スペインのフラッグキャリアであるイベリア航空は、サプライヤーの1社が侵害を受けたことに起因するデータセキュリティインシデントについて、顧客への通知を開始しました。
この公表は、脅威アクターがハッカーフォーラム上で、同社から盗んだと主張する77GBのデータを漏えいさせたと主張してから数日後になされました。
影響を受けた顧客データ
スペイン最大の航空会社であり、IAG（インターナショナル・エアラインズ・グループ）の一員でもあるイベリア航空は、サプライヤーのシステムへの不正アクセスにより、一部の顧客情報が流出したと述べています。
- 顧客の氏名
- メールアドレス
- ロイヤルティカード（Iberia Club）識別番号
同社によれば、顧客のイベリアアカウントのログイン認証情報やパスワードは侵害されておらず、銀行情報やクレジットカードなどの支払い情報にもアクセスされていないとのことです。
「当社は本件を認識するとすぐにセキュリティプロトコルおよび手順を発動し、事態を封じ込め、その影響を軽減し、再発を防止するために必要なあらゆる技術的・組織的対策を講じました」と、スペイン語で送信されたセキュリティ通知には記載されています。
イベリア航空は、顧客アカウントに紐づくメールアドレスに対する保護を強化し、変更を行う前に認証コードの入力を必須としたと述べています。
同社はまた、自社システム上で不審な活動がないか監視を続けています。関係当局にはすでに通知済みであり、関係するサプライヤーと連携しながら調査が継続中です。
「本通知日現在、これらのデータが不正に利用された証拠は確認されておりません。いずれにせよ、お客様には、潜在的な問題を引き起こすおそれのある不審な連絡を受け取った場合には十分ご注意いただくようお願いいたします。何らかの異常や不審な点にお気づきになりましたら、以下の電話番号にお電話のうえ、当社コールセンターまでご連絡ください：+34 900111500」とメールは続きます。
公表はデータ窃取の主張に続くもの
今回の公表のタイミングは注目に値します。というのも、およそ1週間前に、ある脅威アクターがオンライン上で、イベリア航空のものとされる77GBのデータにアクセスしており、それを15万ドルで売却しようとしていると主張していたためです。
そのフォーラム投稿（下図）において、脅威アクターは、このデータ群は「（航空会社の）内部サーバーから直接抽出された」ものであり、A320/A321の技術データ、AMPメンテナンスファイル、エンジン情報、その他の内部文書が含まれていると主張しています。
このデータダンプとイベリア航空のインシデントとの関連性は明らかになっていません。というのも、その出品情報には、イベリア航空が流出したと説明している顧客情報についての記載がないためです。さらに、同社は今回の侵害を自社サーバーではなく、サードパーティーベンダーに起因するものだとしています。
BleepingComputerは、オンラインで宣伝されているデータの真正性を確認していません。イベリア航空の広報チームには追加の質問を送付しており、回答があり次第、本記事を更新する予定です。
それまでの間、イベリア航空の顧客およびパートナーは、同社からのものだと主張する、予期しないまたは不審なメッセージに対して警戒を怠らないようにすべきです。これらはフィッシングやソーシャルエンジニアリングを目的としたものである可能性があります。
