ホテルの情報漏洩で偽メールが届いた｜分かっていたのに踏んだ反省

情報漏洩のニュース、最近よく聞きますよね。「大丈夫かな」と不安になっていました。

そんなとき、Gmailの迷惑メールフォルダを開いたら、ホテル名で届いたメールが入っていました。中身は英語で書かれていました。

翻訳すると、予約のキャンセルと、予約の日付が書かれています。その日付は、私が本当に予約していたものと同じでした。

調べると、そのホテルの予約システムを通じた情報漏洩が公表されていました。

この記事では、実際に届いた偽メールの話と、わが家のパスワードとリンクの守り方を書きます。分かっていたのにやってしまった、私の反省もあります。

迷惑メールフォルダに、ホテル名のメールが届いていました

きっかけは、リベ大のライブ配信でした。Gmailの迷惑メールフォルダの話を聞いて、見てみました。

そこに、差出人がホテル名のメールがありました。

「これ、なんだろう？」

開くと英語です。翻訳すると、予約がキャンセルされたので、復元するならメッセージ内のボタンを押してください、という内容でした。予約の日付も書いてあります。

でも、おかしな点がありました。

• 英語で書かれている
• 迷惑メールに振り分けられている
• 差出人のメールアドレスが、ホテルのものとは全然違う
• ホテルが勝手に予約をキャンセルするのは不自然

ボタンは押しませんでした。

念のため、通常の受信フォルダも見てみました。すると、同じホテルからの本物の予約完了メールがありました。予約サイトで取った予約は、キャンセル済みでした。ホテルの公式サイトから取り直した予約は、行かないことになったあとも残っていたのですが、予約サイトの画面を見て、すべてキャンセルしたつもりでいました。ホテルからのメールのリンクから確認すると、予約が残っていたので、キャンセルしました。

偽メールの日付は、本物の予約と同じでした。予約の日付まで合っていたので、どこかから情報が漏れたのかもしれないと思いました。

迷惑メールに振り分けてくれたGmailには、「すごーい」と思いました。

調べたら、ホテルの予約システム経由で情報漏洩が公表されていました

ホテルのサイトに、お知らせが出ていました。2026年10月の初めに出たものです。

予約を管理する外部のシステムが不正ログインを受け、一部のお客さまの情報が漏れた可能性がある、という内容でした。お客さまを偽サイトへ誘導する通知が送られていたことも、書かれていました。お知らせの掲載時点では、金銭的な被害の報告はないとのことです。

私に届いたメールが、この件によるものかは分かりません。ただ、予約の日付が合っていたので、関係があると思っています。

お知らせには、お客さまへのお願いもありました。

• 宿泊施設を名乗る不審な連絡の、リンクは押さない
• 予約内容は、宿泊施設か予約サイトの公式窓口で確認する
• カード情報を入力してしまったら、カード会社に相談する

分かっていたのに、本物のメールのリンクを押していました

偽メールのリンクは、押していません。でも、ホテルから届いた本物のメールのリンクは、押していました。

偽メールを見つけた日です。予約が残っていないか確認したくて、本物の予約完了メールのリンクを開き、キャンセルまで手続きしました。検索するのが面倒だったからです。この時点では、まだ情報漏洩のことを知りませんでした。リンクは本物だったので、何も起きませんでした。

夫にこの話をすると、こう言われました。

本物のメールのリンクは押していたことも、夫に話しました。

ホテルのお知らせにも、予約内容は公式窓口で確認するよう書かれています。本物そっくりの偽メールが混ざる今は、本物のメールでも、リンクは押さないほうが安心です。次からは、検索して公式サイトから入ります。

身近な人にも話しました。「怖いねー」と言われ、自分にも詐欺メールが来たことがある、という人もいました。

わが家の守り｜パスワードとリンクの習慣

リベ大でお金の勉強をして、パスワードの大切さを学びました。そこから続けていることを書きます。

パスワードは使い回さない

私はパスワードの管理に、1Password（パスワードを作って管理するアプリ）を使っています。複雑なパスワードを作れるので、サービスごとに別のパスワードにできます。パソコンにも入れているので、スマホと両方で使えます。

設定は少し難しく感じました。説明を見ながら進めて、できました。

URLが違うと反応しない

ログインするサイトのURLを登録しておくと、そのURLのときに、1Passwordが入力候補を出します。本物そっくりの偽サイトでも、URLが違えば、いつものログイン情報が候補に出ません。偽サイトを疑うきっかけになります。

