Security

概要 米国立標準技術研究所（NIST）は2026年4月15日、国家脆弱性データベース（NVD）の運用方針を抜本的に見直すと発表した。2020年から2025年にかけてCVE申請数が263%急増し、2026年第1四半期の申請数も前年同期比で約33%上回るなど、成長が加速するなかで、NISTは2025年に過去最高の約42,000件のCVEをエンリッチメント（詳細情報付与）したものの、それでも申請ペースに追いつけない状況を認めた。2025年分だけでも約10,000件の脆弱性がCVSSスコアなしのまま残っており、同年のCVE全体のうちNISTが詳細分析できたのは約32%（14,000件）にとどまっている。 優先化の新基準 新方針では、NISTが詳細分析（エンリッチメント）を自動的に行う対象を以下の3カテゴリに絞り込む。 CISAの既知悪用脆弱性（KEV）カタログ掲載済みのCVE：1営業日以内のエンリッチメントを目標とする 連邦政府が利用するソフトウェアに影響するCVE 大統領令14028が定める「重要ソフトウェア」（OS、ブラウザ、ネットワーク機器、バックアップシステム、ID管理プラットフォームなど）に関わるCVE この3条件を満たさないCVEは「Not Scheduled（未予定）」ステータスに設定される。ただし、データベースからは削除されず、組織はnvd@nist.gov宛てにメールでエンリッチメントをリクエストできる。なお、2026年3月1日以前に未エンリッチのまま残っていたバックログは、優先基準を満たさない限りそのまま「Not Scheduled」に移行される。 プロセスの変更点 今回の方針変更ではスコアリング体制も変わる。NISTはこれまで独自の深刻度スコアを提供してきたが、CVE採番機関（CNA）がすでにスコアを付けているCVEについては、NISTが別途スコアを算出・公開しなくなる。また、修正された既存CVEの再分析は、変更内容がエンリッチメントデータに実質的な影響を与える場合に限定される。 業界への影響と背景 セキュリティ専門家の間では、この変更を「政府の単一データベースに頼れた時代の終わり」と表現する声も上がっている。背景には、AIを活用した脆弱性発見ツールの普及が研究者コミュニティに広まり、CVE申請数を押し上げているという構造的要因がある。 CVEプログラム自体も2025年には資金不足で崩壊寸前に陥るなど、MITREとDHSへの依存が脆弱性管理インフラの持続可能性に疑問を投げかけている。一方、欧州ではENISAがルートCNA（CVE採番の上位機関）の地位取得を目指しており、脆弱性情報の分散管理と欧州側の自立化に向けた動きが加速している。今回のNISTの方針転換は、組織がNVDの網羅性に依存した脆弱性管理から脱却し、リスクベースの優先付けを自ら行う必要があることを改めて示すものとなった。

概要 Europolが主導する国際法執行作戦「Operation PowerOFF」の最新フェーズが2026年4月13日に実施された。オーストラリア、ブラジル、日本、米国、英国、ドイツ、オランダをはじめとする21か国が参加し、DDoS-for-hire（DDoS請負）サービスの53ドメインを閉鎖、4名を逮捕、25件の捜索令状を執行した。また、過去フェーズで入手したデータベースには300万件以上の犯罪者アカウントが含まれており、今回の一連の取り締まりはDDoS攻撃インフラに対する大規模な国際的対応となった。 告知戦略——75,000人への直接警告 今回の作戦で注目されるのは、刑事訴追に加えて大規模な「告知・抑止」戦略が採用された点だ。Europolは、DDoS-for-hireプラットフォームの利用者として特定された約75,000人に対し、電子メールや書面で警告通知を送付した。これは従来の逮捕・起訴中心のアプローチからの転換を示しており、当局が監視を行っているという事実を広く知らしめることで、将来的な犯行を抑止することを目的としている。あわせて、若年層をターゲットとした検索エンジン広告の出稿、違法サービスを宣伝する100件以上のURLの削除、不正な支払いに紐付けたオンチェイン警告メッセージの送付といった啓発活動も実施された。 