宿泊日	予約が成立した日、チェックイン日	対象となる予約の条件
4. 届いた経路	メール、SMS、WhatsApp、OTAのアプリ内メッセージ	どのアカウントが使われたか
5. 届いた宛先	どのメールアドレス・電話番号に届いたか	宿が持っている連絡先か
6. 書かれていた情報	氏名、日程、金額、予約番号（誰が振った番号か）	どのシステムのデータか
7. 誘導先	送信元とリンク先のドメイン（文字列だけ控え、開かない）	報告・削除依頼
8. 被害の有無	入力・支払いをしたか、案内した窓口	報告と事後対応

記録表はフロント、予約、営業の全員が書き込める場所に1つだけ置きます。責任者は1日1回目を通し、例えば同じ型の問い合わせが2件続いたら、次の章の手順で漏えい元の確認に入る、と決めておくと動き出しが遅れません。件数の目安は施設の規模に合わせて決めてください。

共通点から漏えい元を絞る

記録が数件たまると、届いた人の共通点から、どこを疑い、誰に連絡すべきかが見えてきます。あくまで最初に確認する先の目安で、最終的な判断はシステム会社やOTAの調査を待ちます。

届いた人の共通点	まず疑う場所	まず連絡する先
特定のOTAの予約客だけ。そのOTAのアプリ内メッセージで届く	自館のOTA管理画面のアカウント	OTAのパートナー窓口。パスワード変更とログイン履歴の確認
複数のOTAや旅行会社の客に届くが、自社サイトの直予約には届かない	OTAとPMSの間をつなぐシステム（サイトコントローラーなど）	システム会社
自社サイトや電話で予約した客にも届く	自館のPMS、予約エンジン、メールアカウント	PMS・予約エンジンの会社、社内の情報システム担当
同じ旅行会社のパック客だけ	旅行会社側のシステム	旅行会社の担当窓口
宿が知らない連絡先に届いている	宿より手前（OTA、旅行会社、本人の端末など）	予約を受けたOTA・旅行会社

最後の行は見落とされがちです。海外OTAの一部は、宿泊客の本当のメールアドレスを宿に渡さず、中継用のアドレスを渡します。宿が中継用アドレスしか持っていないのに本当のアドレスへ詐欺メールが届いたなら、少なくともそのアドレスは宿のシステムから漏れたものではないと考えられます。

予約番号も手がかりになります。OTAや旅行会社が振った番号なのか、宿のPMSが振った番号なのか。宿の番号が書かれていれば、宿側のシステムや確認メールの送信経路を先に疑います。OTA管理画面の守り方はOTA管理画面の乗っ取りを防ぐ棚卸し術で詳しく扱いました。

パック旅行の客には、誰が知らせるのか

冒頭の事例でもう1つ考えたいのが、パック旅行の客への周知です。パック旅行では、宿泊客が契約して代金を払う相手は旅行会社で、宿は旅行会社から手配を受ける立場です。宿泊客は宿の公式サイトを見て予約したわけではないので、宿がサイトに注意喚起を載せても、パック旅行の客はまず読みません。宿から予約確認メールを受け取っていないことも多く、「当館は求めません」という一文に触れる機会もありません。

一方で、この構造は詐欺を見分ける決め手にもなります。投稿者が気づけたのは、パックで予約したのに宿から承認を求められたからでした。パック旅行の客に届けたい一文は、「ご旅行代金のお支払い先は旅行会社です。当館から事前のお支払いをお願いすることはありません」です。

この一文を確実に届けられるのは、宿泊客の連絡先と契約を持つ旅行会社です。不審なメールの問い合わせを受けたら、宿から取引のある旅行会社へ次の3点を伝えます。

• 自館の予約客に、宿を名乗る詐欺メールが届いていること（届いた文面の型と、問い合わせの件数）
• 自館からは事前の支払いや承認を求めないこと（旅行会社の顧客案内にそのまま使える文面を添える）
• 旅行会社にも同じ時期の予約客から問い合わせが来ていないか（漏えい元の切り分けに使う）

OTA経由の予約客にはOTAのメッセージ機能で、自社予約の客には自館のメールで、それぞれリンクを入れずに知らせます。経路ごとに「誰が、どの窓口から知らせるか」を決めておけば、冒頭の事例のように「ホテルは知っていたのに客は知らなかった」という時間を短くできます。

攻撃はいつまで続くのか

注意喚起を「1週間ほど出せば十分」と考えるのは危険です。漏れた予約情報にはチェックイン日が含まれ、詐欺は事前チェックインや予約の維持など、宿泊前の手続きを口実にします。つまり、漏れた予約の宿泊日が来るまで、詐欺の口実は残り続けます。手間いらず事案では、複数の施設が対象を「9月21日までに成立し、宿泊日が9月21日以降の予約」と案内しています。年末年始や来春の予約を早めに入れた客は、何か月も先まで狙われうるということです。

宿泊日を過ぎても、氏名・電話番号・メールアドレスと「この宿を予約した」という情報は残り、宿泊後を装った連絡に悪用されることも考えられます。少なくとも対象となりうる予約の宿泊日が終わるまでは、公式サイトのお知らせ、予約確認メールの一文、チェックイン時の案内を続けます。

