すべてのAirbnbユーザーが知っておくべきセキュリティ脅威と対策

Airbnbは一見すると素晴らしいサービスに思えます。

2008年に設立されたAirbnbは、家主が旅行中など自宅を空ける期間に部屋や物件全体を貸し出せる仕組みです。191か国で200万件以上の掲載物件を抱え、ホストにとっては余ったスペースから収入を得る手軽な手段となり、旅行者にとっても一般的にホテルより安く、より温かみのある宿泊先を提供しています。

しかし、良いことばかりではありません。リスクを負うのは家主だけだと思われがちですが、実はゲスト側も、予約時から実際の滞在中まで、さまざまなセキュリティ上の懸念に直面するのです。

Airbnbは利用者にとってセキュリティの悪夢になり得ます。では、私たちは何をすべきなのでしょうか?

偽リンクによるフィッシング詐欺

GumtreeやCraigslistのような広告サイトでは、あらゆる種類のフィッシング詐欺が横行しています。振り返ってみれば手口は明白なのに、「自分は騙されない」と思ってしまうのが人間です。

したがって、Airbnbを装った詐欺がこうした場所で発生していても、決して驚くことではありません。

詐欺師の手口はいくつかあります。そのひとつが、会話をAirbnbのプラットフォーム外に持ち出すことです。これは本来、規約違反行為として嫌われるものですが、Airbnbは家主の希望額に約15%上乗せして手数料を請求するため、仲介業者を排除したいという誘惑に駆られる人が少なくありません。

こんなシナリオを想像してみてください。Airbnbで素晴らしいアパートを見つけ、質問用のメールアドレスも記載されていたので、宿泊希望日を問い合わせました。すると「その日程は埋まっているが、近くに関連物件がある」との返信があり、親切にもそれらの物件へのリンクが添えられています。

ここで警鐘が鳴るはずですが、リンク先はAirbnbに見えるので「何の害があるのか?」と思ってしまいます。しかし、そのサイトは本物のAirbnbウェブサイトからコンテンツをコピーして作られた偽物なのです。この手の詐欺の被害者であるサラ・ルイズ=グロスマン氏は次のように語っています。

相手のサイトにはAirbnbのロゴがあり、デザインもAirbnbそっくりでした。URLもほぼ本物に見えたのです。「airbnb.intinerary-booking.com」とあり、違いに気づいた人はいませんでした。誰がそんなにURLを注意深く見るでしょうか? 掲載物件にはAirbnbさながらの高評価レビューまで付いていました。そして決定的だったのは、各ページ下部にある「About」情報が、本物のAirbnbの「About Us」ページへリンクしていたことです。天才的な手口です。

さらに疑い深い人のために、偽サイトでは「物件が本物か確認できる」と称してAirbnbチームとのインスタントメッセンジャーまで提供されています。ところが、本物のAirbnbにそんなメッセンジャーサービスは存在しないのです。

被害者はその後、銀行振込での予約を促されます。銀行振込は絶対に避けるべきです。

偽物件リスト

サイバー犯罪者が大金を稼ぐもうひとつの方法は、偽ウェブサイトを構築するよりも簡単です。それは「偽の物件リスト」を掲載することです。

原理は同じです。詐欺師は他人の物件の写真を入手し、自分の物件であるかのように装います。この詐欺がどう展開するかは想像に難くありません。怪しいと気づかなければ、数百ドルを騙し取られるだけでなく、宿泊先があると思い込んで旅行に出かけ、現地で「宿がない」ことに気づくことになります。

悪夢のようなシナリオですが、実際に「AirbnbHell」という、被害体験談を集めた専門サイトまで存在します。

そこには、汚れ、水漏れ、その他さまざまなトラブルの話が並んでいます。さらに注目すべきは、認証済みユーザーからの偽物件への苦情もあることです。そう、認証済みです。この制度は利用者を安心させるために導入されたものでしょうが、しぶとい詐欺師たちは、なりすましなどの手法でこれを逆手に取っています。

Airbnbは不正な物件リストの取り締まりを強化していますが、プラットフォーム外での取引に騙された被害者への救済は、概してほとんど期待できません。

とはいえ、偽ホストがあまりに簡単に広告を掲載できてしまう現状は憂慮すべきです。ある初めての利用者は、Airbnb外で「家主」と接触しかけたものの危険性に気づきました。ところがその後、その詐欺師は今度こそその利用者のふりをして、Facebookから収集した写真や個人情報を使って偽リストを作成したのです。被害者はAirbnbへの苦情でも問題に直面しました。

私は公式に登録された物件を持っていないし、メンバーにもなっておらず、アカウントも持っていません。なぜAirbnbのシステムはそれを認識しなかったのでしょうか? 残念ながら、同社の深刻な問題に対する傲慢で無関心な姿勢は友達を増やしません。実際に担当者にたどり着くのは非常に困難です。問題が彼らの用意したカテゴリーに当てはまらない場合、連絡は事実上不可能です。

Wi-Fiに関する懸念

仮に宿泊先を確保できたとしましょう。素敵なアパートでくつろぎ、スマートフォンやタブレットで地元の観光情報を調べようとします。そして、商業施設の宿泊先なら当然のように、無料Wi-Fiに接続するでしょう。無料で高速、モバイルデータの節約にもなります。

しかし残念ながら、詐欺師は依然として付け入る隙があり、偽リストよりも大きな被害をもたらす可能性さえあるのです!

