海外における個人情報流出事件とその対応 第193回 ホテルのセキュリティが危ない? (1)ホテルのハッキングで被害者は世界中に | ScanNetSecurity
2024.04.25(木)

海外における個人情報流出事件とその対応 第193回 ホテルのセキュリティが危ない? (1)ホテルのハッキングで被害者は世界中に

 セキュリティWebサイト『itbusiness.ca』は2月20日、Wyndham Hotelのシステムがハッキングされて、数千人のクレジットカード番号が盗まれたと発表している。報道は2月11日付、Wyndham Hotels and Resortsの発表を受けたものだ。被害者の数については、公式発表では明ら

国際 海外情報
 セキュリティWebサイト『itbusiness.ca』は2月20日、Wyndham Hotelのシステムがハッキングされて、数千人のクレジットカード番号が盗まれたと発表している。報道は2月11日付、Wyndham Hotels and Resortsの発表を受けたものだ。被害者の数については、公式発表では明らかになっていないが、『Tampa Bay Business Journal』や『WC TV』などではフロリダ州の住民だけで
2万1,000人となっている。

 Wyndham Hotels and Resortsは6つの大陸にホテルを持つ、世界最大のホスピタリティ企業(サービス業)の1社、Wyndham Worldwideの子会社だ。Webサイトによると、Wyndham Hotels and Resorts傘下で、Wyndham(R)、Ramada(R)、Days Inn(R)、Super 8(R)、Wingate(R) by Wyndham、Baymont Inn & Suites(R)、Microtel Inns and Suites(R)、Hawthorn Suites(R)、Howard Johnson(R)、Travelodge(R)、Knights Inn(R) AmeriHost Inn(R) などの名称で、約6,500のホテルを所有している。

 Wyndham Hotels and Resortsの発表では、同社が侵入に気付いたのは昨年9月中旬のことだ。しかし、実際に複数のハッカーがWyndham Hotels and Resorts の1台のコンピュータに侵入して、数万件のクレジットカード番号を盗み出したのは、7月下旬から8月上旬ごろだったと見られている。

 同社の定期システム検査で、サーバの一つが異常な活動を行っていることを発見した。その後、情報セキュリティチームが直ちに調査を開始して、フランチャイズグループのホテルの一つが所有するコンピュータが侵入されていたこと、そしてそのコンピュータがWyndham Hotels and Resortsのほかのシステムとつながっていたと確認した。最初に攻撃を受けたのは、アリゾナ州フェニックスにあるデータセンターだったようだ。

 この侵入により、ハッカーはフランチャイズのホテルの顧客情報を検索できる会社のサーバを使用できることになった。発表では41カ所のホテルのサイトが影響を受けている。盗まれたのは宿泊者氏名、クレジットカード番号、クレジットカードの有効期限、カードの磁気テープに含まれるそのほかのデータだ。

 グループのうち、Wyndham Hotel名だけでなく、Ramada(R)、Days Inn(R)など、グループのほかのブランドも被害を受けた。グループ全体のデータベースに侵入したために、被害者は世界中にいる。

●通知は遅れたものの良心的だった対応

 事件を受けて、直ちに権限のないアクセスはできないように、被害を受けたサーバを閉鎖して、トラフィックを遮断した。同時に、PCI(Payment Card Industry)の査定会社に連絡を行い、事件についてフォレンジック調査を行うことで、情報セキュリティインフラの有効性を再確認。その中で、一部フランチャイズサーバについて、精査を実行して、業界標準の顧客データ防護が確保できているか確認した。同時に、事件で影響を受けたホテルに、システムを適切に調査して、セキュアにするよう求めている。

 さらに財務省検察局と被害者が在住する州の州検事総長宛に事態を報告した。検事総長への報告は、情報漏えい事件の通知義務が定められている州についてだ。また、American Express、Visa、Master、Discoverのカード会社にも、被害を受けたカード番号について連絡して、各社がカードの使用状況などを監視できるようにしている。2008年12月には漏えい被害者への通知も開始した。

 Wyndham Hotels and Resortsでは、通知が遅れた理由として、初期調査を行って、法執行機関にまず連絡する必要があったためだとしている。ニューハンプシャー州の検事総長への通知によると、Wyndham Hotels and Resortsではまず10月9日に事件を通知している。そして、通知にいたった理由として、Track 2 クレジットカードデータが被害を受けたことを挙げている。このデータとカード所有者の氏名、住所はセットではなかったようで、Equifaxに依頼して、データとマッチするカード所有者をまず確認した。この作業に8週間を要した。

 Wyndham Hotels and ResortsのWebサイトに用意された、事件に関するFAQには、信用報告における詐欺警告のたて方や凍結方法が紹介されている。通知状ではさらに、個人情報盗難の被害に遭わないよう、口座入出金明細と、信用報告会社による信用報告書を詳しく監視して、疑わしい動きがあれば、直ちに金融機関に連絡するようにとアドバイスを行っている。

 また、信用報告書はEquifax、Experian、TransUnionの信用報告会社3社から無料で入手できることから、入手方法とともに、3社が提供している信用監視に関するサービスについて紹介している。また、近年、増加している個人情報盗難事件からの消費者自衛手段の一つとして、個人情報盗難保険の利用者も増えている。

 Wyndham Hotels and Resortsでは、信用監視サービス、Equifax のCredit Watch(TM) Gold with 3-in-1 Monitoringを無料で情報漏えいの被害者に提供している。監視サービスは、Equifax、Experian、TransUnionで信用ファイルに大きな変化があれば、毎日通知が行われるというものだ。

 被保険者の免責金なしで、2万ドルの個人情報盗難保護がつくほか、Equifaxの信用情報の内容理解に関して、年中無休でカスタマーサービスのヘルプを得ることができる。これにより、情報を不正に使用されたかもしれないような場合に、調査をすぐに始めることが可能だ。Wyndham Hotels and Resortsは、被害者に対して、非常に良心的な対応を行っていると言えるだろう。

●ハッカーがベストウエスタン宿泊客データを販売

 さて、Wyndham Hotels and Resortsはホテルグループだが、2008年の8月には同様にホテルグループの…

【執筆:バンクーバー新報 西川桂子】
──
※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
購読会員登録案内
http://www.ns-research.jp/cgi-bin/ct/p.cgi?m-sc_netsec
《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×