デメリット・リスク

• 電話が長くなる：5ステップと聞き取りで1件数分かかる。問い合わせが集中する時期は、予約係に専用の回線や時間帯を割り当てる
• 推測で答えてしまう：「うちのシステムではない」「旅行会社から漏れた」と電話口で言うと、事実として広まる。話してよいのは公表済みの事実だけ、と決めておく
• 記録そのものが個人情報になる：記録表やスクリーンショットには宿泊客の情報が含まれる。閲覧できる人を限り、調査が終わったら消す
• 調べる側が被害に遭う：宿泊客から転送された詐欺メールのリンクや添付を、スタッフが開いてしまう危険がある。ドメインは文字列として控えるだけにする
• 宿からの連絡も疑われる：個別に知らせる連絡が、詐欺メールと見分けにくくなる。リンクを入れず、公式サイトのお知らせと同じ内容にして確かめられるようにする

まとめ

本物の予約情報を書いた詐欺メールは、漏えい元が宿の外にあっても、宿泊客には「泊まる宿からの連絡」に見えます。だからこそ、確かめる問い合わせを受けた宿の答え方が、宿への信頼を左右します。

• 「無視してください」は4つの質問の1つにしか答えていない。予約が有効なこと、分かっている事実、被害に遭ったときの窓口まで返す
• 問い合わせは漏えいの第一報。経路・宛先・中身を8項目で記録し、共通点から漏えい元と連絡先を絞る
• パック旅行の客には宿のお知らせが届きにくい。旅行会社と組み、「支払い先は旅行会社」の一文を届ける
• 詐欺の口実は、漏れた予約の宿泊日まで残る。注意喚起は短期で終わらせない

まずは今日、フロントの電話機の横に5ステップの紙を置き、問い合わせの記録表を1つ作るところから始めてください。

よくある質問（FAQ）

Q1. 宿泊客から「ホテルから承認依頼のメールが来た」と電話がありました。最初に何を言えばよいですか？

確認してくれたことに礼を言い、当館から送ったものではないと伝えます。そのうえで、その場で予約を照会して「予約は有効で、承認や追加の支払いは不要」と伝え、入力や支払いをしていないかを確かめます。

Q2. 漏えい元が分からないとき、「当館のシステムからは漏れていません」と言ってよいですか？

調査で確認できていない限り、言わないほうが安全です。言い切った後に宿側の漏えいが分かると、信頼を大きく損ないます。「調査中で、分かり次第公式サイトでお知らせします」と答えます。

Q3. パック旅行の客に、宿から直接連絡してもよいですか？

契約の相手は旅行会社なので、まず旅行会社に状況を伝え、旅行会社から顧客に案内してもらうのが基本です。宿からは、問い合わせを受けたときやチェックイン時に「支払い先は旅行会社で、当館から事前の支払いは求めない」と伝えます。

Q4. 宿泊客が詐欺メールを転送してきました。開いて確認してよいですか？

リンクや添付ファイルは開かないでください。送信元とリンク先のドメインを文字列として控え、記録表に残します。詳しい調査が必要な場合は、システム会社や社内の情報システム担当に渡します。

Q5. 宿泊客が偽サイトにカード情報を入力してしまいました。宿は何を案内すればよいですか？

すぐにカード会社へ連絡し、利用停止や再発行を相談するよう案内します。送金してしまった場合は、金融機関と警察（警察相談専用電話 #9110 や各都道府県警察のサイバー犯罪相談窓口）にも相談してもらいます。予約は有効で、追加の支払いは不要であることもあわせて伝えます。

Q6. 問い合わせが何件来たら、漏えいを疑うべきですか？

決まった基準はありません。1件でも本物の予約情報が書かれていれば、漏えいの可能性があります。記録表の共通点を見て、OTA、システム会社、旅行会社のどこに確認するかを決めてください。

Q7. 注意喚起はいつまで続ければよいですか？

少なくとも、対象となりうる予約の宿泊日が終わるまでは続けます。詐欺は宿泊前の手続きを口実にするため、宿泊日が先の予約ほど長く狙われます。

※注1：サイトコントローラー…複数の宿泊予約サイト（OTA）の在庫・料金・予約を一括で管理するシステム。各サイトの予約情報が集まる。

※注2：OTA（Online Travel Agent）…インターネット上で宿泊予約を受け付ける旅行会社。Booking.com、Expedia、楽天トラベル、じゃらんnetなど。

※注3：PMS（Property Management System）…宿泊施設の予約、客室、会計などを管理する基幹システム。

出典：Togetter「宿泊予定のホテルから『書いてある情報に間違いがなければ承認してください…』とのメール…」（2026年10月16日公開）、手間いらず株式会社「当社システムへの不正アクセスに関する経過および対応について（第二報）」（2026年10月7日）、同「当社システムへの不正アクセスに関する調査状況および対応について」（2026年10月9日）、TechCrunch「Booking.com confirms hackers accessed customers’ data」（2026年4月13日）、各社の公表資料