要点
▶ 大韓航空とアシアナ航空の顧客情報が、両社の予約・発券システムを運営する世界的な航空IT企業アマデウスから流出した。
▶ アマデウスは10月20日午後10時40分ごろ、両航空会社に情報流出の可能性を通知した。航空会社は23日、ホームページへの掲載と顧客へのメールで公表した。
▶ アマデウスのシステムアカウントに付与されたログイン認証情報が何者かに盗用され、不正アクセスを受けた。アクセス期間は2023年8月から今年9月までと推定されている。
大韓航空とアシアナ航空の顧客情報が、航空会社の外部から流出した。両社の予約・発券システムを運営する世界的な航空IT企業、アマデウスITグループは20日午後10時40分ごろ、大韓航空とアシアナ航空にそれぞれ個人情報流出の可能性を通知した。
両航空会社は23日、ホームページへの掲載と顧客へのメールで流出を公表し、謝罪した。アマデウスは航空会社やホテル、旅行会社に予約・発券ソフトウェアを提供する企業で、約200社の航空会社が同社のシステムを利用している。
◆ 3年以上にわたり開かれていたアカウント
今回の事故は、アマデウスのシステムアカウントに付与されたログイン認証情報を何者かが盗用し、不正アクセスしたものと調査されている。不正アクセスの期間は2023年8月から今年9月までと推定される。正確な流出時期は調査中だ。推定が正しければ、外部の人物が3年以上にわたって出入りしていたアカウントに、通知の直前まで誰も気づかなかったことになる。
これまでに確認された流出項目は航空券の予約番号だ。予約番号は航空券を予約すると発行される、英字と数字からなる6桁の識別コードで、予約内容の確認や変更に使われる。
大韓航空は「流出した情報に航空券の予約番号が含まれていることを把握した。ただし、具体的な流出項目や被害に遭った顧客の数などは、まだ確認されていない」と明らかにした。アシアナ航空も、予約関連情報が流出したと発表した。
決済情報は両航空会社が別のシステムを利用しているため、流出には含まれていない。
◆ 航空会社のシステムは無事、侵入されたのは委託先
両航空会社は、自社のシステムや内部データベースが直接侵害された形跡はないと発表した。通知を受けて直ちにセキュリティー強化措置を講じ、個人情報保護委員会に届け出た。
大韓航空は「今回の事態を深刻に受け止めており、追加被害の防止と再発防止に全力を尽くす。アマデウス側にも、より強固な保護措置と再発防止策を求めている」と説明した。
大韓航空は、個人情報の取り扱いを委託している事業者の実態調査も行うとしている。アマデウスは不正アクセスを遮断し、流出情報が取引されていないかダークウェブを監視しているという。
二次被害はまだ確認されていない。ただし両航空会社は、流出した予約番号が航空会社を装ったフィッシングに悪用される可能性があるとして、出所の不明なリンクや添付ファイルを開かず、個人情報の入力を求める連絡にも応じないよう呼びかけた。実際の予約番号が記載されたメールやメッセージは、本物のように見えやすい。
◆ 航空会社に共通する弱点、外部IT企業
航空業界からは、今回の事故によって航空会社のサイバーセキュリティーの盲点が明らかになったとの指摘が出ている。
航空会社は、予約・発券・運航などの中核業務を外部の技術企業に委託し、相互に情報をやり取りしながら運営している。複数の航空会社が同じ企業を利用しているため、一社が侵害されれば、複数の航空会社の顧客情報が一度に危険にさらされる。
大韓航空とアシアナ航空も、同じ日に同じ通知を受けた。アマデウスは2017年にもネットワーク障害を起こし、世界各地の空港で搭乗手続きが停止したことがある。
航空会社は自社サーバーを守るだけでは不十分で、技術協力会社のセキュリティー慣行まで確認する必要があるとの指摘が出ているのはこのためだ。大韓航空が委託先の実態調査を予告したのも、その一環といえる。被害の規模や追加の流出項目は、アマデウスの調査が終わらなければ明らかにならない。