公衆Wi-Fiの危険性についてはご存じでしょう。サイドジャッキングやショルダーサーフィンのリスクがあり、特に個人情報にアクセスする際は推奨されません。セキュリティ専門家のジェレミー・ギャロウェイ氏は、賃貸物件のルーターに接続することはそれ以上に危険であり、必ずしも家主の過失ではないと警告しています。

家主自身がゲストのデバイスに感染させている可能性もありますが、以前のゲストが物件のWi-Fiを侵害していた可能性の方がむしろ高いでしょう。ルーターへの直接アクセスは、文字通りペーパークリップでリセットボタンを押すことを意味する、いわゆる「ペーパークリップ脅威」につながります。ギャロウェイ氏はこれを休暇中の趣味のように回想しています。

私はテキサス人らしいスノーボードしかできず、気分を変えたかったのでこう考えました。「レンタル物件に戻ってネットワークに侵入し、友人のブラウジングをいじってやろう」。わずか5分で、私はネットワークを完全に掌握しました。

こうした認証情報にアクセスされると、サイバー犯罪者は偽のWi-Fi接続を有効化したり、継続的な中間者(MITM)攻撃を仕掛けたりすることが可能になり、二者間の通信を傍受できてしまいます。

同様に、パケットスニッフィングによって、ハッカーはネットワーク上を流れる大量のデータを収集し、後で自由に閲覧できます。1年前に同じ物件に滞在したゲストの犠牲になっているかもしれないのに、本人はまったく気づかない——そんなことも起こり得るのです。

安全に利用するための対策

Airbnbのプラットフォームから離れないことです。メールがどれほど本物らしく見えても関係ありません。リンクが含まれていたらクリックしないこと。それがAirbnb本体へのリンクを装っていても同じです。実際、「booking@airbnb.whatever」のような送信元アドレスからのメールが報告されています。本物に見えますが、間違いなく偽物です。本物のメールアドレスもなりすまされる可能性があるため、「差出人」アドレスの確認だけに頼ってはいけません。スペルミスや文法の誤りなど、不審な兆候に注意しましょう。

リンクをクリックしても支払い情報を入力しなければ安全だと思うかもしれません。しかし、ランサムウェアに感染するリスクを負うことになります。代わりに、メッセージを削除し、新しいブラウザウィンドウを開いてAirbnbアカウントにログインしてください。本物のメッセージはそこに表示されるはずです。

同様に、Airbnbからの「特別オファー」を装ったものにも騙されないでください。多くの場合、偽サイトへのリンクが含まれています。

銀行振込には警戒してください。相手の家主がどんなに説得力のある言葉を並べても、必ずAirbnbの内部決済システムを利用しましょう。

偽リスト対策としては、画像の逆検索が有効です。写真を右クリックして「Googleで画像を検索」を選ぶだけです。Firefoxには同じ機能を提供する便利なアドオンもあります。同じ画像がCraigslistなどに登場しないか確認し、物件の信頼性をチェックしましょう。本当に宣伝されている通りの物件なのか? さらに、判断材料となるレビューも見つかるかもしれません。

そして現地に到着したら、どうしても物件のWi-Fiに接続する必要がある場合は、VPN(仮想プライベートネットワーク)を使用してください。データが暗号化され、完璧な防御ではありませんが、個人情報を保護するための確かな一歩となります。

責任はゲストだけにあるのではない

ゲスト側はなりすまし被害への対策が必要ですが、家主側も協力すべきです。Wi-Fiを保護することは家主自身の利益にもなるのです。ギャロウェイ氏は次のように助言しています。

ルーターを施錠して保管すれば、好奇心旺盛な人々の手から遠ざかります…重要なのは完璧なセキュリティを作ることではなく、ハードルを上げることです。現状では、攻撃者がネットワークを掌握するのに必要なのは「やろうと思うこと」だけなのです。

極端に思えるかもしれませんが、深刻なセキュリティ問題を回避できるなら、すべての人にとって価値のある措置です。

あなたは物件を借りる際に、さらにどんな対策を講じていますか? Airbnb以外のサービスを利用していますか? それともこのサービスを信頼していますか?