これはダマされる…Booking.com経由で届くホテルからのメッセージにご注意！

24時間以内に確認しないと、予約キャンセル

先日「こんなメッセージが届いたけど大丈夫？」というご相談を受けました。

Booking.comで予約したホテルから届いたというメッセージがこちら。

「お支払い方法の確認中にエラーがありました。お支払い方法を確認してください。一旦確認のためにチャージされますが、すぐ全額返金されます。24時間以内に確認できないと予約は自動的にキャンセルになります」
という内容でした。

メールの送り主は、正規のBooking.comメールアドレス。
本文には、このメッセージと、予約の詳細や予約番号などが記されていて、すべて正しいものでした。

キャンセルになりますよ！！なんて焦っちゃいますよね。

怪しいポイントはあるものの、ホテルがBooking.comのシステムにログインしないと送信できないものなので、100%詐欺という確信がもてません。
万が一キャンセルされてしまったら大変ですし。

怪しんだポイント
1. 予約したのは2ヶ月前。今になってエラーになるのが不思議
2. URLが 〇〇.booking.comではなく、booking.〇〇.comとなっている
3. 支払い方法確認のために、一旦全額チャージする理由がわからない
4. Booking.comではなく、Bookingという固有名詞を使っている
5. !マークが多い
6. 予約時に届いたメッセージの送信者名と微妙に違う

メッセージを受け取ったご本人は、
「リンクをクリックしたら、ユーロで金額が表示されておかしいと思った」から、すぐにパソコンの電源を落としたそうです。よかった！

直接ホテルに確認してみることにしました。
詐欺師からのメッセージだった場合、相手から連絡がきた手段は、相手の手中。
ですから、ホテルの代表メールアドレス宛に連絡しました。

幸いにも、すぐにホテルから返信がありました。
「そのメッセージは怪しい可能性があるので削除してください。予約は取れています」
とのこと。
これで安心してメッセージを無視できます。

被害者は世界中に

しかし、まぁ、うまい手口ですよね。
今回は運良く個人情報の流出のみで済みましたが、ちょっと調べてみたらニュースになっていました。
なんと昨年5月ごろから世界中で、そして日本のホテルも多数被害に遭っているそうです。

ブッキング・ドットコム悪用して客のカード情報盗む　世界規模で被害：朝日新聞デジタル

ウイルスを仕込んだ偽メールでホテルのIDなどを詐取し、その情報を使いホテルを装って旅行客のカード情報を盗む手口だ。

犯罪集団、ロシアの闇掲示板に集結　ブッキング・ドットコム悪用詐欺：朝日新聞デジタル

Booking.comにも報告

今後ホテルから届くメッセージは、本物？はたまた、偽物？
念のためBooking.comにも報告すると、2日ほどでお返事がありました。

• Booking.com、宿泊施設から送信されたものではない。
• Booking.comでは外部サイトへの誘導やクレジットカード情報の入力を促すなどの行為は一切していないので、アクセスしないでほしい。
• 専門部署が調査を進める。
• 引き続きサポートしてきます。

という内容で丁寧なメッセージでした。

もしあなたの元にも、全額チャージするとか、予約をキャンセルするというメッセージが届いたら、URLをクリックしないで、ホテルもしくはBooking.comに別の手段で確認してみてくださいね。

もう一種類のメッセージ

BBC Travelが、この件に関してサイバーセキュリティの専門家２名に対策を取材している記事（Ten ways to avoid scams when booking travel – BBC Travel）がありました。

これによると、”Congratulations on your new booking!”
という、予約時に届くバージョンもあるそうです。
予約を確定するための手順を示すもので、自然の流れでリンクをクリックしてしまいそうです。
非常に巧妙。

メッセージ本文▼
“To ensure the successful confirmation of your booking, please take the following step by clicking the provided link. As a safeguard for your reservation, the system temporarily earmarks funds, which will be requested at check-in. Rest assured that these funds will solely be used to secure your reservation, and payment will be due upon your arrival.”

なんと2022年でアメリカの旅行詐欺報告は5万5330件以上！損失総額は最大4900万ドル！！

被害に遭ってしまったら

万が一被害に遭ってしまった場合について、Booking.comのサイトに案内が載っていたのでここで共有しておきますね。

例えばパートナー施設様のアカウントに不正アクセスが検出された場合には直ちにそのアカウントをロックする等対策を講じ、また、安全性を確保するために必要な措置を施設様にも指導させていただくと同時に、被害を受けた可能性のあるお客様に対してサポートを提供いたします。 

【重要】お客様へのお願い-フィッシングメールと宿泊施設への宿泊に関する注意喚起

また、今回Booking.comから提案された対処法についても、こちらで共有しておきます。

既にリンク等をクリックしてしまった場合、パスワードを変更し、被害を受けたカードや銀行口座などの使用を停止されることをお勧めします。また、不審なメールを添付ファイルとして保存し、弊社カスタマーサービスに送していただくことも可能です（その際、転送は行わないようお願いいたします）。

Booking.comカスタマーサービスのメールより

ただし残念ながら、お金を取り戻すのは英語圏のひとびとでもうまくいっていないようです…。
Booking.com users angry at firm’s response to hacks – BBC News

詐欺師からのメッセージは続く

さらに数日後、「またホテルの偽物からメッセージが届きました！」とご報告がありました。
前回のメッセージは削除されていました。
見比べられないようにするためなのかなぁ？

今回のメッセージは、一気に5通届きました。
ログインできるうちにお金を集めなくてはいけないからでしょう。
絵文字を入れて柔らかさを出しながら急がせたり、ホテルのシニアマネージャーを語るフルネーム入りで、「詐欺的な予約を判別するためにご協力ください」というような内容もありました。

Booking.comのシステムがアップデートされていたため、メッセージに含まれる外部リンクは自動的に削除され、ポップアップで警告が表示されるようになっていました。

ホテル側でも早急にログインIDやパスワードを変更してもらえますように。（後日談：Booking.comのセキュリティ担当部門にて調査後に施設側のシステムの対応が行われるとのことです）

みなさまも、どうぞリンクや怪しい添付ファイルは開かないようにご注意ください。
（後日談：Booking.comのシステム内に保存されているお客様の情報は漏洩しておりません。とのことでした。）