旅行詐欺はいたるところに潜んでいます。その見分け方と対策

休暇の計画は、ワクワクして楽しいものであるべきです。サイバーセキュリティのリスクとは無縁のはずです。ところが、フライトやホテル、宿泊施設を予約する際には、複数のプラットフォームにわたって個人情報や財務情報を共有することになります。旅行・ホスピタリティ業界では詐欺や情報漏洩が後を絶たず、こうした状況が犯罪者に多くの機会を与えています。

本ガイドでは、旅行予約時に発生しやすいリスクを解説し、その回避方法をご紹介します。スリルは、旅先でのご体験にとっておいてください。

旅行の予約は、高額な支払いと焦りや感情的な判断が重なりやすい状況です。攻撃者がこの場面を好む理由はいくつかあります。

• 高額な前払いによる詐欺の収益性の高さ。
• 予約確認書には名前・旅行日程・連絡先・パスポート情報など、価値の高い個人情報が含まれていることが多い。
• 旅行者は素早く行動しがちで、危険なサインを見落としやすい。
• 旅行・ホスピタリティ企業は、複雑なIT環境やサードパーティとの連携が多いため、侵害のターゲットになりやすい。

近年、ホテルチェーン、予約プラットフォーム、クルーズ会社、航空会社で相次いで情報漏洩が発生し、メールアドレスからパスポート番号まで幅広い個人情報が流出しています。

偽の予約サイト

攻撃者は航空会社、ホテル、旅行予約サイトの巧みな模倣サイトを作成し、オンライン広告やSEOポイズニング（検索エンジン結果の操作）を通じて拡散させています。被害者は支払い情報を入力して偽の確認書を受け取り、後になってようやく詐欺に気づくのです。

昨年、私たちは偽のBooking.comサイトを使ったキャンペーンを発見しました。このキャンペーンでは、訪問者を巧みに誘導し、リモートアクセス型トロイの木馬（RAT）を自らのデバイスにインストールさせていました。

予約トラブルを装ったフィッシングメッセージ

メール、SMS、メッセージアプリの通知などで「予約に問題が発生した」と伝え、リンクのクリック、添付ファイルの開封、または電話番号への連絡を促してくる手口があります。詐欺師は正規の旅行ブランドを偽り、過去の情報漏洩で盗んだ実際のデータを活用することもあります。

今年前半、Booking.comの情報漏洩について報告しました。このインシデントでは、詐欺師が詐欺メッセージをより信頼性の高いものに見せるために活用できる情報が大量に流出していました。

貸別荘詐欺

詐欺師は賃貸プラットフォーム上に偽の物件情報を掲載したり、正規の物件情報を乗っ取ったりします。組み込まれた保護機能を回避するため、プラットフォーム外でのやり取りや支払いへと誘導するのが典型的な手口です。

2024年、当社の研究者がこのタイプの詐欺に実際に遭遇しました。アムステルダムの正規と思われたAirbnbの物件情報が偽物だったのです。詐欺師はTripAdvisorを名乗るメールを送り、支払い情報の入力を促しました。

「うますぎる話」のお得情報

航空券や宿泊施設の大幅割引を餌にして、存在しないサービスへの支払いへと被害者を誘導する手口があります。

異常に太っ腹なお得情報を見かけたら、落とし穴がないか確認しましょう。特に「もうすぐ終了」と急かしてくる場合は要注意です。緊迫感を演出することは、詐欺師の最も古典的な手口の一つです。

Booking.comを騙った詐欺

Booking.comは詐欺師が模倣するブランドとして急増しています。匿名化された当社のScam Guardデータによると、最近以下のような事例が確認されています。

• フィッシングサイトに誘導する、€435の返金を約束する偽キャッシュバックメール
• 追加予約料金を要求するアプリ内メッセージ
• 「セキュアビューアー」と称するマルウェアのインストールを求めるPDF添付メール
• クレジットカード情報の不備を装い、フィッシングサイトへ誘導するWhatsAppメッセージ
• 期限を設けてカード認証を要求する、偽のBooking.comページへのリンクを含むSMS

Booking.comを騙った詐欺の件数は増加を続けています。4月に公表された情報漏洩以降、Scam Guardのデータでは前の期間と比較してBooking.com関連詐欺が56%増加しており、5週連続で毎週の件数が一貫して増加しています。

安全な旅行予約の方法

リスクを大幅に減らすためのシンプルな対策があります。

• 安全な支払い方法の利用。デビットカードや銀行振込より不正利用への保護が充実しているクレジットカードを使いましょう。暗号通貨やギフトカードでの支払いを求められても、絶対に応じないでください。
• 信頼できるプラットフォームの利用。完全に安全とは言い切れませんが、見知らぬプラットフォームにリスクをかけるよりはるかに安全です。
• 検索結果の広告リンクはクリックしない。これはいくら強調しても足りません。
• 予約した宿泊施設の存在を別のルートで確認すること。
• 別プラットフォームへの誘導要求は不審なサインとして扱うこと。
• 急かす言葉、不審な添付ファイル、送信者ドメインの不一致は危険信号として注意すること。
• 添付ファイルを開くためにダウンロードを求めるものは信頼しないこと。こうしたダウンロードはマルウェアであることが多いです。マルウェアをブロック・除去するには、最新のリアルタイム対応のマルウェア対策ソリューションをご利用ください。

プロのヒント：Malwarebytes Browser Guardは既知のフィッシングサイトをブロックするだけでなく、データベースに未登録の不審なウェブサイトも検知することができます。