1000万人の個人情報流出 ロンドン交通局が陥った「通知無視」のわな：被害を防ぐ事後広報の鉄則

ロンドン市民の足を支えるロンドン交通局を標的にした攻撃で、約1000万人の個人情報が漏えいした。この攻撃の深層から情シスが学ぶべき「コミュニケーションの教訓」とは。

[Alex Scroxton，TechTarget]

　2024年にロンドン交通局（Transport for London：TfL）を狙ったサイバー犯罪集団「Scattered Spider」の攻撃は当初の予想より影響が広範囲に及び、ロンドンのバスや電車、地下鉄利用客のデータが漏えいしたことが明らかになった。英国の放送局BBCが匿名の攻撃者から入手した情報によれば、漏えいデータには約1000万人の名前や電話番号、メールアドレス、住所が含まれていた。

セキュリティ専門家が警鐘を鳴らす想定被害

併せて読みたいお薦め記事

セキュリティを巡る最近の動きとは

• 瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓
• ランサムウェア集団「Qilin」が全攻撃の2割を支配　標的は“日本企業”へ

　Scattered Spiderは2024年8月にTfLのシステムに入り込んだ。この攻撃によって交通手段の運営には直接的な影響が出なかったが、TfLの非接触型ICカード「Oyster」を含め、関連サービスを巡っては混乱が生じた。TfLはこの攻撃による被害を約4000万ポンド（約85億円）とみている。

　TfLは英Computer Weekly編集部に対し、この攻撃を受けてシステムの監視やアクセス制御を強化していると述べた。それに加え、Oysterのデータが流出したとみられる約5000人の利用客を特定し、セキュリティ対策のサポートを提供したという。

　しかしTfLによると、この攻撃について連絡した約700万人のうち、約4割がTfLからのメールを開いておらず、自分のデータが漏えいした恐れがあることを知らない人が多い可能性がある。

　セキュリティベンダーESETのジェイク・ムーア氏は今回の攻撃によって漏えいしたデータについて「サイバー犯罪者にとって非常に価値のあるデータ」であり、攻撃に悪用される恐れがあると説明する。同氏によると、データは現時点で悪用されていなくても、ダークWeb（通常の手段ではアクセスできないWebサイト群）で販売され、将来、詐欺に使われかねない。

　ムーア氏はTfLの利用客に対し、銀行明細書を注意深く確認するとともに、予期しないメッセージに注意を払うべきだと推奨している。

　セキュリティベンダーTalionのCEO、ケヴン・ナイト氏は、「TfLが送信した通知メールの6割しか開封されなかったことは懸念すべきだ」と語る。TfLはもっと積極的にコミュニケーションを取り、攻撃について知らせる必要があると同氏は指摘する。消極的なコミュニケーションは「セキュリティ事件の本当の規模を隠そうとしているように見える可能性があり、危険なことだ」（ナイト氏）という。