DDoS-for-hireサービスの手口と脅威 閉鎖されたのは「ブーターサービス」と呼ばれる仕組みで、利用者は料金を支払うだけで標的のWebサイト、サーバー、ネットワークに大規模なDDoS攻撃を仕掛けられる。攻撃トラフィックは主に侵害済みのルーターやIoTデバイスから生成されるため、利用者側に高度な技術知識は不要だ。サービス運営者は「負荷テスト」を名目に掲げることがあるが、対象サーバーの所有権を確認するしくみは存在しない。EuropolはDDoS-for-hireを「サイバー犯罪の中で最も蔓延しやすく、参入障壁が低いトレンドの一つ」と位置付けており、企業活動への実害も大きい。 作戦の背景と過去の実績 Operation PowerOFFは複数年にわたる継続的な作戦である。DDoS-for-hireインフラへの国際的な取り締まりも進んでおり、2025年8月には米国政府が80か国以上の被害者を出したDDoSボットネット「RapperBot」のインフラを解体している。今回のフェーズでは、各国当局の専門家が集結して「高価値ターゲット」に対する一斉摘発を実施するという「オペレーションスプリント」方式が採用された。国際協調の枠組みを活かした継続的な取り締まりと予防啓発の組み合わせが、DDoS-for-hireエコシステムの弱体化に向けた有効なアプローチとして確立されつつある。

概要 Open Rights Group（ORG）は2026年4月、「Tech Giants and Giant Slayers」と題した報告書を公開し、英国が米国のハイパースケーラーをはじめとするBig Techに対してクラウド・ソフトウェア・データセンターを過度に依存していることが、国家安全保障上の重大なリスクになっていると警告した。報告書は、少数の米国企業が英国の重要インフラ全体に深く組み込まれており、システムだけでなく政策決定にまで影響を及ぼしていると指摘している。 緑の党のSian Berry議員は「インフラのレジリエンス確保が急務」と強調し、労働党のClive Lewis議員は英国が「危険なほど脆弱な状態に置かれている」と警告するなど、超党派の政治家が報告書の指摘に同調した。 具体的なリスクと財政的損失 報告書が挙げる主要リスクの一つは、米国の**CLOUD Act（クラウド法）**である。同法は米国当局が米国企業の管理下にある海外データへのアクセスを要求できる法的根拠となっており、英国政府や企業のデータが米国法の射程に入る可能性がある。また、中国の国家情報法も企業への協力義務を定めており、中国系クラウドサービスを利用する場合も同様の主権リスクが生じると指摘されている。 さらに、ベンダーの「制裁権限」も問題視されている。報告書は、MicrosoftがICC（国際刑事裁判所）関連の米国制裁の影響を受けた個人に対してサービスを制限したとされる事例を引用し、民間企業が国際的な文脈で一方的にサービスを停止できることへの懸念を示した。 財政面では、競争・市場庁（CMA）が年間5億ポンド超のクラウドコスト超過を確認している。ベンダーロックインによるプロジェクトの遅延・超過費用も加わり、公的資金の非効率な支出が常態化しているとされる。 提言：デジタル主権とオープンソースへの転換 ORGのエグゼクティブディレクターであるJim Killockは、「公的資金は、Big Techの株主を潤すためではなく、社会全体が恩恵を受けるパブリックコードに使われるべきだ」と述べた。報告書が示す解決策は次の3点に集約される。 オープンソースソフトウェアの積極的採用 ── 特定ベンダーへの依存を排除し、コードを公共財として共有する 国内技術能力の育成 ── 英国独自の技術基盤を整備し、外部ベンダーへの交渉力を高める デジタル主権の確立 ── インフラ・データ・技術を自国でコントロールできる体制を構築する Big Techへの依存は短期的なコスト効率を生む一方、長期的には財政・安全保障・主権の三方向からリスクを積み重ねる構造的問題であることが本報告書で改めて浮き彫りになった。英国政府が今後どのような政策対応をとるかが注目される。

