2023年6月1日、ホテルグランヴィア大阪は同社が利用している宿泊予約管理システムが不正アクセスを受け、さらに一部の宿泊予約をした人へフィッシングサイトへ誘導するメッセージが送信されていたことを公表しました。ここでは関連する情報をまとめます。
管理システムのチャット機能を不正利用
- 不正アクセス被害にあったのはホテルグランヴィア大阪が利用していたBooking.comの宿泊予約管理システム。不正アクセス後、当該システムのチャット機能を通じて宿泊予約者に対しフィッシングサイトへ誘導するメッセージ送信が行われた。
- ホテルグランヴィア大阪はBooking.comから連絡を受け不正アクセスの事実が判明。初報時点では第三者が当該システムを通じて宿泊予約者の情報が流出した可能性があるとしていたが、その後のBooking.comの調査を通じて流出の痕跡はないとして外部への情報流出は否定した。
- フィッシングメッセージはBooking.comを経由（2022年5月1日から2024年3月31日まで）してホテルグランヴィア大阪に宿泊予約をした一部の利用者に送信されていた。約200人に対してメッセージが送信されていた。*1送信されたメッセージは英文で記載されており、文中にはURLも併記されていたとしてSNS等で報告があがっていた]。
- 報告されていた事例では、文中にGoogle ドライブのURLが記載されており、パスワード付のアーカイブファイルをダウンロードし開くよう要求するものだった。またクレジットカード情報を確認するよう要求する文面とともにQRコードが記載されているケースもあった。なお、第二報公表時点でフィッシングメッセージの被害にあったとする宿泊予約者からの報告は受けていないとしている。
- 管理システムが不正アクセスにあった原因は、ホテルグランヴィア大阪でシステム管理に使用していたPC1台がマルウエアに感染していたためであったと公表。（マルウエアの種類、感染経路などの詳細は非開示）
ホテルグランヴィア大阪をhttps://t.co/3cfLLspKh2で予約したら、詐欺なのか不正ログインされて乗っ取りにあってるのか不穏な感じになってきた… pic.twitter.com/dPPCe4plkH
— らび (@peCQDY6sGc1vYjA) 2023年5月30日
複数ホテルで同種の被害
- 宿泊予約管理システムが不正アクセスを受けチャット機能が悪用される事例は、直近で複数のホテルから同様の公表が行われているが、6月上旬に集中しており、それ以後は同種の被害公表事例はない。
| 公表日 | 被害にあったホテル |
|---|---|
| 2023年6月1日 | ホテルグランヴィア大阪 （第2報） |
| 2023年6月9日 | all day place shibuya（第2報） |
| 2023年6月9日 | 御宿 野乃 大阪淀屋橋 |
| 2023年6月12日 | MIMARU SUITES 東京浅草 |
更新履歴
- 2023年7月22日 AM 新規作成
*1:ＪＲ西日本グループ運営ホテル 利用客の個人情報流出の可能性,NHK,2023年6月2日