イベリア航空、顧客にサプライチェーンのデータ侵害を通知

イベリア航空の顧客は、サプライヤー経由で個人情報が漏洩したことを受け、フィッシング攻撃に特に警戒する必要があります。

ブリティッシュ・エアウェイズやエアリンガスも傘下に持つインターナショナル・エアラインズ・グループ（IAG）所有のスペイン最大の航空会社であるイベリア航空は、週末にかけて通知を送り始めました。

サイバートラッカーのHackmanacは、スペイン語で書かれたこの通知を、昨日X（旧Twitter）で共有しました。

「残念ながら、スペインのイベリア航空は、イベリアのサプライヤーのシステムへの不正アクセスに関連するセキュリティインシデントを検知し、特定のデータの機密性が侵害されたことが判明しました」と説明しています（翻訳）。

「イベリアが実施したセキュリティ対策にもかかわらず、当社の顧客の特定の個人データへの不正アクセスがあった証拠があります。これにはあなたの情報も含まれる可能性があります。現在の調査によると、氏名、メールアドレス、またはロイヤルティカードの識別番号（イベリアクラブ）などのデータが漏洩した可能性があります。」

航空業界のデータ侵害についてさらに読む: Scattered Spiderが航空会社を積極的に標的、FBIが警告

同航空会社は、ログイン情報や顧客の財務情報は奪われていないことを強調しました。また、アカウントへの不正な変更を防ぐための新たなチェックを含め、「必要なすべての技術的および組織的対策」を講じて、インシデントの封じ込めと復旧を行ったと主張しています。

パスワードの変更を希望する顧客は、今後、航空会社から送信される認証コードを入力する必要があります。

同社はまた、不審な活動の監視を継続し、関係当局に通知したと述べています。

疑問点が残る

イベリア航空は、盗まれた情報が不正に使用されている証拠はないとしつつも、顧客に対して不審な連絡に注意するよう呼びかけました。漏洩した情報は、さらなるフィッシング攻撃を正当なものに見せかけるために利用される可能性があります。

今回の攻撃で侵害されたサプライヤーの種類は明らかになっていません。しかし、Hackmanacは11月14日、脅威アクターが77GB分の乗客データを15万ドルで販売しようとしていることを明らかにしました。

そのデータには、A320およびA321航空機に関する技術資料、AMPメンテナンスファイル、エンジンデータ、署名や証明書を含む内部文書などが含まれていた模様です。 

複数の航空会社がエールフランス や カンタス航空 を含め、高度なScattered Lapsus$ HuntersキャンペーンがSalesforceの顧客を標的にしていることとも関連付けられています。