概要 ウクライナのコンピュータ緊急対応チーム（CERT-UA）は2026年4月、脅威クラスター「UAC-0247」による標的型サイバー攻撃キャンペーンの詳細を公開した。このキャンペーンは2026年3月から4月にかけて活発に展開され、政府機関・自治体の医療施設（クリニック、救急病院など）を主な標的としている。攻撃者は人道支援提案を装ったフィッシングメールを送りつけ、被害者を悪意のあるサイトへ誘導する手口を用いた。誘導先はXSS脆弱性を突いて侵害された正規サイト、またはAIツールで生成された偽サイトのいずれかだという。 攻撃チェーンと使用マルウェア 攻撃は多段階の感染フローを持つ。フィッシングメールのリンクをクリックした被害者は、Windowsショートカット（LNK）ファイルをダウンロード・実行する。このLNKファイルがmshta.exeを通じてリモートのHTA（HTMLアプリケーション）を呼び出し、囮フォームを表示しながら裏でシェルコードを正規プロセス（runtimeBroker.exeなど）に注入する。最終ペイロードは独自の実行ファイル形式を持つ2段階ローダーで配布され、追加の圧縮と暗号化が施されている。 使用されたカスタムマルウェアは3種類確認されている。 RAVENSHELL — TCPリバースシェルで、XOR暗号化（キー: 01 01 02 03 74 15 04 FF EE）を用いてC2サーバーと通信し、cmd.exe経由でコマンドを実行する。 AGINGFLY — C#製のリモートアクセスツール（RAT）。AES-CBC暗号化されたWebSocketで通信し、コマンド機能をサーバーから動的に取得する。キーロガー、ファイルダウンロード、スクリーンショット取得などの機能を持つ。 SILENTLOOP — PowerShellスクリプト。コマンド実行・自動更新に加え、Telegramチャンネルを利用したC2サーバーIPアドレスの取得とフォールバックC2メカニズムを備える。 オープンソースツールの悪用とデータ窃取 カスタムマルウェアに加え、攻撃者は複数のオープンソースツールを組み合わせた。ChromeのApp-Bound暗号化を回避してCookieやパスワードを収集するCHROMELEVATOR、WhatsApp Webのデータベースを復号するZAPIXDESK、ネットワーク偵察用のRustScan、リバースTCP/TLSトンネルを確立するLigolo-NgとTCP/UDPトンネリングツールのChisel、そして改変されたWireGuard実行ファイルに埋め込まれた暗号通貨マイナーXMRigがその一例だ。これらを組み合わせることで、ChromiumベースのブラウザとWhatsAppからの機密情報窃取、横展開、持続的な侵害が行われていた。 また、医療・政府機関への攻撃と並行して、2026年3月にはウクライナ国防軍の関係者がSignalプラットフォームを通じた攻撃の被害を受けた可能性も判明した。FPVドローン操作用ソフトウェアのアップデートを装ったZIPアーカイブが配布され、DLLサイドローディングによってAGINGFLYが展開された。 CERT-UAの推奨する緩和策 CERT-UAは「LNK・HTA・JSファイルの実行を制限し、正規ユーティリティであるmshta.exe、powershell.exe、wscript.exeの起動を制限するだけで、サイバー脅威の可能性を大幅に低減できる」と述べている。戦時下のウクライナで医療インフラや政府機関が高度な攻撃に継続的にさらされている実態が改めて浮き彫りになった事例であり、重要インフラへの攻撃に対する多層防御の重要性が示されている。

概要 GitHubは2026年4月14日、シークレットスキャン機能の大規模なアップデートを発表した。最大のトピックはCloudflareとの新たなパートナーシップで、cloudflare_account_api_token・cloudflare_global_user_api_key・cloudflare_user_api_tokenの3種類のシークレットタイプが検出対象に加わった。これらはパブリック・プライベートリポジトリの両方でPush Protectionがデフォルト有効となっており、誤ってコミットされるのをプッシュ時点でブロックする。 Push Protectionの対象パターンも大幅に拡充された。