マンチェスター空港グループへのサイバー攻撃、顧客870万人分のデータが流出

マンチェスター空港グループ(MAG)が大規模なサイバー攻撃を受け、約870万人分の顧客データが不正アクセスされた可能性があると報じられています。この事態を受け、流出した情報がサイバー犯罪者にどのように悪用されるかについて懸念が高まっています。

今回の被害は、マンチェスター空港、ロンドン・スタンステッド空港、イーストミッドランズ空港に関連する顧客情報に及びました。駐車場、ラウンジ、ファストトラックの予約情報に加え、空港Wi-Fiの登録情報も不正アクセスされたと報じられています。

流出した情報にはメールアドレス、電話番号、郵便番号、車両登録情報などが含まれます。一方、決済情報は流出を免れており、空港の運営や旅客の安全、航空セキュリティにも影響はありませんでした。

これにより当面の運用面への影響は限定的だとみられますが、セキュリティ専門家は、流出した情報の組み合わせが標的型フィッシングやなりすまし、ソーシャルエンジニアリングに悪用されやすい点に警鐘を鳴らしています。

流出データが詐欺の見破りを困難にする恐れ

Certes社のCTOを務めるSimon Pamplin氏は、運用面に影響がなかったからといって、データ流出の重大性を軽視すべきではないと指摘します。

「報道によれば、メールアドレス、電話番号、郵便番号、車両登録情報を含む約870万件の顧客記録が不正アクセスされました。個々の情報だけを見れば比較的無害に思えるかもしれませんが、これらが組み合わさることで、標的型フィッシングやなりすまし、ソーシャルエンジニアリングに極めて有用な詳細なデータセットが出来上がってしまいます」

流出情報を取り巻く文脈自体が、悪用価値を一段と高める可能性があります。犯罪者はこれらの情報を使い、本物らしく見えるよう十分な実在情報を盛り込んだ偽の駐車違反通知や旅行関連の連絡、空港関連のメッセージを作成できてしまうのです。

Huntress社でEMEA地域担当のvCISO兼サイバーセキュリティアドバイザーを務めるMuhammad Yahya Patel氏は、今回流出した情報の組み合わせを犯罪者にとっての「精密な標的プロファイル」だと表現しています。

「詐欺師たちは、あなたが旅行したこと、そのおおよその時期、そして直接連絡できる二つの手段を知った状態で、説得力のあるストーリーを使ってあなたに接触してくることになります」と同氏は述べています。

ANS社のセキュリティオペレーション担当ディレクターであるCarole Reeves氏も、決済情報が流出していないからといって顧客がリスクを過小評価すべきではないと同意しています。

「攻撃者は、最初の侵害で得た情報だけで金融関連の認証情報まで必要とするわけではありません。手元にある情報を使って信頼できる組織になりすまし、相手をだまして追加の個人情報や金融情報を聞き出すことができるのです」

航空業界に高まるサイバー圧力

Check Point Software社の公共部門責任者であるGraeme Stewart氏は、今回の事案が航空業界全体への警鐘となるべきだと述べています。

「便の欠航やターミナルでの行列が発生していないからといって、これが小規模なサイバー攻撃だということにはなりません。報道によれば流出したデータは、今後兵器化される可能性があります」と同氏は語ります。

顧客と空港との関係性に関する知識は、偽の駐車料金返金通知やファストトラックのトラブル連絡、あるいは今回の情報漏えいそのものに関する連絡を装うのに使われる可能性があります。

「航空業界は、持続的な攻撃キャンペーンがすでに始まっているものとして対応する必要があります。飛行機の運航が止まるような攻撃が起きるのを待ってから深刻に受け止めるのでは、危険な誤りとなるでしょう」とStewart氏は付け加えています。

複雑な空港エコシステムがもたらす追加リスク

今回の攻撃は、現代の空港を支える複雑なテクノロジーエコシステムについても疑問を投げかけています。

Acumen Cyber社のプリンシパルコンサルタントであるNathan Davies-Webb氏は、空港グループが予約、駐車場、会員制度、決済、インターネット接続といった数多くのサービスの中心に位置しており、その多くが子会社やサードパーティのサプライヤーによって運営されている場合が多いと指摘します。

「これは商業モデルとしては合理的ですが、セキュリティの観点からは不都合な現実を生み出します。今回のような共有の上流システムにおける侵害は、複数の空港にまたがる複数のサービスから顧客データを同時に流出させかねません」

