週末自分が出かける宿をbooking.com で予約していたら、変なメッセージが届いて、調べてみたらいろいろと大きな問題になっていることがわかりました。今日はその話について。

宿泊予約サイトでのフィッシング被害の全容が見えてきた

僕のところにも届いたbooking.comのフィッシングメッセージ。

どうやってこのメッセージが送れるの？って謎だったんだけど、このニュース記事が図解してくれてた。

要は宿泊客を装ってメールで添付ファイルを送付。そのファイルを開いた宿のPCにマルウェアが仕込まれて、宿泊予約サイトの管理サイトへ入れてしまうという話。宿の担当者がこの事を理解してない場合も多いだろうから、この問題はしばらく続きそうな気がします。

ネットでは本物のお客さんと見分けがつかない

オンラインのやり取りだけではお客さんなのか、悪者なのかの見分けは全くできません。宿泊予約サイトはいくつかありますが、予約客と宿が直接メッセージのやり取りをできる仕組みを備えている宿泊予約サイトを利用している宿はどこでもこの被害に遭う可能性があって、マルウェア感染の有無は実際に宿泊予約を入れてみないと分からないという困った話です。

マルウェア感染を防ぐ為には、スタッフのセキュリティ対策意識を高めると共に、そうした添付ファイル等を防ぐために対策ソフトや機器の導入も検討せざるを得ないかも入れない。そんなややこしいコストかけるのって、このご時世、勿体ないとしか思えない。そのお金で宿泊客向けのサービス向上に使った方がよっぽど健康的です。

電話予約のみでいつも満室の宿

僕がいつか行きたいと願って止まない宿が北海道・岩内にあります。

Facebookやインスタでこまめに情報アップされているので、いつも見てるのですが、ほぼ満室ばかり。たまにキャンセルがでたら、すぐに告知されて、それも埋まります。
いったい、この宿の魅力はなんなのか？　を実際にいつかは体験したいと思ってます。

この宿、全館１３室で、予約は電話のみ。予約サイト等は一切使ってません。
いま、この”電話のみ”という予約方法が最も高いセキュリティ対策と顧客へのサービス向上を兼ねていると思います。お客さんと実際に会話できるから本人確認もできて、宿泊客毎の細かいリクエストにもその場で応えられる。ネットでさっと気軽に予約できない分、突然のキャンセルも少ないでしょう。

宿が自分達の価値を見直すきっかけに

今回の宿泊予約サイト経由のスパム＆マルウェア被害に対抗するのではなく、ちょっと立ち止まって自分達の宿の価値を再認識してみてはどうだろう？

• 情報発信はこまめに行い、自社サイトもしくは電話・LINEでの予約のみで対応する（＝必ず予約者本人とやりとりできる）

• 宿泊客が何を求めて宿に来ているのか？　宿泊機能だけなのであれば
  徹底的にサービスも絞り込む。
  「変なホテル」とか「アパホテル」などはそうだよね。
  （＝機能性重視なので、ホスピタリティ部分を削ってセキュリティ対策にも回せる）

• ホスピタリティ重視であれば、”予約”から”チェックアウト後の１日”までを心地よく過ごしてもらう為に徹底的に設計し直す。予約も他人任せにしない。（＝本来の宿の役割はこちらだと思いたい）

などなど、少し考えただけでも自分達の価値を見直すことができるはずです。

情報セキュリティ対策はいたちごっこで青天井

悪いこと考える人達はとにかくずば抜けて頭がいいので、何か対策を打ってもしばらくしたら必ずその次の段階に進んで攻撃してきます。終わりがないんです。また、そうした攻撃を防ぐための情報セキュリティ対策は、ハード面、ソフトウェア面、人的リソースに対して、etc…. 考えるべき要素と対策はいくらでもありますし、お金もいくらでもかけられます。
一体、なんのために宿をやっているのか訳がわからなくなってしまうぐらいです。

真っ当な商売人として宿を営む時代

IT・インターネットを通して”だけ”やり取りすると、悪者の入る隙間が必ず生じてしまいます。
宿が真っ当な商売人として宿泊客と真摯に向き合うことで、自分達がどこまで何をすべきなのかが明らかになる時代です。今回のマルウェア被害を伴うフィッシングはそうした見直しの契機にして欲しい。

• 本当に予約サイトを使い続ける必要があるのか？
  →手数料も手間も馬鹿にならないはず。”送客”ではなく”創客”できてる？

• セキュリティ対策もどこまで何が必要なのか？
  →　基本的なことすらできていないのではないか？

• 宿泊客にかけるべきコストとセキュリティにかけるコスト、バランスは？
  →情報セキュリティ意識・スキルを見直してみる

根本的なところから見直すいい機会だと思います。

スパム対策の基本はとにかく”無視”

スパムメールやフィッシング等への対策は、とにかく”無視”すること。
悪者に真正面からぶつかってもしんどいし、コストも手間もかかるだけ。下手をすると見抜けなくて返り討ちに遭います（泣）。

悪いことする人達は放っておいて自分達のお客さんとのやり取りを豊かに耕すにはどうするかを一生懸命に考えて、実践していきましょう。

どうしても自分達で情報セキュリティの事や、対策をどうするべきかの考え方を整えるのが難しいと感じたら、コメントでも何でもください。

コメントいただいけたら、可能か範囲でお答えしていきますよ。