新たにデフォルトでコミットをブロックするパターンとして、FigmaやGoogle Cloud Platform（GCP）、Langchain、OpenVSX、PostHogなど9種のシークレットが追加された。これらはOrganizationの管理者が設定でカスタマイズすることも引き続き可能だ。 EMUフォーク継承とAPIの改善 エンタープライズ向けの重要な機能改善として、EMU（Enterprise Managed Users）環境のフォークにおけるPush Protection継承が強化された。これまではフォーク先のリポジトリでシークレット保護が引き継がれないケースがあったが、今回の更新により「ユーザー所有のフォークは、最も近いライセンス済み祖先リポジトリからPush Protectionを継承する」仕組みとなり、フォークを経由した保護のすり抜けが防止される。 APIレベルでも複数の改善が加えられた。カスタムパターンのアラートに対して、PATCH エンドポイントを通じて active・inactive などの有効性ステータスを手動で設定・リセットできるようになった。また、アラート取得APIのレスポンスに provider および provider_slug フィールドが追加され、providers や exclude_providers クエリパラメータを使ったプロバイダー単位のフィルタリングがエンタープライズ・Organization・リポジトリの各エンドポイントで利用できるようになった。 スキャン履歴と管理機能の強化 スキャン履歴APIにも新機能が追加された。AIを活用した汎用シークレットのバックフィルスキャンの結果が、新たな generic_secrets_backfill_scans 配列としてAPIレスポンスに含まれるようになり、どのスキャンが実行されたかを履歴として参照できる。さらに、エンタープライズオーナーおよびセキュリティ管理者が全Organizationにわたるシークレットスキャンの却下リクエストを一覧できる新エンドポイントも追加された。Organization・レビュアー・ステータスによるフィルタリングに対応しており、大規模環境での監査・管理業務を効率化する。シークレットスキャンキャンペーン機能にもチームおよびトピックによるフィルタリングが追加され、コードスキャンキャンペーンと同等の絞り込み機能が利用できるようになった。

概要 Googleは2026年4月15日、Chrome安定版チャンネルをWindows・macOS向けに147.0.7727.101/102、Linux向けに147.0.7727.101へアップデートし、合計31件のセキュリティ脆弱性を修正した。このうち5件は最高深刻度の「Critical」に分類されており、悪用に成功した攻撃者がターゲットシステム上で任意のコードを実行できる危険性があるとして、Googleはすべてのユーザーに即時更新を強く推奨している。 Critical脆弱性の詳細 今回修正されたCritical評価の脆弱性は、Chromeが内部的に依存する複数のグラフィックス・システムコンポーネントに集中している。 CVE-2026-6296：ANGLEグラフィックスエンジンにおけるヒープバッファオーバーフロー。ANGLEはWebGLなどブラウザのグラフィックス処理を担う重要レイヤーであり、細工されたコンテンツを表示するだけで攻撃が成立する恐れがある。 CVE-2026-6298：Skia 2Dグラフィックスライブラリにおけるヒープバッファオーバーフロー。Skiaは文字や画像のレンダリングに広く使われており、影響範囲が広い。 CVE-2026-6297：Proxyコンポーネントにおけるuse-after-free脆弱性。研究者「heapracer」が2026年3月17日に報告したもので、解放済みメモリへの不正アクセスを通じてコード実行が可能となる。 CVE-2026-6299：Prerender機能におけるuse-after-free脆弱性。Google社内のエンジニアが発見した。 CVE-2026-6358：XR（拡張現実）コンポーネントにおけるuse-after-free脆弱性。ソウル国立大学Compsec LabのJihyeon Jeong氏が発見・報告した。 