- Singapore Airlines、旅行テクノロジー企業Amadeusでの情報漏えいにより顧客データが流出したことを確認
- 盗まれた予約記録には、乗客の詳細情報、旅程、パスポートやマイレージプログラムに関する一部の情報が含まれる
- 複数の大手航空会社が被害を受け、旅行者にとってフィッシングやなりすまし詐欺への懸念が高まる
サードパーティの技術プロバイダーでの情報漏えいによって被害を受けた航空会社のリストに、Singapore Airlinesが新たに加わりました。このリストは拡大の一途をたどっているようです。
Amadeusは、航空会社や空港が予約、搭乗手続き、乗客管理全般に利用しているスペインのテクノロジー企業です。同社は最近、「旅行予約表示環境に影響する脆弱性を認識した」とする簡潔な声明を発表しました。
Amadeusは発表の中で、予約表示データの一部に攻撃者がアクセス可能だったと説明しました。一方で、決済情報や金融データにアクセスされた形跡はないと強調しています。
同社は「この脆弱性がランサムウェア目的で悪用された兆候はない」としたうえで、「脆弱性を修正する対策を講じるとともに、監視・検知機能も強化した」と述べています。
一方で、この情報漏えいを受け、数多くの航空会社が機密データの流出を相次いで報告し始めました。
Cathay Pacific、日本航空など
香港のフラッグシップキャリアであるCathay Pacificは声明を発表し、Amadeusから情報漏えいの通知を受けたと明らかにしました。脅威アクターがシステムアカウントに割り当てられたログイン認証情報を使い、「旅行予約データに不正アクセスした」といいます。
その後、Amadeusは約5万3,000件の予約が影響を受け、流出は2023年8月から2026年9月の間に発生したとCathay Pacificに伝えました。同社は「大半のケースで、アクセスされた情報は予約番号、乗客名、フライトの詳細だった」と説明しています。さらに「一部のケース」では、メールアドレスや電話番号などの連絡先、渡航書類、マイレージ会員番号といった追加データも流出したとしています。
同じ日に、日本航空とジャパントランスオーシャン航空も同様の発表を行い、「お客様の予約データの一部」が権限のない第三者によってアクセスされたと明らかにしました。
日本航空は、約9万2,000人の顧客が影響を受けたと発表しました。このうち約2,000人はパスポート番号も流出しています。全日本空輸は、顧客3万7,800人が影響を受け、うち約1,700人は追加データも流出したと発表しました。大韓航空、アシアナ航空、マレーシア航空もAmadeusのインシデントによる被害を確認しています。Qantasは現在も調査中としています。
フィッシング攻撃への悪用
このリストにSingapore Airlinesも加わり、同社だけで4万6,000件の記録が流出しました。流出した情報は、顧客名、予約番号、旅程、予約クラスです。さらに少数のケース（約620件の予約記録）では、メールアドレス、電話番号、渡航書類の詳細、KrisFlyerの会員番号も含まれていました。
Reutersによると、Singapore Airlinesは予防措置として、今後の旅行予定がある影響を受けた顧客に連絡を取り、予約番号の変更を案内しています。同社は、自社のITシステムが侵害されたわけではないことも確認しました。
これまでのところ、盗まれたデータがダークウェブに流出した形跡はなく、犯行声明を出した脅威アクターもいません。ただし、犯人が航空会社に対し、盗んだ情報の削除と引き換えに金銭を要求する可能性はあります。
これは、サイバー犯罪者が最も好むタイプのデータです。実際の予約内容、フライト日、目的地、乗客名を盛り込むことで、航空会社本人から届いたように見える、極めて巧妙なフィッシングメールを作成できます。
この種の情報を使えば、警戒していない旅行者をだまして悪意のあるリンクをクリックさせたり、ログイン認証情報を入力させたりすることが可能です。予約変更、払い戻し、追加料金などの名目で、不正な支払いをさせることもできます。
さらに、流出したパスポート情報やマイレージ会員番号は、犯罪者が顧客になりすましたり、アカウントの乗っ取りを試みたり、航空会社自体に対するなりすまし詐欺を仕掛けたりするのにも悪用されかねません。金融情報がなくても、一見無害な旅行情報を組み合わせるだけで、詐欺の説得力を大幅に高める状況を作り出せます。その結果、詐欺を見抜いて防ぐことはいっそう難しくなります。
