マニアが教える ITEM PR Press

全部で3億8300万件！世界最大のホテルグループ「マリオット」から個人情報流出

［公開日］2019/01/09［更新日］2019/02/22

マリオットグループ SPG セントレジス

ご存知の方もいるかと思いますが、2018年世界最大のホテルチェーン「SPG・マリオット」グループで、総数3億8300万件の個人情報流出しました。

マリオットグループ全体ではなく、買収した「SPG(スタウッド・プリファード・ゲスト)」の予約データベースに不正アクセスされており、クレジットカードやSPGアカウントの不正利用が懸念されています。

最新の公式リリースはこちらから確認できます。

2019年2月〜マリオットボンヴォイに統一
2019年2月、マリオット・SPG・ザ・リッツ・カールトンのホテルプログラムが統一し、「マリオットボンヴォイ」になりました。不安視されていたSPGのデーターベースからセキュリティ強化された新システムに移行され、各アプリも2月13日からマリオットボンヴォイアプリに統一されています。

2018年9月8日以前にSPGを利用したことがある人はすぐ確認を


◇該当する人
2018年9月8日以前にSPGに宿泊した、予約したことのある人

今回、不正アクセスを発見したのは2018年9月8日ですが、2014年から不正なアクセスがあったことがわかっています。発覚当初は約5億人分としていましたが、以下の通りに下方修正されています。

当社は、本インシデントの対象となったお客様情報の総数の概ねの上限を3億8300万件ほどと特定しました。しかし、これは、しばしば同一のお客様に関する重複した記録を含んでいるものと思われるため、3億8300万人の個別のお客様が対象となったということは意味しません。

マリオットは現時点で本インシデントの対象となったデータについては以下の通りと考えております。

・約860万件のクレジットカード番号（すべて暗号化されたもの）
・約525万件の暗号化されていないパスポート番号及び約2030万件の暗号化されたパスポート番号

引用：スターウッドゲスト予約データベースセキュリティインシデントについて


個人情報の流出は、マリオットグループの傘下「SPG」グループの予約データベースのみで、それ以外のマリオットグループホテルに宿泊した人は該当しません。

とは言え、約2,550万人分の個人情報なのでかなり膨大です。以下のホテルに宿泊したことのある人は、ポイントやクレジットカードの不正利用がないか一度確認することをおすすめします。

対象：Starwood Preferred Guest (SPG)プログラムに加盟しているホテル
・ダブリュー・ホテル、セントレジス、
・シェラトン・ホテル＆リゾーツ、
・ウェスティン・ホテル＆リゾーツ、
・エレメントホテル、アロフトホテル、
・ラグジュアリーコレクション、
・トリビュートポートフォリオ、
・ルメリディアン・ホテル＆リゾーツ、
・フォーポイントバイシェラトン及びデザインホテル
※スターウッドブランドのタイムシェア施設も対象（シェラトン・バケーションクラブ、ウェスティン・バケーションクラブ、ラグジュアリーコレクション・バケーションクラブ、セントレジス・レジデンスクラブ、ビスタナ）

流出した個人情報は、以下すべてもしくは一部とされていますが、暗号化されている人とされていない人がおり詳細はまだ公表されていません。

流出したとされる個人情報
・名前
・住所
・電話番号
・Ｅメールアドレス
・パスポート番号
・クレジットカード番号と有効期限
・Starwood Preferred Guest (SPG)のアカウント情報
・生年月日
・性別
・ホテル到着及び出発に関する情報
・予約日
・希望の連絡手段


クレジットカード番号が暗号化されていても安心できない


クレジットカード

マリオットでは、流出した約860万件のクレジットカード番号は強固なAES暗号化方式（AES-128）を使用して暗号化していると発表しています。

しかし、4年前からSPGの予約データベースに不正アクセスされていたこともあり、暗号化される前段階で流出している可能性も囁かれており安心はできない状況です。

今回の個人情報流出による不正アクセスは報告がないものの、まだ調査中なので、こまめに利用履歴を確認しましょう。

日本でも該当者が続出している


Twitterで今回の事件について調べていると、日本でも該当者が続出していました。現時点では、誰の情報がどこまで漏れてしまっているかがわからず、今後の対応が急がれます。





個人情報が流出したらどうしたらいいのか


マリオットグループ SPG セントレジス


個人情報の中でも悪用されやすい「クレジットカード番号」「パスポート番号」「SPG登録情報」を確認してください。

パスポート
パスポート番号は、それだけでは悪用される可能性は低いと考えられます。執筆時点では電話やメールでの連絡にとどまっていますが、順次自分のパスポート番号が暗号化されていないパスポート番号に含まれていたかどうかを調べることができる適切な手段をご案内できるようにする仕組みを導入されるようです。

クレジットカード
情報漏えいしたクレジットカードのうち、約35万4千件は有効期限内のクレジットカードであることがわかっています。

そのうち、2,000ほどはマリオットグループのミスにより暗号化されていないままでした。不正があった場合、マリオットグループがサポートするという発表がありましたがどこまでの範囲をサポートしてくれるかは現時点では明らかにされていません。

利用履歴を確認、問い合わせしましょう。

SPGアカウント
現時点で、ポイントの不正利用などの報告は出ていませんが、パスワードを変更してください。変更する際は、他のアカウントに使用しているパスワードを使うのは危険です。

アルファベット・記号・数字を混ぜて設定するようにしましょう。

個人情報流出においての問い合わせ窓口


専用コールセンター
・日本　0120-901-011
・受付時間　平日9:00-18:00(日本時間)
それ以外の言語、国への問い合わせはこちらの公式サイトから確認できます。

※画像は公式サイトより引用しています。