年末年始に注意！マイルやホテルポイントがダークウェブでわずか115円から売買される実態をNordVPNとSailyが共同調査

2025年12月24日

記事の要点

航空会社のマイルアカウントは、数十万マイルを保有していても0.75ドル〜200ドル（約115円〜3万円）という低価格で取引されています。
ダークウェブ上で確認された航空会社を狙うサイバー犯罪に関する議論のうち、54％以上が大手航空会社8社に集中しています。
ホテルの顧客データベースも取引されており、内容によっては最大3,000ドル（約47万円）で売買される事例があります。
主なアカウント情報の流出手口は、フィッシング詐欺、データ侵害、クレデンシャル・スタッフィングです。
NordVPNは、パスワードの使い回し回避、アカウント履歴の定期確認、公共Wi-Fi利用時のVPN活用など、5つの防御策を推奨しています。

調査概要と背景

NordVPNのサイバーセキュリティ専門家とeSIMアプリ「Saily」のチームは、ダークウェブ上におけるロイヤリティ関連データの露出状況に焦点を当てた共同調査を実施しました。NordStellarの「Dark Web Search」ツールとAIを活用したフィルタリング技術を用いて、過去5年間に投稿されたデータを収集・分析しています。

マイルやホテルポイントは換金性が高く、直前の旅行予約やギフトカードへの交換に利用できるため、サイバー犯罪者にとって収益性の高い標的となっています。

航空会社のマイレージアカウント売買の実態

ダークウェブ上では、「travel」「airline」といったキーワードで航空会社への不正行為や会員アカウント・データ侵害に関連する投稿が多数確認されました。AIによるフィルタリング後、1,045件の投稿が分析対象となりました。

航空会社のマイレージアカウントは、保有マイル数に関わらず、非常に低価格で取引されています。また、サイバー犯罪に関する議論は、米国・アジア・中東を拠点とする大手航空会社8社に54％以上が集中していることが明らかになりました。ダークウェブ上では、航空会社名や保有マイル数、取引条件が明示された形でロイヤルティアカウントが売買されている事例が確認されています。

これらの投稿は、アカウント情報が偶発的に流出しているだけでなく、以下の手口によって継続的に不正取得されている可能性を示唆しています。

フィッシング詐欺: 航空会社を装った偽メールや偽サイトでログイン情報を入力させる手口です。
データ侵害: 航空会社のシステムがハッキングされ、顧客データベースが流出するケースです。
クレデンシャル・スタッフィング: 他サービスで漏洩したパスワードを使い回している利用者を狙い、不正ログインを試みる手口です。

不正に取得されたマイレージアカウントは、正規の利用者になりすまして無料航空券の予約、座席のアップグレード、各種特典の利用などに使われることがあります。これらの不正取引は正規の利用履歴に紛れ込むため、被害者が気づくまでに時間がかかることも少なくありません。

ホテルの顧客データベース売買の実態

ホテルに関連する顧客情報もダークウェブ上で取引されています。「hotel」をキーワードに分析した結果、551件の投稿が確認されました。ヒルトン、マリオット、IHGといった世界的なホテルチェーンへの言及が多く、特にヒルトンに関する言及はホテル関連投稿の約34％を占めています。

売買されているデータは、会員アカウント単体だけでなく、顧客データベース単位で流通しているケースもあります。これには宿泊客の氏名、メールアドレス、滞在履歴といった基本情報に加え、パスポート番号や会員ポイント情報が含まれる例も確認されました。このようなデータベースは、内容に応じて最大3,000ドル（約47万円）で取引されています。

顧客情報が不正に流通すると、会員ポイントの不正利用だけでなく、なりすましや詐欺などの二次被害につながるリスクも指摘されています。

個人が取るべき5つの防御策

NordVPNの最高技術責任者（CTO）であるマリユス・ブリエディス氏は、旅行前に以下の5つの防御策を推奨しています。

パスワードの使い回しを回避: アカウントごとに強力でユニークなパスワードを設定し、多要素認証（MFA）を有効にすることで、不正アクセスのリスクを低減できます。
アカウント履歴を定期的に確認: ログイン履歴やポイント利用履歴を定期的に確認し、不審な操作があれば直ちにパスワードを変更するなど対応が必要です。
旅行の前後は特に入念にチェック: 旅行中は通常とは異なるネットワーク環境からアカウントにアクセスする機会が増えるため、リスクが高まります。旅行の前後には必ずアカウントの状態を確認し、ポイントの不正利用に関する通知アラートを設定することも有効です。
公共Wi-Fi利用時はVPNを利用: 空港やホテルの公共Wi-Fiは利便性が高い一方で、セキュリティリスクも伴います。通信内容を暗号化するVPN（仮想プライベートネットワーク）を使用することで、第三者によるデータの盗聴や傍受を防ぐことができます。
旅行用eSIMを活用してリスクを低減: 信頼性の低い公共ネットワークへの依存を減らすために、旅行用eSIMを活用し、安全なモバイル通信環境を確保することがセキュリティリスクの最小化につながります。