欧州委員会は、Booking.comにセキュリティ上の不備があり、偽の宿泊施設掲載やフィッシング詐欺を招いた可能性があるとして、調査を開始しました。
調査では、このオンライン旅行代理店が、EUのデジタルサービス法（DSA）に定められたセキュリティおよび透明性に関する規定に違反したかどうかを確認します。
調査の重点項目の一つは、Booking.comが顧客に対するフィッシングのリスクを適切に評価し、軽減してきたかどうかです。具体的には、同社が予約情報や宿泊客のデータを宿泊施設事業者とどのように共有しているかを調べます。あわせて、そうしたデータがフィッシングや不正な支払いの要求に悪用されるのを防ぐ対策も検証します。
さらに欧州委員会は、Booking.comのメッセージングサービスの設計と機能にも注目します。悪意ある攻撃者がフィッシング攻撃に悪用できる可能性があるためです。
もう一つの焦点は、Booking.comの運営事業者が、違法コンテンツの拡散に伴うシステミックリスクを適切に評価し、軽減してきたかどうかです。なりすまし詐欺や、規則に適合しない宿泊施設などが対象となります。
同社の広告慣行についても、DSAが定める広告の透明性に関する義務を満たしているかどうかを評価します。
これらの分野でDSAへの違反が認定された場合、Booking.comは全世界の年間売上高の最大6%に相当する制裁金を科され、是正措置を求められる可能性があります。
DSAは2022年11月に施行されました。超大規模オンラインプラットフォーム（VLOP）と超大規模オンライン検索エンジン（VLOSE）が適用対象です。
Booking.comに対する正式な手続きの開始は10月21日に発表されました。欧州委員会が実施した予備調査を受けた措置です。
欧州委員会で技術主権・安全保障・民主主義を担当する上級副委員長のヘンナ・ヴィルクネン氏は、この決定について次のように述べました。「欧州の人々は、詐欺に遭う心配をせずに休暇の予約ができるべきです。DSAはこうしたリスクに対処するプラットフォームの責任を明確に定めています。欧州の主要な予約プラットフォームがその責任を真剣に受け止めるよう、私たちは徹底させなければなりません」
欧州委員会は、正式な手続きの開始が最終的な結論や決定を予断するものではないと強調しました。また、手続きの対象となっている問題を是正するためにBooking.comが提示する確約（コミットメント）を受け入れる権限も有しています。
Booking.comの顧客、フィッシング攻撃の標的に頻繁になる
ここ数年、サイバーセキュリティの研究者は、Booking.comの顧客やパートナーを狙ったフィッシングキャンペーンを数多く確認してきました。攻撃者がBooking.com顧客の個人情報にアクセスしたり、同社のメールドメインを偽装して悪意あるメッセージを送信したりした例があります。
2023年には、現在Sophos傘下にあるSecureworksが、サイバー犯罪者がVidar infostealerを使ってパートナーホテルのBooking.com認証情報を入手していたと報告しました。盗んだ情報はBooking.comの顧客に送るフィッシングメールに使われ、顧客をだまして支払い情報を入力させていました。多くの場合、金銭が盗まれる被害につながっています。
Microsoftは2025年3月、Booking.comをかたるClickFixキャンペーンを報告しました。攻撃者はまず、Booking.comを装った悪意あるメールを、北米、オセアニア、南アジア、東南アジア、欧州の標的に送信しました。攻撃は、標的をだましてinfostealerマルウェアをダウンロードさせようとするものでした。
2026年6月には、TrendAI Researchが、日本国内のBooking.comパートナー宿泊施設を狙ったフィッシングキャンペーンを確認しました。このメールは宿泊客からの苦情やレビュー依頼を装い、ホテルの従業員をだまして悪意あるファイルを実行させようとするものでした。
画像クレジット：PixelBiss / Shutterstock.com
翻訳元: https://www.infosecurity-magazine.com/news/eu-bookingcom-scam-risks/