これらの脆弱性を悪用すると、管理者権限なしに悪意あるプログラムの実行、機密データの窃取、システムの完全制御といった深刻な被害が生じる可能性がある。 対策と更新方法 ユーザーはChromeのメニューから「ヘルプ」→「Google Chromeについて」を開くことで最新バージョンの確認と自動更新を実施できる。更新後はブラウザの再起動が必要となる。企業環境では管理者がグループポリシーまたはChromeエンタープライズ管理ツールを通じて展開を管理することが推奨される。現時点でアクティブな悪用は報告されていないが、Criticalレベルの脆弱性は攻撃者の標的になりやすいため、迅速な適用が重要だ。

概要 南アフリカの大手金融機関Standard Bankは、2026年2月下旬から始まったサイバー攻撃によって、顧客の氏名・IDナンバー・連絡先・口座番号・クレジットカード情報を含む約1.2TBのデータを窃取された。攻撃者は「ROOTBOY」と名乗り、ダークウェブのフォーラム上でデータの追加公開を防ぐために1ビットコインの身代金を要求したと報じられているが、Standard Bankはその要求の有無や対応について公式コメントを避けている。流出したカード情報にはカード番号と有効期限が含まれる一方、CVVナンバーは流出していないとされる。同銀行の子会社Liberty Groupも関連する別の侵害を受けており、一連の事件は2026年3月23〜24日に公表された。 攻撃の手口と規模 ROOTBOYはStandard Bankのネットワーク内に約3週間にわたって潜伏し、2026年2月末からデータの収集・持ち出しを続けていたとされる。これほど長期間にわたるネットワーク滞留は、侵入検知システムの盲点を突いた高度な攻撃手法を示唆しており、内部のセキュリティ監視の限界が改めて浮き彫りになった。最終的に持ち出されたデータは1.2TBに達し、南アフリカの金融機関が経験した侵害としては過去最大規模とみられている。影響を受けた顧客数については、同行はいまだ開示していない。 Standard Bankの対応と規制当局の動き Standard Bankは侵害の発覚後、影響を受けたクレジットカードの再発行を順次進めるとともに、該当顧客への直接連絡、取引モニタリングの強化、信用情報機関との連携強化などの対策を講じている。また、専用のサポート窓口を設置し、顧客にはパスワードの更新と生体認証の有効化を促している。規制当局である情報規制機関（Information Regulator）は3月23日に同行からの侵害通知を受理し、正式な審査に向けて追加情報を要請したと発表している。同行は規制当局への通知義務を履行しており、当局との協力体制のもとで調査が進められている。 今後の影響と教訓 本件は、金融機関が持つ膨大な個人・金融データを標的にしたサイバー攻撃の脅威を改めて示す事例となった。攻撃者が3週間もの間ネットワーク内に潜伏し続けられた点は、侵入後の横断的移動（ラテラルムーブメント）を早期に検知する態勢の重要性を強調している。南アフリカの金融セクターはPOPI法（個人情報保護法）のもとで厳格なデータ保護義務を負っており、今後の規制当局による審査結果や罰則の有無が業界全体のセキュリティ投資に影響を与える可能性がある。

概要 Microsoftは2026年4月のPatch Tuesdayで、167件の脆弱性（うちCritical 8件を含む）を修正した。Tenableのセキュリティ研究者Satnam Narangが同社集計の163件を基に「過去2番目に大規模なPatch Tuesday」と評したほどの大型リリースで、うち2件はゼロデイ脆弱性だった。カテゴリ別では権限昇格が93件（全体の約57%）と最多を占め、リモートコード実行が20件、情報漏洩が21件、セキュリティ機能バイパスが13件と続く。 ゼロデイ脆弱性の詳細 今月のゼロデイはいずれも深刻度「Important」だが、対応の緊急性は高い。 CVE-2026-32201（SharePoint Serverなりすまし、CVSS 6.5） はSharePoint Server 2016・2019・Subscription Editionに影響し、ネットワーク経由で認証なしに悪用できるなりすまし脆弱性だ。