Qantas、Scattered Spiderによる航空業界への侵害の中でサイバー攻撃を公表

オーストラリアの航空会社Qantasは、サイバー攻撃を検知したことを月曜日に公表しました。攻撃者が顧客データを含むサードパーティのプラットフォームにアクセスしたことが原因です。

Qantasはオーストラリア最大の航空会社で、6大陸にわたり国内外のフライトを運航し、約24,000人を雇用しています。

月曜日の夜に発表されたプレスリリースによると、攻撃は封じ込められたものの、「重大な」量のデータが盗まれたと考えられています。この侵害は、脅威アクターがQantasのコールセンターを標的にし、サードパーティの顧客サービスプラットフォームにアクセスしたことで始まりました。

「月曜日、Qantas航空のコンタクトセンターで使用されているサードパーティのプラットフォーム上で異常な活動を検知しました。直ちに対応し、システムを封じ込めました。Qantasの全システムが安全であることを確認しています」とQantasは述べています。

「このプラットフォームには600万人の顧客のサービス記録があります。盗まれたデータの割合については引き続き調査中ですが、かなりの量になると予想しています。初期調査では、データには一部顧客の氏名、メールアドレス、電話番号、生年月日、マイレージ番号が含まれていることが確認されています。」

Qantasによれば、クレジットカードや個人の財務情報は漏洩しておらず、マイレージアカウントのパスワード、PIN、ログイン情報も影響を受けていません。

侵害を検知した後、Qantasはオーストラリア・サイバーセキュリティセンター、オーストラリア情報コミッショナー事務局、オーストラリア連邦警察に通知したとしています。外部のサイバーセキュリティ専門家が調査に協力しているかどうかは不明です。

Scattered Spider、航空業界を標的に攻撃

この攻撃は、サイバーセキュリティ企業が「Scattered Spider」として知られるハッカーが航空・運輸業界を標的にし始めていると警告する中で発生しました。

このグループがQantasへの攻撃の背後にいるかは不明ですが、BleepingComputerは今回の事件が他の最近の脅威アクターによる攻撃と類似点があることを確認しています。

Scattered Spider（別名0ktapus、UNC3944、Scatter Swine、Starfraud、Muddled Libraとしても追跡）は、世界中の組織に対してソーシャルエンジニアリングやIDベースの攻撃を行うことで知られる脅威グループです。主にフィッシング、SIMスワッピング、多要素認証（MFA）爆撃、ヘルプデスクへの電話などを使って従業員の認証情報を取得します。

2023年9月には、従業員になりすましてアクセスを得た後、MGMリゾーツを侵害し、BlackCatランサムウェアを使って100台以上のVMware ESXiハイパーバイザーを暗号化するなど、攻撃をエスカレートさせました。また、RansomHub、Qilin、DragonForceなど、他のランサムウェア運用とも提携しています。Scattered Spiderに標的にされた他の組織には、Twilio、Coinbase、DoorDash、Caesars、MailChimp、Riot Games、Redditなどがあります。

最近では小売業や保険会社に注力していましたが、サイバーセキュリティ企業は金曜日、Scattered Spiderが航空業界に標的を移したと警告しました。最近のハワイアン航空やWestJetへの攻撃が脅威アクターに関連していると考えられています。

BleepingComputerによれば、WestJetの侵害では、攻撃者がセルフサービスのパスワードリセットを悪用して従業員アカウントにアクセスし、それを使ってネットワークに侵入したとのことです。

脅威アクターは業界ごとに標的を変えるアプローチを取っており、航空業界への攻撃が終わったのか、次にどの業界が標的になるのかは不明です。

この種の脅威に対抗する組織は、インフラ全体、IDシステム、重要な管理サービスを完全に可視化することから始めるべきです。

これには、セルフサービスのパスワードリセットプラットフォーム、ヘルプデスク、サードパーティのIDベンダーのセキュリティ強化が含まれます。これらは脅威アクターの一般的な標的となっています。

Google Threat Intelligence Group (GTIG)やPalo Alto Networksは、既知の「Scattered Spider」戦術に対する防御強化ガイドを公開しており、管理者はこれらに精通しておくべきです。

Scattered Spiderに関連していると考えられる最近のサイバー攻撃には、M&S、Co-op、Erie Insurance、Aflacなどがあります。