トラブル続きの「ブッキングドットコム」。大規模クレカ被害はなぜ起きた？ 利用者ができる「対策」とは

利用者として、気を付けることは？

今回の件で誰に責任があるのかは今後判明するだろうが、利用者として、こうした攻撃に対して気を付けることはできる。

まず予約をしたユーザーに対し、ブッキングドットコムなどが改めてメールやチャットで連絡をしてきて、クレジットカード情報を再度求めることはない。また別のサイトに誘導して、そこでクレジットカード番号などの情報を再入力するように促すことはない。
 
ブッキングドットコムに限らず、すでに入力して予約が済んでいるのに、クレジットカード番号を別途要求されるような場合は、怪しいと警戒したほうがいい。ホテルなどの予約では、そうした連絡が来ると「予約がキャンセルになったらどうしよう」という心理が働くため、慌ててしまいがちだ。だがそういうときこそ慌てず冷静になって、面倒でも宿泊施設に確認をするようおすすめする。そうすれば、だまされる可能性は激減する。

ブッキングドットコムだけの問題ではない

ただこの話は、ブッキングドットコムだけの問題ではない。同社は9月の注意喚起で、ブッキングドットコムが受けた被害は「Booking.comに限ったことではなく、ほとんどの電子商取引プラットフォームが直面する問題です」と述べているが、それは正しい。
 
確かに、オンラインで商取引を行うシステムは、常にこの手の不正アクセスのリスクがある。関わっている外部のサービス（今回は宿泊施設）などが攻撃の入り口になる可能性があるからだ。
 
だからこそ、取引のある企業全てにサイバー攻撃対策が必要になる。特に、ダーク（闇）ウェブと呼ばれるような地下サイトなどで、サイバー犯罪者らによって、企業や電子商取引サイトに不正アクセスするための個人の認証情報（メールアドレスやID、パスワードなど）や、感染させるツール（ウイルスなど）の情報が大量にばらまかれている。そうした不正に使われる可能性がある情報は、犯罪者がブローカーとなって情報を売り出している場合も多い（そうしたブローカーは、「イニシャルアクセス・ブローカー」と呼ばれる）。

サイバー攻撃の「脅威」を調査し、対策し続ける必要性

そうした攻撃の「材料」が地下などで出回っている実態に、対応する術はないのか。実は近年、事前にそうした情報が漏れていないかを調べて対策を講じるサイバーセキュリティー対策がある。そうした対策は「脅威インテリジェンス対策」と呼ばれ、日々変化していく脅威の情報（インテリジェンス）を調査し対策してくれる。
 
筆者は脅威インテリジェンスを扱う多数のサイバーセキュリティー企業を取材しているが、認証情報や、攻撃を受ける可能性がある企業側の弱いポイントを調査する対策は有効だろう。ブッキングドットコムのような顧客の情報が侵害されるような企業をはじめ、近年猛威を奮っている「ランサムウェア攻撃（ウイルスを感染させてコンピューターなどを使えなくしてしまい、元に戻すのに身代金を要求する攻撃）」の恐れがある企業は特にそうした対処も必要かもしれない。
 
サイバー空間では、ビジネスなどで関与している人たちが、サイバー攻撃に対する意識を高めていかないと大変な被害を生むことになりかねないのだ。