海外における個人情報流出事件とその対応 第193回 ホテルのセキュリティが危ない? (1)ホテルのハッキングで被害者は世界中に | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.08.22(火)

海外における個人情報流出事件とその対応 第193回 ホテルのセキュリティが危ない? (1)ホテルのハッキングで被害者は世界中に

国際 海外情報

 セキュリティWebサイト『itbusiness.ca』は2月20日、Wyndham Hotelのシステムがハッキングされて、数千人のクレジットカード番号が盗まれたと発表している。報道は2月11日付、Wyndham Hotels and Resortsの発表を受けたものだ。被害者の数については、公式発表では明らかになっていないが、『Tampa Bay Business Journal』や『WC TV』などではフロリダ州の住民だけで
2万1,000人となっている。

 Wyndham Hotels and Resortsは6つの大陸にホテルを持つ、世界最大のホスピタリティ企業(サービス業)の1社、Wyndham Worldwideの子会社だ。Webサイトによると、Wyndham Hotels and Resorts傘下で、Wyndham(R)、Ramada(R)、Days Inn(R)、Super 8(R)、Wingate(R) by Wyndham、Baymont Inn & Suites(R)、Microtel Inns and Suites(R)、Hawthorn Suites(R)、Howard Johnson(R)、Travelodge(R)、Knights Inn(R) AmeriHost Inn(R) などの名称で、約6,500のホテルを所有している。

 Wyndham Hotels and Resortsの発表では、同社が侵入に気付いたのは昨年9月中旬のことだ。しかし、実際に複数のハッカーがWyndham Hotels and Resorts の1台のコンピュータに侵入して、数万件のクレジットカード番号を盗み出したのは、7月下旬から8月上旬ごろだったと見られている。

 同社の定期システム検査で、サーバの一つが異常な活動を行っていることを発見した。その後、情報セキュリティチームが直ちに調査を開始して、フランチャイズグループのホテルの一つが所有するコンピュータが侵入されていたこと、そしてそのコンピュータがWyndham Hotels and Resortsのほかのシステムとつながっていたと確認した。最初に攻撃を受けたのは、アリゾナ州フェニックスにあるデータセンターだったようだ。

 この侵入により、ハッカーはフランチャイズのホテルの顧客情報を検索できる会社のサーバを使用できることになった。発表では41カ所のホテルのサイトが影響を受けている。盗まれたのは宿泊者氏名、クレジットカード番号、クレジットカードの有効期限、カードの磁気テープに含まれるそのほかのデータだ。

 グループのうち、Wyndham Hotel名だけでなく、Ramada(R)、Days Inn(R)など、グループのほかのブランドも被害を受けた。グループ全体のデータベースに侵入したために、被害者は世界中にいる。

●通知は遅れたものの良心的だった対応

 事件を受けて、直ちに権限のないアクセスはできないように、被害を受けたサーバを閉鎖して、トラフィックを遮断した。同時に、PCI(Payment Card Industry)の査定会社に連絡を行い、事件についてフォレンジック調査を行うことで、情報セキュリティインフラの有効性を再確認。その中で、一部フランチャイズサーバについて、精査を実行して、業界標準の顧客データ防護が確保できているか確認した。同時に、事件で影響を受けたホテルに、システムを適切に調査して、セキュアにするよう求めている。

 さらに財務省検察局と被害者が在住する州の州検事総長宛に事態を報告した。検事総長への報告は、情報漏えい事件の通知義務が定められている州についてだ。また、American Express、Visa、Master、Discoverのカード会社にも、被害を受けたカード番号について連絡して、各社がカードの使用状況などを監視できるようにしている。2008年12月には漏えい被害者への通知も開始した。

 Wyndham Hotels and Resortsでは、通知が遅れた理由として、初期調査を行って、法執行機関にまず連絡する必要があったためだとしている。ニューハンプシャー州の検事総長への通知によると、Wyndham Hotels and Resortsではまず10月9日に事件を通知している。そして、通知にいたった理由として、Track 2 クレジットカードデータが被害を受けたことを挙げている。このデータとカード所有者の氏名、住所はセットではなかったようで、Equifaxに依頼して、データとマッチするカード所有者をまず確認した。この作業に8週間を要した。

