ホテル業界を標的とした不審メールの分析（パート1: キャンペーン概要編）

背景
Booking.com を詐称した不審メール
攻撃の全体像
まとめ
Appendix
- IoC（ファイル）
- IoC（通信先）

本記事は2部構成です。パート1では攻撃キャンペーンの概要を、パート2では検体解析などの技術的な詳細分析を解説します。

パート2の記事はこちらです。

背景

宿泊施設のネット予約サービスを提供する Booking.com に関連するサイバー攻撃被害が報道されています。このサイバー攻撃は、Booking.com システムへの直接の侵害ではなく、加盟店であるホテル運営会社のアカウントが何らかの形で乗っ取られたことに起因して発生していると想定されています。

2023年には Booking.com に関連して、ホテル運営会社や宿泊者を標的としたフィッシングや情報窃取マルウェアに感染させる事例があることが Sophos 社より報告されています。¹

2026年6月には、Booking.com システムへの不正アクセスに起因して、日本のホテル運営会社の振込口座が変更され、金銭被害が発生したことが公表されています。² また、複数の日本のホテルからも宿泊者に注意喚起が実施されています。

当社では、2026年5月から6月にかけて、Booking.com を装ってホテル運営会社へ送付された不審メールを観測しました。本記事では、これらの不審メールおよび感染するマルウェアについて分析を行い、得られた知見を共有します。今回、当社が観測した攻撃には以下の特徴があります。

Calendly や Google の短縮 URL サービスによるURLの隠蔽
難読化された PowerShell ローダー、JavaScript ファイル
Node.js ランタイム（node.exe）を取得し、悪性の JavaScript ファイルを実行
TON API を利用した C2 のドメインの取得
WebSocket プロトコルでの C2 通信

本記事が組織におけるサイバーセキュリティー対策検討の一助となれば幸いです。

Booking.com を詐称した不審メール

以下は不審メールの例です。件名や本文は異なりますが、いずれも宿泊客からのフィードバックで、客室でトコジラミを発見したという内容です。メールは日程調整ツールである Calendly を利用して送信されており、本文内にはリンクが記載されています。本文の内容から Booking.com のパートナーのホテル運営会社を標的としていると考えられます。

本文内のリンク：hxxps://calendly[.]com/url?q=hxxps%3A%2F%2Fshare[.]google%2FZlZtVa45LyLGzJrrA

メールヘッダーの分析

メールヘッダーを分析した結果、いずれも Booking.com のメール基盤からではなく、Calendly のメール送信基盤（SendGrid）を経由して送信されていることが判明しました。以下に主要な分析結果を示します。

送信元インフラの一致

2通のメールはいずれも o3.sg.calendly.com [149.72.248.16]から配送されており、Calendly が利用する SendGrid のインフラを経由しています。また、Return-Path には同一のバウンスアドレスが設定されていました。

Return-Path: <bounces+13766497-3511-[REDACTED]=[REDACTED]@em1618.calendly.com>

さらに、Received ヘッダーにはMTM3NjY0OTcという送信元識別子が記録されています。この値を Base64 デコードすると13766497となり、Return-Path のバウンスアドレスに含まれる ID と一致します。加えて、SendGrid の内部識別子である X-SG-ID および X-Entity-ID も2通で同一の値であり、これらの一致から、2通のメールは同一の Calendly アカウントから送信されたことを裏付けています。

送信者名の偽装

From ヘッダーの送信者名は以下の通りで、いずれも Booking.com を騙っています。

#	From の表示名	送信元アドレス
1	Booking Manager (via Calendly)	notifications@calendly.com
2	Booking,com (via Calendly)	notifications@calendly.com

2通目の表示名は「Booking , com」とピリオドではなくカンマが使用されており、攻撃者によるタイプミスと考えられます。いずれも実際の送信元アドレスは Calendly の通知アドレス（notifications@calendly.com）であり、Booking.com のドメインではありません。

Reply-To の不審な宛先

Reply-To ヘッダーには、Booking.com や Calendly とは無関係の外部アドレスが設定されていました。

メール	Reply-To
#1	gleb@hotel-restaurant-spatz.ch
#2	jozemunib15@gmail.com

これらのアドレスは Booking.com の正規ドメインではなく、受信者が返信した場合に攻撃者の管理するメールアドレスへ誘導されます。

以上の分析結果から、不審メールは同一の攻撃者が Calendly/SendGrid の基盤を悪用し、Booking.com を騙ってホテル関係者へ送信したフィッシングメールであると判断できます。攻撃者は Calendly の正規の送信基盤を利用することで、メールフィルターやセキュリティー製品による検知を回避しようとしていると考えられます。

