Cathay Pacificは、旅行関連テクノロジー・プロバイダーであるAmadeus IT Groupへの不正アクセスを通じて、約5万3000件の航空便予約情報が流出したと発表した。同社のシステムには影響がなかった。
2026年10月30日の発表で、香港の同航空会社は、不正アクセスを行った第三者がAmadeusのシステムアカウントの認証情報を使い、2023年8月から2026年9月にかけて予約データにアクセスしたと説明した。このインシデントにより、認証情報のセキュリティー、アクセス監視、乗客情報を扱うシステム内での不正活動の範囲をめぐる疑問が生じている。
「Cathay Pacificのセキュリティー通知」によると、Amadeusは悪用の証拠を確認していない。調査担当者は、認証情報がどのように入手されたのか、また侵入が最初に検知された時期を明らかにしていない。
Amadeusの侵害で流出した乗客データ
Amadeusは10月28日にCathayへ通知し、10月29日に追加の詳細を提供した。影響を受けた約5万3000件の記録は予約の件数であり、必ずしも個々の乗客数を示すものではない。Cathayは、何人の旅行者が影響を受けたのかをまだ確定していない。
大半の記録には氏名、予約番号、フライト情報が含まれていた。より少数の記録には、メールアドレス、電話番号、渡航書類情報、またはマイレージ番号も含まれていた可能性がある。Cathayは、決済情報や財務情報にアクセスされた証拠はないと報告した。
これらの情報は、標的型フィッシングや航空会社になりすました攻撃に利用される可能性がある。別のBrevoの侵害により、Trezorの購読者へフィッシングメールが送信された事例は、侵害された第三者サービスが詐欺的な通信を助長し得ることを示している。Cathayの事例では、そのような悪用は確認されていない。
他の航空会社でも、Amadeusに関連する情報流出が報告されている。日本航空が特定した影響を受けた顧客は約9万2000人で、日本トランスオーシャン航空の旅客も含まれていた。一方、全日本空輸は約3万7800人と報告した。
外部プロバイダーが保有する情報をめぐる同様の懸念は、従業員記録に影響したFrontline Educationの侵害でも生じた。
Amadeusはパスワードのリセットを実施し、監視および検知機能を強化した。今回の発表からは、その期間中に攻撃者が継続的なアクセスを維持していたかどうかは分からない。
セキュリティー対策と進行中の調査
システムアカウントの認証情報が使われたとされることから、外部プロバイダーに依存する組織にとって、アクセス管理と監視が優先事項となる。侵害された信頼済みIDは、Shai-Hulud npmサプライチェーン攻撃でも関係していたが、攻撃手法は異なっていた。
セキュリティーチームは、次の対策によって同様のリスクを低減できる。
- ベンダーアクセスを制限する。最小権限、ネットワーク分割、対応している場合はジャストインタイムの権限付与を徹底する。
- サービスアカウントを保護する。管理対象ID、短期間のみ有効な認証情報、集中管理型のシークレット管理を利用する。
- 不審な活動を監視する。通常とは異なる認証、データベースクエリー、大量のデータエクスポートを検知する。
- データの露出を最小限に抑える。ベンダーによる顧客記録へのアクセスを制限し、保存期間に関するポリシーを徹底する。
- サプライヤーの管理策を評価する。認証の安全策、アクセスログ、セキュリティー評価、通知要件を確認する。
- インシデント対応計画をテストする。ベンダーアカウントの侵害、顧客データの流出、連携した通知手順を想定して訓練する。
Cathayは影響を受けた記録を確認しており、詳細が確定し次第、顧客に個別通知する予定だ。また、関係当局にも報告した。
調査では、認証情報がどのように侵害されたのか、また活動がいつ検知されたのかを明らかにする必要がある。これらの調査結果により、インシデントの全容と、さらなる安全策が必要かどうかを判断できる。
詳しく読む：最近のGood Smile Companyのデータ侵害は、顧客情報への不正アクセスと、どのデータが流出したのかを確定する難しさを示す別の事例だ。