9億845万件のレコードを取得したと主張しています。
Scattered Lapsus$ Huntersは10月10日に一部データを公開しました。対象にはカンタス航空（Qantas Airways）とベトナム航空（Vietnam Airlines）が含まれます。ベトナム航空は氏名やメール、電話番号、生年月日、会員番号などの一部流出を認める一方、決済情報やパスワード、旅程、パスポート情報、ポイント残高は守られたと説明しています。カンタス航空については、約153GB・500万件超の記録が公開されたとの報道があり、顧客約570万人分が出回ったとの指摘もありますが、最終的な影響範囲は公的な確認を待っている状況です。
概要
10月3日、Scattered Lapsus$ Hunters(別名：ShinyHunters、Scattered Spider、Lapsus$)が、Salesforce関連の脆弱性やSalesforceへのソーシャルエンジニアリングを足がかりに計39社・9億8,900万件の記録を盗んだと主張し、10日までに交渉がなければ公開すると通告しました。
予告どおり10月10日に6社分のデータが公開され、
その中にカンタス航空（約153GB、JSON形式で500万件超）とベトナム航空（約63.62GB、JSON形式で2,300万件超）が含まれていました。
10月12日には、カンタス航空が公式にインシデントを発表し
10月14日には、ベトナム航空もインシデントを発表しました。ベトナム航空は顧客向けにメールを送り、同社のオンライン顧客対応に使っていた外部テクノロジーパートナーのプラットフォームが起点だったと説明し、流出の事実を認めました。
なお、Salesforce側は本サイバー攻撃キャンペーンが同社の脆弱性ではなく、Salesforceユーザーへのソーシャルエンジニアリングやサードパーティ経由の漏洩の可能性であると主張しています。
ベトナム航空の影響
ベトナム航空が示した範囲では、氏名、メールアドレス、電話番号、生年月日、Lotusmilesの会員番号などが不正に閲覧された可能性があります。
一方で、クレジットカードや支払い情報、パスワード、旅程、パスポート情報、ポイント残高は漏れていないとしています。
同社は専門家や当局、技術パートナーと調査を進めるとともに、Lotusmilesや連携メールのパスワード変更、フィッシングや偽サイト、偽のOTP要求への警戒を呼びかけています。
なお、ベトナム航空は2016年にも約40万人分の会員情報が流出しており、大規模な情報事故はこれが二度目となります。
カンタス航空の影響
脅威グループは、カンタス航空から得たとして約153GB・500万件超のデータ公開を主張しており、内容には個人情報に加えてロイヤリティ（Frequent Flyer）関連の項目やCRMのメタデータが含まれるとされています。
報道では、顧客約570万人分がインターネット上で確認できる状態になったとの指摘がありますが、具体的な件数や項目の確定、同社側の最終評価は公表を待つ段階です。
漏洩対象者が実施すべきこと
・パスワード情報漏洩の真偽に関わらず、パスワードの変更
メールアドレスとパスワードが漏洩している場合、各種アカウントの乗っ取りが容易になり乗っ取り後に各種サービスへの横断的な不正アクセスが可能になります。
例：Googleアカウントを窃取して、Googleアカウントでログイン が行われている旅行サイトへ正規手段でアクセスする など。
関連記事
Salesforce(セールスフォース)へサイバー攻撃-ハッカーによる不正アクセスで情報漏洩か-シスコ/トヨタ/富士フイルム/Googleに影響か
ハッカーがRed Hat(レッドハット)へのサイバー攻撃と不正アクセスを主張
【2025年】サイバー攻撃の事例
CrowdStrike(クラウドストライク)、内部情報をハッカー グループへ漏洩した社員を解雇
Salesforce（セールスフォース）、ハッカー グループによるサイバー攻撃の身代金要求を拒否
米 アフラック、サイバー攻撃で個人情報漏洩の可能性
2025年に発生したボイスフィッシング(ビッシング)の事例
ジャガーランドローバー、ハッカーからのサイバー攻撃で個人情報漏洩の可能性
セールスフォース(Salesforce)、Gainsight 連携アプリ経由の不審な活動を調査-API経由のサイバー攻撃に注意