添付ファイル（.ics）

添付ファイルは Outlook などのスケジュールファイル (.ics) です。ics 内のリンクは Calendly の標準機能で添付される ics ファイルで、ics 内のリンクは悪性のものではありません。

メール本文のリンクの分析

メール本文のリンクには以下のURLが記載されています。

本文内のリンク：hxxps://calendly[.]com/url?q=hxxps%3A%2F%2Fshare[.]google%2FZlZtVa45LyLGzJrrA

ユーザーがこのリンクをクリックすると Calendly を経由して、Google の短縮 URL へ転送されます。Google の短縮 URL は以下の通り遷移し、最終的に zip ファイルがダウンロードされます。

ダウンロードされる zip ファイルには lnk ファイルと mp4 ファイルの2つが内包されていますが、mp4 ファイルは実際には再生可能な動画ファイルではありません。この mp4 ファイルは端末がマルウェアに感染する過程で一切参照されないことと、ダウンロード毎にファイルサイズおよび中のデータが変更されていることから、セキュリティー製品の検知回避を目的としたダミーデータであると考えられます。

ショートカットファイルの分析

lnk ファイルには PowerShell コマンドが含まれており、ユーザーがこの lnk ファイルを開くことで、PowerShell コマンドが実行されます。このコマンドが実行されると、Invoke-WebRequest を使用してエンコードされている通信先から別の PowerShell ファイルを別途取得し、実行します。

デコード後の通信先：photo-26654[.]cfd

攻撃の全体像

今回確認された攻撃の流れは以下の通りです。

Booking.com を装ったメールがホテル運営会社へ送付される
メール内のリンクをクリックすると zip ファイルがダウンロードされる
zip ファイル内の lnk ファイルを実行するとPowerShell コマンドが実行され、追加で PowerShell ファイル(ps1)がダウンロードされ実行される
PowerShell コマンドがファイル内の暗号化された JavaScript ファイル（TonRAT）を復号し、ファイルとして書き出す
PowerShell コマンドが Node.js ランタイム(node.exe)を正規サイトからダウンロードして、TonRAT を実行する
TonRAT が感染端末の情報収集と動作の永続化を行い、TON API を使用して C2 のドメインを取得する
TonRAT が TON API から取得した C2 へ WebSocket で接続する

このような動作を経て、最終的に被害者の端末は TonRAT へ感染し WebSocket を用いて攻撃者の用意した C2 サーバーと通信を確立します。

まとめ

本記事では、Booking.com を騙りホテル運営会社を標的とする不審メールの全体的な動作について解説しました。攻撃者は Calendly の日程調整メールや Google の短縮 URL といった正規サービスを悪用することで、セキュリティー製品やメールフィルターによる検知を回避しています。さらに、毎回ハッシュが変化するダミーの mp4 ファイルや、Cloudflare CDNで IP アドレスを隠ぺいしつつ短期間でドメイン名を変化させるなど、検体に関する情報共有効果を薄くするなど、セキュリティー対策「対策」がとられています。

Booking.com を騙る攻撃は継続的に報告されていますが、ホテル業界に限らず、外部からの問い合わせメールを受け付ける業務に携わる組織においては、同様の攻撃に対する警戒が必要です。添付ファイルやリンクからダウンロードしたファイルを実行させないなど、基本的な対策が重要です。

攻撃に使用された検体の技術的な詳細分析については、パート2をご参照ください。

パート2の記事はこちらです。

Appendix

IoC（ファイル）

ファイル名	ハッシュ値 (SHA256)
photo-262086327.zip	73e12fac74093fa3fdc0aae09dfc61728a6f0ac69a3619a11aae3dd745827650
PHOTO-819427133.png.lnk	f1adf26743807d05d986d0f12bd1e759fb3c473c5946fd1a2fc5c7b5caf3e26d
L72zxE.ps1	cf0abf3d787b96ddb684e29f0c4903f3e6867eb97140dbddb4bda746cf9e2dcb
hjkADJgVXYybmH.js	9a75e798a71c2541f17102128f7c546288bbd3eb30b6b2b4948b17e73873a510
photo-703159625.zip	3dae5afc2244fb7232b9cd1cea8e72871e49780f33d14f3f328c5bbfe0428454
PHOTO-695281245.png.lnk	669487ee84114de6957332d0426eee62aedd6960b19ecdccdec98e3c5dd98183
LE3f0MRT.ps1	2df7df0993e8ce33b3a11a2aa75ff120381bbe3158237bb828df8e577304f518
dHVAjSB1s3uy.js	9a75e798a71c2541f17102128f7c546288bbd3eb30b6b2b4948b17e73873a510