オーストラリア最大手の航空会社であるカンタス航空は、同社のコールセンターが使用する外部プラットフォームがサイバー攻撃を受け、最大600万人分の顧客データに影響が発生する可能性があることを発表しました。現在、影響範囲の調査および再発防止策の実施が進められており、同社は「データの一部が不正に取得された可能性がある」として、利用者に注意喚起を行っています。
攻撃の概要と対応状況
今回のインシデントは、2025年6月30日（月）にコールセンターが利用している第三者製プラットフォームで異常なアクセスが検知されたことに始まります。直後に対象システムは隔離され、現在も調査と監視体制の強化が進められています。
影響を受けたのは、カンタス航空の顧客対応を行う外部プラットフォームで、最大600万人分のサービス記録が保存されおり同社によれば「盗まれたデータの割合については引き続き調査中ですが、相当な量になると予想されます。」としています。
また、同社は「初期調査で流出の可能性がある情報は、氏名、メールアドレス、電話番号、生年月日、フリークエントフライヤー番号」と説明しています。
ただし、クレジットカード情報、銀行口座、パスポート番号、アカウントのパスワードやPIN番号などのセンシティブな情報は、このシステムに保存されておらず、現時点では不正使用の報告は確認されていないとしています。
Scattered Spiderの関与か
本件の背後に特定のグループの関与は確認されていないものの、複数のセキュリティ調査会社は、「Scattered Spider」と呼ばれる攻撃者グループによる手口との類似性を指摘しています。
このグループは、過去にもMGMリゾーツやTwilio、Coinbase、Caesars Entertainmentなどの大手企業を標的にしてきたことで知られ、ソーシャルエンジニアリングや多要素認証（MFA）爆破、SIMスワップといった高度な手口でシステムに侵入します。
2025年6月には、ハワイアン航空やカナダのウエストジェット航空への攻撃も報告されており、航空業界を集中的に狙う動きが見られています。
今回のような外部委託先のプラットフォームを経由した攻撃は、近年増加傾向にあり、企業のセキュリティ対策が自社内だけで完結しないことを強く示唆しています。とくに、カスタマーサポートやコールセンターなどの「外部接点」は攻撃者の最初の標的になりやすく、ログイン系システム、MFA、ヘルプデスク体制への対策が急務といえます。
参照
https://www.qantasnewsroom.com.au/media-releases/qantas-cyber-incident/
関連記事
米 アフラック、サイバー攻撃で個人情報漏洩の可能性
Coinbase（コインベース）の情報漏洩、インドBPO企業の内部犯行か
英 小売り大手 マークス＆スペンサー、サイバー攻撃で約579億円の損失見込み
名古屋大学、サポート詐欺による不正アクセスの被害で個人情報漏洩の可能性
Veeam Backup & Replicationを狙うランサムウェア攻撃が発生
Google Cloudが2025年に多要素認証(MFA)を必須に
Coinbase、不正アクセスで情報漏洩を発表-元委託スタッフの関与とソーシャルエンジニアリング攻撃も
偽のハムスターコンバットでマルウェア配布を確認
Twilioが提供するMFA「Authy」へ不正アクセス 3,300万件のデータ漏洩の可能性
