アメリカン航空でデータ侵害：フィッシングにより顧客／従業員の個人情報が漏洩

American Airlines discloses data breach after employee email compromise

2022/09/19 BleepingComputer — アメリカン航空は、従業員の電子メール・アカウントが侵害され、個人情報への不正アクセスが生じたことを顧客に通知したが、その侵害の規模は非公表となっている。9月16日 (金) に送付された通知書では、漏洩したデータが悪用された証拠はないと説明されている。アメリカン航空は、7月5日に情報漏洩を発見し、直ちに影響を受けた電子メール・アカウントを保護し、サイバーセキュリティ・フォレンジック会社にインシデントの調査を依頼したとのことだ。

同社は、「2022年7月に無許可の行為者が、アメリカン航空の従業員の電子メール・アカウントを侵害したことを発見したが、その規模は限定されている。このインシデントを発見した後に、該当するメール・アカウントを保護し、インシデントの性質と範囲を判断するために、フォレンジック調査を実施する第三者の企業に依頼した」と、影響を受けた顧客に伝えた [PDF]。

この攻撃で流出した可能性のある個人情報には、従業員や顧客の氏名／生年月日／住所／電話番号／電子メールアドレス／運転免許証番号／パスポート番号などに加えて、特定の医療情報などが含まれていた。

同航空会社は、被害に遭った顧客に対して、個人情報の漏洩を発見して解決するための、Experian IdentityWorks の２年間メンバーシップを無料で提供すると発表した。

アメリカン航空は、「顧客の個人情報が悪用されたという証拠はないが、Experian の credit monitoring への登録を推奨する。さらに、定期的に口座明細を確認し、無料の信用報告書を監視するなど、警戒を怠らないようにしてほしい」と付け加えている。

影響を受ける人の数は限られている

同社は、今回のインシデントで影響を受けた顧客の数や、侵害されたメール・アカウントの数について、現時点では公表していない。

アメリカン航空の Sr. Manager for Corporate Communications である Andrea Koos は BleepingComputer に対して、従業員のメール・アカウントがフィッシング・キャンペーンで漏洩したことを明らかにしたが、何人の顧客と従業員が影響を受けたのかは明らかにせず、非常に小さな数だ と述べている。

Koos は、「アメリカン航空は、限られた数のチーム・メンバーのメール・ボックスへの不正アクセスにつながった、フィッシング・キャンペーンについて認識している。これらのメール・アカウントには、ごく少数の顧客と従業員の個人情報が含まれていた」と述べている。

彼は、「個人情報が悪用されたという証拠はないが、データ・セキュリティは最も重要であり、顧客とチーム・メンバーに対する予防的なサポートを行っている。また、同様のインシデントを繰り返さないために、追加の技術的な安全策を講じているところだ」と付け加えている。

アメリカン航空は、2021年3月にもデータ漏洩の被害に遭い、世界的な航空情報技術大手SITAが、ハッカーにサーバを侵入され、アメリカン航空を含む世界中の複数の航空会社が使用している乗客サービスシステム（PSS）にアクセスされたと確認されました。

アメリカン航空は 2021年3月にも、データ侵害に見舞われている、その時には、世界的な航空情報技術の大手である SITA のサーバにハッカーが侵入し、アメリカン航空を含む複数の航空会社が使用する Passenger Service System (PSS) に、不正アクセスが生じたことが確認されている。

アメリカン航空は、保有機材数で世界最大の航空会社 (主力機1300機以上) であり、12万人以上の従業員を抱え、50カ国以上、約350都市へ向けて、毎日約 6700便を運航している。

航空業界におけるインシデントとしては、2021年9月の「航空業界を狙うトロイの木馬：2018年から活動を続けてきたことが判明」や、12月の「Slack API の悪用：国家支援ハッカーが航空会社にバックドアを仕掛ける」、2022年2月の「航空サービス会社の Swissport にランサムウェア攻撃：欧州でフライト遅延などが発生」などがあります。よろしければ、カテゴリ Transportation も、ご利用ください。