ダークウェブでマイルアカウントが115円から？衝撃の調査結果
調査によると、盗まれた航空会社のマイレージアカウントは、たとえ数十万マイルを保有していても、わずか0.75ドル〜200ドル（約115円〜3万円）という低価格で取引されていることが判明しました。これは、マイルやポイントが現金同等に換金性が高く、直前の旅行予約やギフトカードへの交換にも利用できるため、サイバー犯罪者にとって魅力的な標的となっていることを示しています。
ダークウェブ上で確認された航空会社を狙ったサイバー犯罪に関する議論のうち、54％以上が米国・アジア・中東を拠点とする大手航空会社8社に集中していることも明らかになりました。特定の企業名が繰り返し言及される状況は、これらの企業がサイバー攻撃の主要なターゲットになっている可能性が高いことを示唆しています。
航空会社の会員アカウントが売買されている投稿例は、以下のような形式で確認されています。
さらに、ホテルの顧客情報もダークウェブ上で取引されており、ヒルトン、マリオット、IHGといった世界的なホテルチェーンに言及する投稿が多数見られました。中でもヒルトンに関する言及は約34％を占めており、特定の高級ホテルチェーンが集中して狙われている状況がうかがえます。
これらのホテル関連データには、宿泊客の氏名、メールアドレス、滞在履歴といった基本情報に加え、パスポート番号や会員ポイント情報が含まれるケースもあり、内容によっては最大3,000ドル（約47万円）で取引されている事例もあります。
このような不正な取引は、航空会社やホテル側の対応負担を増やすだけでなく、旅行者が気づかないうちにマイルやポイントを失ってしまう二次被害にもつながりかねません。
なぜ狙われるのか？サイバー犯罪の巧妙な手口
これらのアカウント情報が偶発的に流出しているわけではなく、一定の手口によって継続的に不正取得されている可能性が指摘されています。主なアカウント情報の流出手口は以下の通りです。
-
フィッシング詐欺: 航空会社やホテルを装った偽メールや偽サイトに誘導し、ログイン情報を入力させる手口です。
-
データ侵害: 航空会社やホテルのシステムがハッキングされ、顧客データベースが流出するケースです。
-
クレデンシャル・スタッフィング: 他のサービスで漏洩したパスワードを使い回している利用者を狙い、不正ログインを試みる手口です。
不正に取得されたマイレージアカウントは、正規の利用者になりすまして無料航空券の予約や座席のアップグレード、各種特典の利用などに悪用されます。被害者が気づくまでに数週間かかることも珍しくなく、その間に多大な被害が発生する可能性もあります。
企業・スタートアップが学ぶべきこと：セキュリティは競争力の源泉
今回の調査結果は、旅行業界だけでなく、顧客の個人情報やロイヤリティプログラム情報を扱うあらゆる企業、特にスタートアップにとって重要な警鐘です。
顧客の信頼を守り、競争力を強化する
データ侵害は、企業のブランドイメージを著しく損ない、顧客からの信頼を失うだけでなく、多額の損害賠償や訴訟リスク、規制当局からの罰金など、直接的なコスト増大にもつながります。一度失った信頼を取り戻すには長い時間と多大な労力が必要です。特にスタートアップにとっては、初期の顧客基盤を揺るがしかねない致命的な打撃となりえます。
セキュリティ対策への投資は、単なるコストではなく、顧客の信頼を確保し、企業の競争力を強化するための重要な戦略的投資と捉えるべきです。強固なセキュリティ体制は、顧客にとって安心できるサービス提供を意味し、他社との差別化にもつながります。
生産性向上とコスト削減への貢献
適切なセキュリティ対策は、データ侵害発生時の対応コスト（調査費用、復旧費用、顧客対応費用など）を大幅に削減します。また、セキュリティインシデントによるシステム停止や業務中断を防ぎ、従業員の生産性維持にも寄与します。例えば、多要素認証の導入は不正ログインのリスクを減らし、顧客サポートにかかる外注費削減にもつながるでしょう。
導入事例から学ぶ失敗と成功
具体的な導入事例として、ある大手旅行代理店では、過去のデータ侵害を教訓に、全従業員に対する定期的なセキュリティ教育と、顧客アカウントへの多要素認証の導入を徹底しました。これにより、フィッシング詐欺による被害が大幅に減少し、顧客からの信頼回復にも成功しています。一方で、セキュリティ対策を軽視し、安価なシステムで済ませた結果、顧客情報が流出し、事業継続が困難になったスタートアップの事例もあります。セキュリティは「万が一」ではなく「いつか起こる」という前提で、継続的な投資と改善が不可欠です。
旅行者ができる5つの防御策：大切なマイルを守ろう
NordVPNの最高技術責任者（CTO）であるマリユス・ブリエディス氏は、旅行前に個人が取るべき5つの防御策を推奨しています。
① パスワードの使い回しを回避
複数のアカウントで同じパスワードを使用すると、一つの情報が漏洩しただけで全てのアカウントが危険にさらされます。強力でユニークなパスワードを設定し、多要素認証（MFA）を有効にすることで、不正アクセスのリスクを大幅に低減できます。
② アカウント履歴を定期的に確認
航空会社やホテルのアカウントにログインし、ログイン履歴やポイント利用履歴を定期的に確認する習慣をつけましょう。身に覚えのない不審な操作が確認された場合は、直ちにパスワードを変更し、サービス提供元に連絡することが重要です。
③ 旅行の前後は特に入念にチェック
旅行中は、普段とは異なるネットワーク環境からアカウントにアクセスする機会が増えるため、リスクが高まります。旅行の前後には、必ずアカウントの状態を確認しましょう。ポイントの不正利用に関する通知アラートを設定することも有効です。
④ 公共Wi-Fi利用時はVPNを利用
空港やホテルの公共Wi-Fiは便利ですが、セキュリティが不十分な場合もあります。通信内容を暗号化するVPN（仮想プライベートネットワーク）を使用することで、第三者によるデータの盗聴や傍受を防ぎ、安全な通信環境を確保できます。
⑤ 旅行用eSIMを活用してリスクを低減
信頼性の低い公共ネットワークへの依存を減らすために、旅行用eSIMを活用することも一つの手段です。安全なモバイル通信環境を確保することで、セキュリティリスクを最小限に抑えることが可能です。
まとめ：セキュアな未来のために
旅行業界を狙うサイバー犯罪は、私たち個人の大切な資産を脅かすだけでなく、企業にとっても事業継続に関わる重大なリスクとなります。今回のNordVPNとSailyの調査は、その深刻な実態を改めて浮き彫りにしました。
企業は、顧客情報の保護を最優先事項とし、セキュリティ対策への継続的な投資を行うことで、顧客の信頼を獲得し、ひいては競争力強化、生産性向上、そして長期的なコスト削減を実現できるでしょう。スタートアップの皆様も、事業の立ち上げ段階からセキュリティを経営戦略の中核に据えることが、持続的な成長への鍵となります。
そして私たち一人ひとりが、パスワード管理の徹底やVPNの活用など、日々のデジタル行動に注意を払うことが、安全なオンライン環境を守る第一歩です。年末年始の楽しい旅行を、サイバー犯罪の不安なく満喫するために、今一度ご自身のセキュリティ対策を見直してみてはいかがでしょうか。
詳細情報
-
NordVPNウェブサイト: https://nordvpn.com/ja/