すでに野外での悪用が確認されており、Action1のMike Walters氏は「フィッシング攻撃、不正なデータ操作、ソーシャルエンジニアリングキャンペーンを可能にする」と警告している。 CVE-2026-33825（Microsoft Defender権限昇格、CVSS 7.8） は"BlueHammer"と呼ばれる脆弱性で、4月3日に研究者「Chaotic Eclipse」がGitHub上にエクスプロイトコードを公開したことで広く知られた。パッチ適用後はエクスプロイトが機能しなくなったことをWill Dormann氏が確認している。修正はAntimalware Platformのバージョン4.18.26050.3011を通じて配布されている。 注目すべきCritical・高CVSS脆弱性 Critical評価を受けた脆弱性の中で特に注意が必要なのが、CVE-2026-33824（Windows IKEサービスRCE、CVSS 9.8） だ。IKEv2が有効な環境で細工されたパケットを送りつけるだけで認証なしにリモートコード実行が可能であり、Microsoftはファイアウォールでのポート500/4500（UDP）封鎖を暫定的な緩和策として推奨している。同じくCriticalの CVE-2026-33826（Windows Active Directory RCE、CVSS 8.0） は同一の制限付きADドメイン内の認証済み攻撃者が悪用でき、「悪用の可能性が高い」と評価されている。また、CVE-2026-27913（BitLockerバイパス、CVSS 7.7） はSecure Boot/UEFIの保護を回避しうるセキュリティ機能バイパスで、エンドポイント保護の観点から影響が大きい。 背景とセキュリティ業界の反応 Rapid7のAdam Barnett氏は脆弱性発見件数の増加をAIの能力拡大に帰する一方、特定のプロジェクトとの直接的な関連付けには慎重な姿勢を示した。今月のパッチにはMicrosoft Edge（Chromiumベース）由来のブラウザ脆弱性が約60件含まれており、ブラウザの完全な再起動が適用完了に必要な点も強調されている。Microsoftのパッチとは別に、Adobeは4月11日にAdobe Reader（CVE-2026-34621）の緊急パッチを公開しており、こちらは2025年11月頃から悪用の痕跡があるとされる。ゼロデイを含む今月のパッチはいずれも早急な適用が推奨されている。

概要 Sonatypeは2026年第1四半期（Q1）のオープンソースマルウェア指標レポートを公開し、同期間に21,764件の悪意あるOSSパッケージが検出されたことを発表した。2017年以降の累計検出数は134万6,867件に達しており、現在も平均6分に1件のペースで新たな悪意あるパッケージが出現し続けている。今回のレポートで最も注目すべき知見は、攻撃者が新奇な手法よりも既存の「信頼」を悪用する「トラスト・アビューズ（Trust Abuse）」が最も成功率の高い攻撃ベクターとなっている点だ。 「信頼の悪用」が主流の攻撃手法に Sonatypeの共同創業者兼CTOであるBrian Foxは、「Q1における最大のオープンソース攻撃が成功したのは、手法が斬新だったからではなく、ソフトウェアライフサイクルにすでに組み込まれた信頼を悪用したからだ」と述べている。具体的な攻撃手法としては、信頼されたパッケージの直接的な侵害、確立されたリリースワークフローへの悪意あるコードの注入、そして既知のツールへのアクセス権限の乗っ取りが挙げられる。 実際の事例として、広く利用されているHTTPクライアントライブラリ「Axios」の侵害や、コンテナセキュリティツール「Trivy」および大規模言語モデルプロキシ「LiteLLM」のリリースワークフローへの悪意ある変更が報告されており、攻撃者が開発者に馴染みのある著名なOSSプロジェクトを標的にしていることが浮き彫りになった。 エコシステム別の脅威状況と攻撃目標 レジストリ別の分布では、npmが全体の75%（1日平均46件）を占め、下流への影響範囲の広さから最も多く悪用されるエコシステムとなっている。次いでPyPIが全体の18%を占め、他のレジストリは大幅に低い割合にとどまっている。 