DIME MAGAZINE
毎年3月31日は、個人や企業のデジタル資産を守る重要性を啓発する「ワールドバックアップデー」だ。日本国内ではクレジットカード不正利用の被害が深刻化しており、一般社団法人日本クレジット協会の集計では2024年の被害総額は555億円と過去最高を更新し、92.5%はカード番号の盗用によるものだったという。
個人向けセキュリティサービスを提供するNordVPNは、運営する脅威エクスポージャー管理プラットフォーム『NordStellar』が2025年に実施した情報窃取型マルウェア『インフォスティーラー（Infostealer）』による被害実態に関する調査の結果を発表した。
『インフォスティーラー』は、感染した端末からクレジットカード番号・パスワード・Cookie・ブラウザの保存情報などを密かに収集して、外部に送信するマルウェアで、メールの添付ファイルや不正なソフトウェアダウンロードを通じて感染してユーザーが気づかないまま情報が盗まれてしまう。
今回の調査は、ダークウェブの掲示板と『Telegram』グループから2021年～2025年にかけて収集した913件のデータを分析したもので、『インフォスティーラー』で盗まれたクレジットカード情報を使って航空券やホテル予約を不正購入してダークウェブ上で転売する「ダークウェブ旅行代理店」の実態がわかったという。
「ダークウェブ旅行代理店」とは何か
「ダークウェブ旅行代理店」は、正規の旅行予約サイトと同様の形態でサービスを提供しているが、実際の活動の場所はダークウェブ上の秘匿された闇市場や掲示板で、犯罪者はダークウェブ上で盗んだクレジットカード情報を使って正規の旅行商品を購入して、それを大幅に割り引いた価格で第三者に転売している。
『NordStellar』が2021年から2025年にかけて収集したデータ（有効913件）の分析によれば、出品の92.5%が定価の40％から60%引きで販売されており、ホテル予約や航空券に加えてウーバーイーツなどデリバリークーポンまで取り扱いが拡大していたという。
・出品の92.5%が定価の40％から60%引きで販売されており、「格安旅行」に見せかけた巧妙な転売手口が特徴。最多カテゴリーは、ホテル予約（18.2%）で、航空券（13%）、Airbnb 予約（5.6%）、レンタカー（5.2%）が上位。航空券と宿泊施設をセットにしたパッケージ販売も多数確認されている。
近年は、デリバリークーポンにも拡大しており、『ウーバーイーツ』（21.7%）、『DoorDash』（16.2%）、『Amazon』（10.1%）でも取引されている。支払いは、暗号通貨やキャッシュアプリが多用されており、「エスクロー（第三者預託）」による信頼構築の仕組みも整備されている。
旅行関連詐欺が発覚しにくい理由とは？
この手口が深刻なのは、被害者自身が不審なリンクを踏んだり怪しいサイトで買物をしていなくても被害に遭う点だ。犯罪者は、過去のデータ漏洩などで流出したカード情報を悪用しているため、身に覚えのない状況でカードが不正利用されてしまう。
ダークウェブ上の販売者が犯行の手順を詳細に解説したマニュアルも確認されており、手口が組織的に共有・継承されている状況だ。しかも騙されて割引商品を購入した側も深刻な被害がある。予約が突然キャンセルされるだけでなく、詐欺へ加担したとして警察の調査対象になることや販売者との連絡が突然途絶えて代金を支払ったまま泣き寝入りとなるケースも起こっている。元のカード保有者は、不正請求が明細に現れるまで被害に気づかないこともほとんどだ。
Sailyのヴィキンタス・マクニカスCEOは次のようにコメントしている。「ダークウェブ上の旅行サービスは、独自のカスタマーサービスやリピート客を持つ、十分に発達した市場です。盗んだ決済情報を利用して利益を得るこのビジネスモデルは、あなたのカード情報がデータ漏洩に含まれていた場合、見知らぬ誰かの旅行代金に使われている可能性が今や決して低くないことを意味します」
NordVPNのマリユス・ブリエディスCTOも次のようにコメントしている。「旅行関連の購入は一般的に高額で正規の支出に見えることが多く、クレジットカードの明細で即座に不正と判断されにくい場合があります。詐欺師はカードがキャンセルされるまでの時間を稼ぐことができ、高額な旅行予約に移行する前に少額請求でカードをテストするケースも確認されています」
GWを前に旅行関連サービスの予約が活発化する時期だからこそ、対策をすることは重要だ。この調査発表では、次のような対策リストも紹介している。
・クレジットカードや銀行口座のリアルタイム通知を有効にする。
・身に覚えのない少額請求も見逃さず、すぐに金融機関へ報告する。
・各サービスで異なる強力なパスワードを設定し、多要素認証（MFA）を導入する。
・オンラインでの決済情報の保存先を最小限に絞る。
・「不自然に安い旅行商品」を購入しない（購入した側にも詐欺リスクあり）。
大型連休などで旅行を計画している人は、カード情報が知らぬ間にダークウェブ上で悪用されるリスクに対して、改めて注意が必要だろう。
構成／KUMU
最新号
