カナダの航空会社WestJetは、6月に公表したサイバー攻撃により、パスポートや身分証明書を含む機微な顧客情報が漏洩したことを顧客に通知しています。
WestJetは北米を代表する大手航空会社で、153機の航空機を運航し、104の目的地にサービスを提供、年間2,500万人以上の旅行者を輸送しています。
6月13日、同社はサイバーセキュリティインシデントが発生し、特定の社内システムが障害を受け、WestJetアプリが顧客に利用できなくなったことを公表しました。
この時期、Scattered Spiderという脅威グループが航空業界の組織を標的に攻撃を行っていました。しかし、WestJetの情報漏洩の背後にいるハッカーについては公式な特定はされていません。
情報公開後数日間、WestJetは複数のアップデートを公開し、顧客のデータ保護のために適切な措置を講じていると保証しましたが、ハッカーが機微な情報にアクセスしたかどうかは明言されていませんでした。
顧客への通知は米国当局にも共有されており、9月15日に完了した同社の調査結果に基づき、影響が確認されています。
調査結果によると、以下の種類のデータが個人ごとに異なりますが、攻撃者に漏洩したことが判明しています：
- 氏名
- 生年月日
- 郵送先住所
- パスポートや政府発行のIDなどの渡航書類
- リクエストされた宿泊情報
- 提出された苦情
- WestJetリワード会員ID、ポイント、その他の情報
- WestJet RBC Mastercard、WestJet RBC World Elite Mastercard、またはWestJet RBC World Elite Mastercardに関する情報
WestJetは、クレジットカードやデビットカードの番号、有効期限、CVV番号、ユーザーパスワードは漏洩していないと明言しています。
航空会社は、通知を受け取った人は同じ予約番号で搭乗した可能性のある他の人にも知らせるよう呼びかけています。これらの人々の情報も漏洩した可能性があるためです。
WestJetは、インシデントの全容解明をまだ進めている最中であり、今回の初回通知は影響が確認された人々に送付されていると述べています。ただし、これが漏洩の全てを示すものではない可能性があります。
「私たちは引き続き技術専門家と協力し、インシデントの全容解明に努めています」と通知文には記されています。
「この種の調査は複雑で完了までに時間を要しますが、関与が確認されたデータの確認と、あなたの個人情報が含まれているかどうかの特定をできる限り迅速に行いました。」
同社はまた、FBIが調査に関与しており、今後同様の事態が発生しないようにあらゆる適切な対策を講じたと述べています。
通知には、11月30日までに申し込める2年間無料の個人情報盗難防止・監視サービスへの登録方法も記載されています。
BleepingComputerは影響を受けた顧客数についてWestJetに問い合わせており、回答があり次第本記事を更新します。
