マンチェスター空港グループのデータ侵害について、恐喝グループFulcrumSecが自らの犯行だと主張しました。同グループはBleepingComputerに対し、約86GBのデータを盗み出したと伝えています。
BleepingComputerが確認したサンプルには、MAGの開示内容と一致する情報が含まれていた一方で、当初明らかにされていたよりもはるかに詳細な顧客情報、予約情報、旅行情報が漏洩していたことを示す内容も含まれていました。
ハッカーが86GBのデータ窃取を主張
英国最大の空港運営会社であるマンチェスター空港グループ(MAG)は、8月27日に不正な第三者がマンチェスター、ロンドン・スタンステッド、イースト・ミッドランズの各空港に関連する顧客データを盗み出したことを公表しました。
同社によると、影響を受けた情報は駐車場、ラウンジ、ファストトラックの予約、および空港内Wi-Fiの登録に関するものだったとしています。
FulcrumSecはBleepingComputerへのメールでこの攻撃への関与を認め、証拠として窃取したと主張するデータのサンプルを共有しました。
BleepingComputerは、ある利用者の既知のマンチェスター空港での購入履歴と照合することで、レコードの1つを検証しました。
そのレコードには、過去のファストトラック購入履歴、予約時間と到着予定時間、利用したターミナル、支払額、購入参照番号、総支出額、そして旅行の目的とみられる情報まで、正確に記載されていました。
提供された資料には、約21.5GBのマンチェスター顧客データのエクスポートファイルも含まれており、顧客識別情報と過去の予約履歴、マーケティング分類を統合したプロファイルがまとめられていました。
同グループは、クライアント側のJavaScriptで露出していた空港固有のIterable API認証情報を使ってアクセスを得たと主張しており、窃取した資料には2026年の残り期間に予定されている旅行に関連する約20万件のレコードが含まれているとしています。
これらのレコードには、個人を特定できる情報と紐づいた日時や予約情報が含まれているとされています。
FulcrumSecは、盗んだデータと侵入の技術的な詳細を公開する意向を示しています。ただし、「現実世界への被害」の可能性を考慮し、一部のレコードについては非公開または編集を検討していると、BleepingComputerに語っています。
サンプルは本物と見られるものの、BleepingComputerは、脅威アクターのアクセスの実際の出所や範囲、窃取されたデータセット全体の規模、そして今後の旅行に関する約20万件のレコードという主張については、独自に検証することができませんでした。
検証を終えた後、BleepingComputerは提供されたすべての資料を複製を残さず安全に削除しており、その内容を公開したり共有したりすることは一切ありません。
FulcrumSecは2025年から活動している金銭目的のデータ恐喝グループで、被害者のシステムを暗号化するのではなく、機密性の高い企業データを窃取し、それを公開すると脅す手口に重点を置いています。
同グループはこれまでにも、LexisNexis、Novo Nordisk、Global Schools Group、そしてAvnetといった組織への攻撃を主張してきました。
MAG、ハッカーの主張への言及を拒否
BleepingComputerは公開前に改めてMAGに連絡を取り、86GBのデータセット、露出した認証情報、今後の旅行データに関するFulcrumSecの主張について見解を求めました。
広報担当者は個別の主張への言及は避け、代わりに、今後の予約がある影響を受けた顧客には連絡済みであることを確認する更新済みの声明を紹介するにとどまりました。
MAGの広報担当者はBleepingComputerに対し、「MAGは、顧客保護のために効果的な対策を講じたと確信しており、影響を受けたすべての顧客に連絡を行いました。今後の予約がある方々にも、追加のサポートについて案内するため個別に連絡を取っています」と述べています。
被害範囲は当初の説明より広い可能性
MAGが開示したメールアドレス、電話番号、車両登録番号、郵便番号に加え、サンプルとして提示されたレコードには、購入・予約参照番号、空港および商品の選択内容、価格、割引、予約状況、駐車の日時、過去の支出額、IPアドレス、おおよその位置情報、デバイス情報、顧客エンゲージメントデータなどが含まれていました。
BleepingComputerが確認したサンプルの中に、支払いカード情報や銀行口座情報は見当たりませんでした。
一般的に広範な配達エリアをカバーする米国のZIPコードとは異なり、英国の完全な郵便番号は近隣の一軒一軒を特定できるほど狭い範囲を示します。英国国家統計局(ONS)によると、一般的な小口利用者向け郵便番号がカバーする住所は約15件で、なかには1つの住所のみに割り当てられている郵便番号もあるといいます。
連絡先、車両、旅行に関する情報と組み合わせることで、攻撃者はMAGや予約代行業者を装ったフィッシングメール、SMS、電話詐欺の中で、被害者が利用した空港、車両、駐車日時、予約状況、購入したサービスなどを具体的に持ち出し、説得力のある文面を作り上げることが可能になります。
MAGは影響を受けた顧客に連絡し、不審なメール、SMS、電話に警戒するよう呼びかけたとしています。
同空港運営会社は、支払いカードの詳細、銀行情報、パスワードを求めるために顧客へ予告なく連絡することは決してないと強調しています。
今回の事案による運用上の混乱は生じておらず、MAGは乗客の安全や航空セキュリティが損なわれることはなかったとしています。
MAGの広報担当者は以前、Manchester Evening News紙に対し、影響を受けた顧客は約870万人にのぼるものの、「大多数」についてはメールアドレスのみが漏洩したと述べていました。
これにより、今回の事案は英国の空港運営会社に関わる顧客データ侵害としては過去最大の規模となりました。
取材協力: Bill Toulas