ありがたいことに、この仕組みに助けられた場面は、まだありません。

よく使うサイトはブックマークから入る

証券会社など、よく使うサイトはお気に入りに登録しています。それ以外は、検索しています。

通知は見る

証券口座やクレジットカードの利用通知は、見るようにしています。今のところ、心当たりのない通知がきたことはありません。

各サービスが勧める認証を設定する

SBI証券は、2026年6月30日から、パスキーの設定を原則必須にしました。パスキーとは、SBI証券が用意している、パスワードの代わりにスマホの顔認証や指紋などでログインする仕組みです。案内に従って、私も設定しました。説明を読んだときは難しそうでしたが、手順どおりに進めたらできました。

仕組みは、わかっていません。安全だと言われたので、設定しました。SBI証券の説明では、偽サイトでは認証が使えない仕組みのため、フィッシング（本物そっくりの偽サイトなどで、IDやパスワードをだまし取る詐欺）に強いそうです。

SBI証券と三井住友カードの、公式の守り

ここからは、公式サイトで確認した内容です。確認したのは2026年10月です。仕様は変わることがあるため、最新の情報は公式サイトでご確認ください。

SBI証券

SBI証券の公式セキュリティのページには、次のような守りが載っていました。

• パスキー認証や、電話番号認証などの多要素認証（パスワード以外の確認を加える仕組み）
• ログインや出金、登録情報の変更があったときのメール通知
• 自分でログインを止められる3つの設定

3つの設定は、次のとおりです。

• ログインパスワード無効設定：パスワードでのログインを無効にする（パスキーの設定が必要）
• アプリ・ツールのログイン制限設定：使わないアプリやツールのログインを止める
• ログイン一時利用停止設定：すべてのログインを止める

ログインを止めている間も、投資信託の積立設定は、そのまま注文が行われます。ほかにも注意点があるので、設定する前に、公式の説明を読んでください。

公式は、アプリやOSの更新、複雑なパスワードと多要素認証の設定も求めています。メールやSMSのリンクを不用意にクリックしないこと、ブックマークからのアクセスが有効なことも、書かれています。

2026年10月2日には、注意喚起も出ました。入り口は、フィッシングです。GoogleやAppleのアカウントが盗まれ、クラウド（インターネット上の保存場所）にあるパスキーが悪用された疑いのある事例が、一部の証券会社から報告されたそうです。SBI証券は、自社の口座での被害は確認されていないとしています。パスキー自体が危ないという話ではなく、保存先のGoogleやAppleのアカウントも守る、という話です。

公式がお願いしていることは、次の2つです。

• GoogleやAppleのアカウントに、認証アプリなどの2段階認証（パスワードに加えて、もう一度本人確認をする仕組み）を設定する
• 「パスキーを再登録してください」という案内のSMSや電話に、従わない

NISA口座の開設で迷った話は、こちらで書いています。
NISAの口座開設は難しい？｜投資の言葉に迷った私が、スマホだけで開けるまで

三井住友カード

三井住友カードの公式サイト「カードのセキュリティ対策」には、次のような守りが載っていました。

• 24時間365日の利用状況の監視と、利用をリアルタイムで知らせる「ご利用通知サービス」
• カードの利用制限と解除を設定できる「あんしん利用制限サービス」
• 本物のメールを見分ける手がかり（登録したハンドルネーム、公式ブランドロゴ、「不審なメール・SMSのチェックページ」）
• 不正利用の被害にあったときの補償

私は、ハンドルネームを設定しています。公式ブランドロゴも、私のメールアプリで表示されています。

不審なメールについては、公式の案内が具体的でした。開封せずに削除する、開いてしまってもリンクや添付ファイルは押さない、とあります。不審なサイトにカード番号などを入力してしまったら、カードの停止とパスワードの変更が案内されています。

補償は、利用停止の手続きをした日の60日前までさかのぼるそうです。ただし、補償には条件があります。詳しくは公式の説明を確認してください。

三井住友カードを1枚に絞った理由は、こちらで書いています。
ポイ活は1つに絞るのがおすすめ｜私が「最強カード探し」をやめた理由

これから見直すこと

この記事を書きながら、スマホで確認しました。

GoogleアカウントとApple Accountは、2段階認証が有効でした。サインインしている端末にも、知らないものはありませんでした。

SBI証券は、まだ確認できていません。これから、次のことを見てみます。

• 登録メールアドレスと電話番号、ログイン履歴
• ログインを自分で止める設定を、公式の説明で読む
• クレジットカードとスマホの設定

確認できたら、また書きます。

まとめ｜メールのリンクは押さない

ホテルの偽メールは、迷惑メールフォルダに入っていて、差出人のアドレスも違っていました。でも、予約の日付は本物と同じでした。

手口は毎回変わります。見分けようとするより、メールのリンクは押さないと決めておくほうが、安全だと思います。

偽メールのリンクは押さなかった私も、本物のメールのリンクは押していました。検索するのが面倒だったからです。

これからは、予約や口座など大事な情報は、メールのリンクではなく、ブックマークか検索から入ります。

次にメールが届いたら、リンクを押さずに、公式サイトを開いてみてください。