エールフランスとKLM、ハッカーによる顧客データ流出を発表

エールフランスとKLMは、一部の顧客に対し、航空会社が利用している第三者プラットフォームへの不正アクセスにより、個人情報がハッカーに取得された可能性があると通知しています。

両社によると、名前が明かされていないこのプラットフォームはカスタマーサービスに使用されており、ハッカーは氏名、連絡先情報、サービスリクエストのメール件名、フライング・ブルーのロイヤリティプログラム番号などのデータにアクセスしたとのことです。

パスワード、パスポート、クレジットカード情報、旅行詳細、フライング・ブルーのマイルなど、より機密性の高い情報は流出していません。

しかし、航空会社は顧客に対し、メールや電話によるフィッシング詐欺に注意するよう警告しています。

KLMはオランダ、エールフランスはフランスに本拠を置いていますが、両社は同じ航空グループに属しています。両社は今回の事件を、それぞれの国のデータ保護当局に報告しています。

KLMとエールフランスからはこれ以上の詳細は提供されていませんが、最近、複数の大手企業が第三者の顧客関係管理（CRM）システムへの侵入によりデータが流出したと報告しています。

Bleeping Computerによると、これらの攻撃はすべて、Salesforceのインスタンスを標的としたキャンペーンの一環とみられています。ShinyHuntersというハッカーグループが攻撃の背後にいると主張しており、Scattered Spiderというサイバー犯罪グループとの関連も指摘されています。一部報道によると、両グループは合併した可能性もあるとのことです。

サイバーセキュリティ業界は最近、Scattered Spiderが航空業界を標的にし始めたとして、航空会社に警告を発しています。

Salesforceを狙った攻撃は、脆弱性の悪用やベンダーのシステムへのアクセスを伴うものではありません。ハッカーはフィッシングやソーシャルエンジニアリングを用いて、標的となるインスタンスへのアクセスを得ています。

このキャンペーンの被害を受けたとみられる大手企業には、Google、Adidas、Allianz Life、Cisco、Dior、Louis Vuittonなどが含まれています。