Davies-Webb氏はまた、MAGの対応の速さも評価しています。事態を把握してから約48時間で公表に踏み切ったためです。

「いずれにせよ、これは類似の事案に関わった一部の組織と比べて優れた情報開示姿勢と言えるでしょう。MAGは今回、迅速かつオープンに対応したことでおそらく恩恵を受けることになります」と同氏は述べています。

Quod Orbis社のCEOであるTim Williams氏も、組織の中核システムを超えた可視性の重要性を指摘しています。

「今回標的となったのは駐車場、ラウンジ予約、Wi-Fi登録のシステムであり、フライトの運航自体を担うものではありませんでした。しかしこれらは、顧客が空港内でやり取りする、より広範なデジタル環境の一部を成すものでした」とWilliams氏は述べています。

同氏は、リスクが実際のインシデントに発展する前に特定できるよう、セキュリティチームがシステムやアプリケーション、サードパーティサービス全体にわたる可視性を確保する必要があると主張しています。

「迅速な対応はインシデントの封じ込めに役立ちますが、より広範なテクノロジーとサードパーティのエコシステム全体を可視化しておくことは、組織が潜在的な弱点を早期に特定し、自らの露出状況を把握し、インシデント発生前に防御を強化する助けとなります」

何のデータが流出したかを把握することの重要性

今回の情報漏えいは、攻撃者にアクセスされた後、正確にどの情報が流出したかを把握することの重要性も浮き彫りにしています。

Archive360社のCEOであるJerry Caviston氏は、優れたデータガバナンスがあれば、インシデント発生時に必要な追跡可能性を組織にもたらすことができると述べています。

「優れたデータガバナンスを備えているということは、どのデータがいつ触れられたかを記録した監視カメラの映像を持っているようなものです」と同氏は語ります。

イベントの監査履歴を保持しておくことで、組織は流出した情報を元の出所までたどることができ、影響を受けた顧客に対して直面するリスクについてより明確な情報を提供できるようになります。

Pamplin氏は、組織はさらに踏み込み、セキュリティをデータそのものに直接紐づけるべきだと主張します。

「システムはいずれ侵入されるという前提で対策を講じる必要があります。目指すべきは、侵入が発生した際にも機密データが暗号化されたままとなり、正規の利用文脈の外では使用不能な状態を保つことです」と同氏は述べています。

「攻撃者が情報を盗み出せたとしても、それを読み取ったり悪用したりできないのであれば、その情報漏えいが持つ意味は根本的に変わります」

顧客は二次攻撃への備えを

影響を受けた顧客にとって当面の懸念は、犯罪者が今後この情報を使って何をするかという点です。

CyberSmart社のCEO兼共同創業者であるJamie Akhtar氏は、空港や旅行関連サービスを装った予期しないメールや電話、テキストメッセージには特に注意するよう顧客に助言しています。

「求められてもいないメッセージ内のリンクをクリックしたり個人情報を共有したりすることは避け、可能であれば組織の公式ウェブサイトやアプリを通じて連絡内容を独自に確認してください」と同氏は述べています。

ManageEngine社の英国事業責任者であるShankar Haridas氏は、今回の情報漏えいに続いて、顧客のMAGに対する信頼を悪用しようとする攻撃が起こりうると警告しています。

「このような情報漏えいは、データが盗まれた時点で終わるわけではありません。次に待っているのは、空港の名前を騙った偽装攻撃の波です」と同氏は語ります。

「870万件ものメールアドレス、電話番号、郵便番号が今や犯罪者の手に渡っている以上、『ご予約の確認』や『駐車場のお支払い情報の更新』といったメッセージはすべて疑ってかかる必要があります」

Comparitech社のセキュリティスペシャリストであるBrian Higgins氏は、AIによって犯罪者が流出情報を集約し、それを収益化する新たな手口を見つけることが容易になっていると付け加えています。

「AIによってデータの集約が迅速かつ容易になる中、犯罪者が情報漏えいをますます巧妙な方法で収益化できるという事実に、消費者も気づき始めています」と同氏は述べています。

そのため、影響を受ける可能性のある人々にとって、今回のMAGへのサイバー攻撃の影響は、当初のインシデントが収束した後も長く続く可能性があります。空港の駐車場やラウンジ利用、ファストトラックサービス、旅行の詳細に言及するメールやメッセージには本物の個人情報が含まれている場合があり、次に来る詐欺の波を見抜くことは、これまで以上に難しくなるでしょう。