 Wyndham Hotels and ResortsのWebサイトに用意された、事件に関するFAQには、信用報告における詐欺警告のたて方や凍結方法が紹介されている。通知状ではさらに、個人情報盗難の被害に遭わないよう、口座入出金明細と、信用報告会社による信用報告書を詳しく監視して、疑わしい動きがあれば、直ちに金融機関に連絡するようにとアドバイスを行っている。

 また、信用報告書はEquifax、Experian、TransUnionの信用報告会社3社から無料で入手できることから、入手方法とともに、3社が提供している信用監視に関するサービスについて紹介している。また、近年、増加している個人情報盗難事件からの消費者自衛手段の一つとして、個人情報盗難保険の利用者も増えている。

 Wyndham Hotels and Resortsでは、信用監視サービス、Equifax のCredit Watch(TM) Gold with 3-in-1 Monitoringを無料で情報漏えいの被害者に提供している。監視サービスは、Equifax、Experian、TransUnionで信用ファイルに大きな変化があれば、毎日通知が行われるというものだ。

 被保険者の免責金なしで、2万ドルの個人情報盗難保護がつくほか、Equifaxの信用情報の内容理解に関して、年中無休でカスタマーサービスのヘルプを得ることができる。これにより、情報を不正に使用されたかもしれないような場合に、調査をすぐに始めることが可能だ。Wyndham Hotels and Resortsは、被害者に対して、非常に良心的な対応を行っていると言えるだろう。

●ハッカーがベストウエスタン宿泊客データを販売

 さて、Wyndham Hotels and Resortsはホテルグループだが、2008年の8月には同様にホテルグループの…

【執筆:バンクーバー新報 西川桂子】
──
※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
購読会員登録案内
http://www.ns-research.jp/cgi-bin/ct/p.cgi?m-sc_netsec
《ScanNetSecurity》

Scan PREMIUM 会員限定

もっと見る

Scan PREMIUM 会員限定特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

国際 カテゴリの人気記事 MONTHLY ランキング

  1. 総資産 2,303 万 3,975 ドル、逮捕された Alphabay 運営者のずさんなセキュリティ管理 (The Register)

    総資産 2,303 万 3,975 ドル、逮捕された Alphabay 運営者のずさんなセキュリティ管理 (The Register)

  2. Black Hat、DEF CON、BSides 開催でホテルがビジネスセンターを真剣に閉鎖(The Register)

    Black Hat、DEF CON、BSides 開催でホテルがビジネスセンターを真剣に閉鎖(The Register)

  3. AWS 設定ミスでウォールストリートジャーナル購読者情報他 220 万件流出(The Register)

    AWS 設定ミスでウォールストリートジャーナル購読者情報他 220 万件流出(The Register)

  4. 来月ビットコインが消え去るかもしれないが、パニックに陥るべきではない(The Register)

  5. 「Tor 禁止令」を解く Facebook、暗号化の onion アクセスポイントを宣伝~これからは暗号化通信も完全に OK(The Register)

  6. 最大手の広告代理店が NotPetya の攻撃からいまだに立ち直れない原因(The Register)

  7. iCloudからの女優のプライベート画像流出事件、容疑者がフィッシングの罪を大筋で認める

  8. 専門家「隠されたパケットスニファのスパイ技術が、無数の iPhone と iPad に存在している」~「落ち着いて…Apple のバックドアは誰でも入れるほど大きく開いてはいない」重鎮は語る(The Register)

  9. 勤務先の内部情報をダークWebに売る社員、闇のインサイダー取引サービス成長中(The Register)

  10. ソフトバンクが 1 億ドル出資し Cybereason の筆頭株主に ~ セキュリティのユニコーン誕生(The Register)

全カテゴリランキング

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×