航空会社Qantasの顧客情報600万件が漏えい 想定される危険な悪用シナリオは？：自社がセキュリティ万全でも危険

航空会社Qantasは2025年6月に約600万件の顧客情報が流出した。原因は自社ではなく業務委託先システムへのサイバー攻撃だ。攻撃者の手に渡ったデータの種類と、悪用のシナリオとは何か。

[Aaron Tan，TechTarget]

　オーストラリアの航空会社Qantas Airwaysは2025年6月30日（現地時間）、同社の業務委託先であるコンタクトセンターが利用しているシステムが攻撃を受け、数百万件の顧客情報が流出したことを見つけた。同社は不審な活動を検出し、直ちにシステムを隔離したものの、攻撃者が重要なデータを盗んだことが確認された。流出したのは、どのようなデータなのか。

クレカ情報は大丈夫？　流出したデータの種類と悪用シナリオ

併せて読みたいお薦め記事

サイバー攻撃の実例

• まさかのランサムウェア波状攻撃　“非道さ”を極めた被害事例とは？
• 多発したランサムウェア攻撃　米国組織を襲った“7つの被害事例”

　Qantasによると、攻撃を受けたシステムは約600万人の顧客情報を保管していた。今回流出した情報には、名前やメールアドレス、電話番号、生年月日などが含まれる。クレジットカード情報やパスポート情報といったより機密性の高いデータは別のシステムで保管しているので、今回の攻撃の影響を受けていないと同社は強調する。

　今回流出したデータは個人を特定できるものであるため、ダークWeb（通常の手段ではアクセスできないWebサイト群）で販売され、別のサイバー攻撃で悪用されることによる二次被害に発展しかねない。例えば、攻撃者が流出情報を用いて個人になりすまし、フィッシングをはじめとしたソーシャルエンジニアリング（人の心理を巧みに操って意図通りの行動をさせる詐欺手法）を実行する恐れがある。フィッシング攻撃によって、さらに重要な認証情報や金融情報が盗み出される危険性も指摘されている。

　セキュリティベンダーBlueVoyantのオーストラリアおよびニュージーランド担当マネージングディレクター、カシュ・シャルマ氏は、「攻撃がどのように実施されたかの詳細は不明だ」と述べる。今回のように、業務委託先システムの脆弱（ぜいじゃく）性を悪用してデータを盗む攻撃は、最近広がっている手口だ。「自社システムだけではなく、取引先を含むサプライチェーン全体のセキュリティを強化しなければならない」（同氏）

　Qantasは今回の攻撃を受け、オーストラリアサイバーセキュリティセンター（ACSC）やオーストラリア情報コミッショナー局（OAIC）、オーストラリア連邦警察（AFP）に通知した。同社CEOのバネッサ・ハドソン氏は、「この事態が不安を引き起こすことを認識している。お客さまは私たちに個人情報を信頼して預けており、その責任を真剣に受け止めている」と述べた。

　攻撃の再発防止のために、Qantasは業務委託先システムのアクセス制限を強化する他、システム監視と脅威検出を強化する方針を決めたという。同社によれば、今回の攻撃によってフライトの運行や安全性に影響はない。