予約データ盗難、WhatsAppの偽メッセージがチロルのスキー客を狙う
2016年1月のイシュグル（パズナウン谷）のマトーン。写真：KrauS via Wikimedia Commons、CC BY 3.0
チロル州の少なくとも4つの観光地域で、約1,700の宿泊施設が予約データの盗難の影響を受けた可能性がある。イシュグル、ゼルフォース、ゼーフェルト、シュトゥバイなどだ。冬の予約を持つ宿泊客には、ホテルを装った偽のWhatsAppメッセージが届いている。実際の日程と予約番号が記載され、リンクからカード情報を入力させようとする。
要点
- Feratelによると、予約データは2026年10月25日23:00から26日1:15の間にダウンロードされた。
- データには氏名、住所、電話番号、メールアドレス、旅行日程、予約した宿泊先、料金、支払い状況が含まれる。
- カード情報や銀行情報は盗まれていないと、Feratelは説明している。
- チロル州では約1,700の施設が影響を受けた可能性がある。ザルツブルク州では97軒のホテル、シュタイアーマルク州ではすべての観光協会が対象となった。
- 本物の予約で、WhatsAppのリンクから新たな「確認」を求められることはない。
何が起きたのか
インスブルックの企業Feratelは、オーストリアの多くの観光協会が使う予約システムDesklineを運営している。同社はパートナー向けの声明で、自社のシステムに侵入されたわけではないとしている。声明はBorns IT-Blogが全文を掲載した。攻撃者は第三者のシステムを通じて、インターフェースパートナーのDeskline用ログイン情報を入手し、それを使って予約データをダウンロードしたという。
Feratelの声明は「取得された予約データは、氏名、住所、電話番号、メールアドレス、旅行日程、予約した宿泊先、旅行料金、支払い状況である」と述べている。対象は、特定の販売チャネルを通じて行われた、到着日が将来の予約だ。Feratelはアクセスを遮断し、ログイン情報を変更した。
チロル州警察は2026年10月30日(金)、身元不明の者がシュヴァーツ郡にあるソフトウェア会社のウェブアプリケーションに侵入したと発表した。アクセスは2026年10月17日から28日まで続いた。警察は会社名を明らかにしていない。2026年11月2日の時点で、警察もFeratelも、この2件が同一の事案だとは述べていない。
| 日付 | 経過 |
|---|---|
| 2026年10月17～28日 | シュヴァーツ郡の企業の予約アプリケーションへの不正アクセス（警察） |
| 2026年10月25～26日 | 予約データのダウンロード、23:00から1:15（Feratel） |
| 2026年10月27～28日 | 最初の宿泊客が偽のWhatsAppメッセージとメールを報告 |
| 2026年10月30日 | チロル州警察が事案を発表 |
| 2026年10月31日 | FeratelがORFに対し事案を認める |
影響を受ける地域
ORF Tirolの報道によると、Feratelはチロル州のシュトゥバイ、ゼルフォース、ゼーフェルト、イシュグルの観光協会を挙げた。この地域では約1,700の施設が影響を受けた可能性がある。Feratelは各協会からの報告をもとに、そのうち約3分の1、つまり将来の予約を持つ施設が被害に遭ったとみている。
| 地域 | 報じられている影響 |
|---|---|
| チロル州 | 少なくとも4つの観光協会、約1,700の施設が影響を受けた可能性 |
| ザルツブルク州 | 11の観光協会にまたがる97のホテル施設 |
| シュタイアーマルク州 | すべての観光協会、宿泊客約3,000人 |
| オーバーエスターライヒ州、フォアアールベルク州、ブルゲンラント州 | 被害の報告なし |
ザルツブルク州の数字はORF Salzburgによる。シュタイアーマルク州の宿泊客3,000人という数字はKleine Zeitungによるもので、oe24が伝えた。Tiroler Tageszeitungは2026年10月28日、チロル州で数万件のデータが対象になると書いた。
シュトゥバイ観光協会のクラウス・グライルシャー局長はORF Tirolに対し、「将来の予約の大部分が影響を受けている」と述べた。どこまで先の予約が対象かは、協会も把握していない。
偽メッセージの手口
詐欺グループは、予約したホテルやアパートを名乗ってメッセージを送る。Borns IT-Blogも掲載した観光協会の警告によると、宿泊客は、リンクから予約を確認する、個人情報を入力する、カード情報を残す、のいずれかを求められる。メッセージには実際のホテル名、日程、予約番号が入っているため、本物のように見える。
skiinformatie.nlの報道によると、オランダ人の宿泊客は2026年10月27日(火)の夜、このようなWhatsAppメッセージを受け取った。メッセージは、24時間以内に予約を「確認」するよう求めていた。彼は30分以内にカード情報を入力した。「ごく普通に見えたんです」と、同サイトに語っている。友人が警告してくれたため、カードは間に合って停止できた。
誰が調べているのか
ORF Tirolによると、オーストリアのデータ保護当局に届け出があった。警察には被害届が出されており、Feratelは外部のフォレンジック専門家と協力している。影響を受けた宿泊客とホテルの数を突き止めるのは「非常に難しい」と、警察の広報担当者は通信社APAに語った。Salzburger Nachrichtenが伝えた。2026年11月2日の時点で、被害総額は分かっていない。
スキーを荷造りする前に
スキー旅行は予約から始まる。まずは予約を確認しよう。
- 予約に関するメッセージのリンクは開かない。本物の予約で、新たな確認が必要になることはない。
- ホテルへの電話は、元の予約確認書に記載された番号か、公式サイトの番号にかける。
- WhatsApp、SMS、メールのリンクから、カード情報や銀行情報を入力しない。
- カード情報を入力してしまった場合は、すぐに銀行に電話してカードを止め、警察に届け出る。
予約の安全を確保したら、次はスキー選びだ。Pick-A-Skiセレクターは、今シーズンのスキーをあなたのレベル、地形、サイズで比較する。イシュグルやゼルフォースのようなリゾートで、整備されたゲレンデを中心に少しオフピステも楽しむ1週間なら、まずオールマウンテンスキー トップ5から見てみよう。