攻撃の主な標的は開発環境やCI/CDパイプラインであり、その目的はトークン・暗号化キー・クラウド認証情報といった再利用可能な秘密情報の窃取だ。悪意あるパッケージの行動を分析すると、ホスト情報の窃取が約4,900件（22%）、認証情報の盗取が約4,200件（19%）、二次ペイロード配信の準備が約3,500件（16%）となっている。これらのデータは、攻撃者が単なるマルウェアのばら撒きではなく、高価値な認証情報を狙った組織的な活動を行っていることを示している。 防御の取り組みと今後の展望 Sonatypeは自社のRepository Firewallを通じて、Q1だけで136,107件のオープンソースマルウェア攻撃を阻止したと報告している。同社はOSSエコシステムへの信頼が攻撃者にとって武器となっている現状を踏まえ、組織はサプライチェーンセキュリティの強化、特にCI/CDパイプラインへの厳格な検証プロセスの導入が急務であると警告している。OSSの利用が拡大し続ける中、単に著名なパッケージを使用するだけでは安全とは言えず、継続的な監視と自動化された防御機構の整備が不可欠となっている。

概要 世界最大のオンライン旅行予約サービスBooking.comは2026年4月13日、悪意のある第三者が顧客の予約記録の一部に不正アクセスしたことを公式に確認した。流出した可能性のある情報は氏名、メールアドレス、電話番号、郵便住所、予約日程・宿泊施設の詳細、ならびにホテルとのメッセージ履歴など。同社はクレジットカードをはじめとする金融情報へのアクセスはなかったと明言しているが、影響を受けたユーザーの具体的な人数については明らかにしていない。 不正アクティビティを検出した直後に問題を「封じ込めた」と同社は説明しており、影響を受けた顧客へのメールによる個別通知をすでに開始している。また、既存および過去のすべての予約に紐づく予約PINコードがリセットされた。 攻撃手法と既知の被害 今回の侵入経路や具体的な攻撃手法については、Booking.comは詳細を公表していない。ただし過去の類似インシデント（2021年）との比較から、パートナー（ホテルスタッフ）のアカウントが侵害されるサプライチェーン型の攻撃が疑われている。2021年の事案ではオランダのデータ保護当局がBooking.comに対して475,000ユーロ（約7,100万円相当）の罰金を課しており、その際も宿泊施設スタッフのログイン情報を悪用した不正アクセスによって4,000人以上の顧客データ（一部クレジットカード情報を含む）が流出している。 流出した予約情報はすでに詐欺に悪用されている。Redditなどのコミュニティでは、本物の予約内容（日程・宿泊先・連絡先）を知った攻撃者によるWhatsAppフィッシングメッセージや偽カスタマーサポート電話の被害報告が相次いでいる。AIを活用した自然な文面で組み立てられた詐欺メッセージは見分けが難しく、実際に金銭被害が発生するケースも報告されている。 Booking.comの対応と利用者への注意点 同社の対応措置は以下の通り。 全予約PINのリセット: 既存・過去を問わずすべての予約PINを無効化・再発行 個別通知: 影響を受けた顧客へのメール送付 24時間多言語サポート: 不安を感じるユーザー向けのカスタマーサポートを強化 Booking.comは公式声明の中で、「メール・電話・WhatsApp・SMSを通じてカード情報の提供や異常な振込を求めることは絶対にない」と強調している。利用者は以下の点に注意が必要だ。 予約確認や返金を名目にカード情報や銀行振込を求めるメッセージには応じない 不審なリンクはクリックしない ホテルやカスタマーサポートを装う連絡（特にWhatsAppやSMS）は公式サイトの連絡先から真偽を確認する セキュリティ企業Talionの最高経営責任者Keven Knight氏は「世界最大の旅行予約サービスだけに、影響規模はかなり大きくなる可能性がある」と警告しており、詳細な情報開示が遅れるほどフィッシング・音声詐欺・身元詐欺のリスクが高まると指摘している。1億人以上のモバイルアプリユーザーを抱えるプラットフォームである以上、今後の影響範囲の全容開示と再発防止策の説明が求められる。