旅行サイトの詐欺と聞くと、まず思い浮かぶ対策は「偽の宿を見つけて削除する」だろう。もちろん、それは要る。ただ、予約後に本物の宿から届いたようなメッセージで支払いを求められたら、利用者は警戒の置き場所をなくす。玄関の外に怪しい人がいる話ではなく、合鍵を持ったふりで廊下まで入ってくる話だからだ。

欧州委員会の正式調査は、個々の偽ページを消した件数から、宿の掲載審査、予約データの扱い、メッセージ機能、検索順位の見せ方まで視野を広げる。詐欺を生みにくくする設計だったかを調べ、プラットフォームの責任を「通報が来たら消す係」より一段手前へ動かす調査である。

Booking.com under investigation by EU regulators over fake listings and scams
Booking.com under investigation by EU regulators over fake listings and scams

European Commission calls accommodation website’s approach to fraudulent listings and phishing scams as ‘absolutely substandard’

今回の登場人物 ​

  • Booking.com: 宿泊施設などを検索・予約できるオンラインサービス。今回、EUの巨大オンラインプラットフォーム向けルールの下で正式調査を受ける。
  • 欧州委員会: EUの政策執行機関。巨大プラットフォームについては、DSAの監督と執行を担う。
  • DSA: Digital Services Act、デジタルサービス法。ざっくり言えば、仲介サービスや大きなプラットフォームに、違法コンテンツ対応、広告の透明性、巨大サービスのリスク評価と軽減などを求めるEUの規則だ。
  • VLOP: Very Large Online Platform、EUで月平均4500万人以上が利用する「非常に大きなオンラインプラットフォーム」。Booking.comは2023年4月に指定され、大規模サービス向けの追加義務を負う。
  • フィッシング: 本物らしいメッセージや偽サイトで、支払い情報やログイン情報をだまし取る手口。魚を釣るように餌を見せるのでこの名前だが、対策は利用者の注意力とサービス側の設計の両方にかかる。

何が起きたか ​

ガーディアンは英国時間10月21日、欧州委員会がBooking.comについて、DSA違反の可能性を調べる正式手続きを始めたと報じた。

調査の柱は三つある。一つ目は、存在しない宿や規則に合わない宿など、詐欺的な掲載をきちんと見つけ、危険を評価し、抑える仕組みが十分だったか。二つ目は、予約情報や宿泊客データ、サービス内のメッセージ機能が、偽の支払い要求に悪用される危険を十分に評価し、防いだか。三つ目は、宿側が高い手数料を払って検索結果の上位へ出る掲載を、利用者が広告だと分かるように示していたかだ。

いまは違反認定前の調査段階だ。Booking.comは委員会に建設的に対応しており、安全、信頼、個人情報の保護を最優先にしていると説明している。この時点で判決文まで書いたら、旅行の予約より気が早い。

ここが本題 ​

DSAが見ようとしているのは、Booking.comのどんな「仕組み上の予防」か。

偽の掲載が一件見つかったとしよう。削除すれば、その一件への対処はできる。けれど、本人確認が弱くて同じ人物が次々に宿を載せられるなら、床の水を拭きながら蛇口を開けたままにしている。予約済みの人へ、宿の担当者を装った支払いメッセージがサービス内で送れるなら、掲載ページだけ掃除しても別の入口が残る。

DSAの34条は、VLOPに対し、サービスの設計や機能、アルゴリズム、広告、データの扱いから生じるEU域内の「システミックリスク」を、毎年、具体的に評価するよう求める。35条は、見つけたリスクに合わせて、合理的で釣り合いが取れ、実効性のある軽減策を置くよう求める。委員会は今回、この評価と対策が詐欺的掲載やフィッシングについて十分だったかを調べる。

委員会の質問は「何件消しましたか」で終わらない。「なぜ同じ種類の詐欺が入れるのか」「予約データとメッセージの組み合わせが、犯人にどんな信用を貸してしまうのか」「対策後に被害が減ったとどう確かめたのか」まで続く。巨大サービスには、モグラたたきの得点表より、モグラが出にくい床の設計が求められる。

