休暇の宿を探す旅行者が、人気の宿泊レンタルプラットフォームを模倣した偽サイトにたどり着く被害が出ています。偽サイトにはホスト名や評価、レビューまで表示され、パスワードや個人情報、クレジットカード番号の入力を求めます。
これらのサイトを確認し、閉鎖させたのは、Fortraの Intelligence and Research Experts（FIRE）チームです。偽サイトは、本物そっくりのブランド表示、コピーした物件情報や予約内容に加え、訪問者を急かして行動させる緊急性の高いメッセージを使っていました。
宿泊レンタルマーケットプレイスを装ったフィッシングページ（出典：Fortra）
時期の選び方も計算ずくです。Fortraのエリーゼ・ノイマン（Elyse Neumann）氏は、調査結果を紹介するブログ記事で「サイバー犯罪者は、旅行の日が近づくほど旅行者がすばやくクリックしやすくなることを知っている」と書いています。
期限を突きつけて焦らせる手口
旅行の予約は、価格が高く、期限が厳しく、空室も限られるのが一般的です。偽サイトはその切迫感につけ込みます。訪問者には、予約が未確定である、支払いが処理されていない、予約がキャンセルされるといった警告が表示されます。続行するには認証を完了するよう促したり、期間限定の特別価格をちらつかせたりするメッセージもあります。
ノイマン氏は、こうした警告によって「旅行者はウェブサイトのアドレスを確認したり、公式の窓口で予約を確かめたりする前に、クリックしてしまうおそれがある」と注意を促しています。
おなじみのサインイン方法を並べたログインページ
あるフィッシングサイトは、世界的な体験・宿泊プラットフォームになりすまし、紛らわしいアドレス（confirm-[redacted].rooms-home93914[.]space）と、ブランドに似せた画像を使っていました。サインアップの画面では、連絡先とSNSの認証情報の入力を求めていました。
ノイマン氏は次のように説明しています。「この種のページは、アカウント情報や電話番号、ログイン認証情報の収集に使われる可能性があります。旅行者が複数のサービスでパスワードを使い回していると、偽の予約サイトに入力した情報によって、ほかのアカウントも危険にさらされるおそれがあります」
同氏は、届いた覚えのないリンクをたどった先では、「ページに見慣れたロゴやボタンがあっても」認証情報を入力しないよう助言しています。
本物に紛れ込むよう作られた物件情報
攻撃者は正規の物件から写真や説明文をコピーするため、見た目だけでサイトを見分けるのは難しくなっています。同氏は「見栄えの良い物件情報があっても、その物件が実在する証拠にも、予約プラットフォームが本物である証拠にもなりません」と書いています。
ノイマン氏によると、FIREは「人気の短期宿泊マーケットプレイスでの予約を急ぐ心理につけ込む攻撃が増えている」ことを確認しています。調査したケースでは、フィッシングページに所在地、旅行日、料金を載せた物件情報が表示されていました。あるページではアパートと一軒家が並んで表示されており、「物件情報に明らかに怪しい点は見当たらなかった」といいます。
複数の物件を比べている旅行者は、価格や空き状況、物件の見た目に目が向きがちで、サイト自体が正規のものかどうかまでは確かめません。攻撃者は、信頼されている宿泊レンタルマーケットプレイスのおなじみの要素をまねることで、偽サイトを長く本物らしく見せ、訪問者を認証や支払いへと誘導します。
「未確定」の予約で個人情報を狙う
別のケースでは、予約の流れが「確認して支払う」画面につながり、予約が「未確定（Unconfirmed）」と表示されていました。訪問者は、予約を進める前に必須の認証手続きを完了するよう求められ、追加費用はかからないと説明されます。そのうえで、ページは旅行者の氏名、メールアドレス、国、電話番号を尋ねてきました。
こうした要求は一見無害に思えるかもしれません。しかしノイマン氏は、不正なサイトに送信した情報は「なりすまし、後続のフィッシング、アカウント乗っ取りに悪用される可能性がある」と警告しています。
カード入力フォームを「保証」するサポートチャット
別の予約ページには、クレジットカードの支払いフォームが表示され、ライブのサポートチャットも組み合わされていました。チャットは訪問者の不安にその場で答え、カード情報の要求を通常のセキュリティチェックであるかのように説明しました。
カードに課金されないと伝えて安心させたのは、訪問者の警戒心を解くためです。同氏は、この手口が「ためらいを減らし、支払い情報の送信を後押しした」と指摘しています。
ノイマン氏は次のように結んでいます。「最も安全なのは、予約を完了する前に一度立ち止まることです。説得力のある物件情報はコピーできますが、公式サイトのアドレスは詐欺師にとってはるかにまねしにくいものです」
翻訳元: https://www.helpnetsecurity.com/2026/11/06/holiday-rental-platform-phishing-travelers/