二種類の詐欺を分ける ​

今回の調査を理解するには、偽の宿と「予約乗っ取り型」を分けると見通しがいい。

偽の宿は、そもそも存在しない、別の建物を勝手に使う、説明どおりの宿ではない、といった掲載の問題だ。英国の消費者団体Which?は2026年、ロンドンの首相官邸「ダウニング街10番地」を貸別荘として掲載する実験を行い、予約の問い合わせを受け、テスト用の支払いまで処理されたと報告した。ずいぶん大胆な間取りである。実験は一般利用者が予約を確定しないよう管理して行われたが、掲載審査がどこまで働くかを示す材料になった。

予約乗っ取り型では、本物の宿のアカウント情報などが悪用される。犯人は、利用者の予約内容を知ったうえで「カード確認が必要」「支払いをやり直して」と迫る。旅行先も日程も宿名も合っていれば、無関係な迷惑メールより説得力がある。Booking.comの外にある偽ページへのリンクでも、出発点が予約にひもづいたメッセージなら、利用者にはサービスの続きに見える。

オランダの消費者団体Consumentenbondによると、同国のFraudehelpdeskには2025年、Booking.comを介した詐欺について約200件、被害額6万5000ユーロ超の報告があった。前年は89件、2万5000ユーロだった。この数字が測るのは、その窓口へ届いた申告まで。世界全体の被害数や、Booking.com利用者の被害率へそのまま広げないほうがいい。

検索順位にも広告の名札が要る ​

三つ目の調査対象は、詐欺対策とは少し違って見える。宿泊施設が高い手数料を払うことで検索結果の表示位置を上げられる場合、その掲載が広告だと利用者に明確に伝わっていたか、という問題だ。

検索結果の上位にある宿を、人は「条件に合う」「評価が高い」「人気がある」と受け取りやすい。実際には支払いによって位置が上がっているなら、その理由を知らせないと判断の材料が欠ける。DSA26条は、オンライン広告について、広告であること、誰のために表示され、誰が費用を払ったかなどを分かりやすく示すよう求める。

焦点は、広告を上位へ出す行為そのものより、なぜ上がったかを利用者へ伝えたかにある。お金で上がったなら、お金で上がったと分かる名札を付ける。スーパーのおすすめ棚でも、店員の目利きとメーカーの販促費では、こちらの受け取り方が少し変わる。それと同じである。

旅行者が知っておく意味 ​

EUの調査は欧州の法律に基づくが、日本から海外の宿を予約する人にも問題の形は同じだ。予約後に届くメッセージが、宿名や日程を知っているから本物とは限らない。支払いのやり直し、外部リンクでのカード確認、急がせる文面が来たら、メッセージ内のリンクから進まず、公式アプリや公式サイトを自分で開き直し、掲載された連絡先から宿へ確認する。Consumentenbondも、疑わしい支払い要求には応じず、プラットフォーム上の連絡先で施設へ確かめるよう勧めている。

利用者向けの注意だけで話を閉じると、今回の本題が抜ける。宿名、予約日、金額まで合った精巧な連絡を毎回見破れ、と個人へ全責任を渡すのには限界がある。だからEUは、プラットフォームが危険を測り、本人確認、掲載審査、メッセージ設計、データ管理、通報後の対応を組み合わせていたかを調べる。

DSA違反が認定されれば、法律上は全世界年間売上高の最大6%までの制裁金がありうる。6%とは法定上限で、今回の罰金予定額が決まったわけではない。委員会は追加資料の要求、聞き取り、検査を行い、必要なら暫定措置を取ったり、Booking.comが出す改善案を拘束力のある約束にしたりできる。結論の時期は公表されていない。

まとめ ​

Booking.comへの正式調査は、偽の宿の削除件数に加え、掲載、予約データ、メッセージ、検索順位というサービスの部品が、詐欺や誤認を起こしにくい組み合わせになっていたかを確かめる手続きだ。

現段階では調査が始まったところで、違反は確定していない。それでも、巨大な予約サービスに、危険を予測し、設計で減らし、効果を確かめる責任まで問う流れは見える。宿を一瞬で比べられる機能は、比較の土台を利用者が信用できてこそ便利なのだ。

Sources ​