サイバーセキュリティ企業CyProの報告書によると、新たに報告された航空会社のデータ漏洩により、推定2億2000万件の旅行者記録が露出した可能性がある。露出したデータセットには、連絡先、旅程、パスポート情報が含まれていたとされ、セキュリティ専門家は、この個人データの組み合わせが個人情報窃取者や詐欺業者にとって特に価値が高いとみなしている。

航空・旅行業界でのデータ漏洩は新しいものではないが、今回の事件はその規模が際立っている。パスポート番号と旅程情報がこの規模で一緒に含まれることはめったになく、その露出は、航空会社や旅行データ処理業者が、機密性の高い旅行者情報を扱うシステムをどのように保護しているかという疑問を提起する。

航空会社のデータ漏洩で何が起きたのか

報告書によると、この漏洩は、事前乗客情報システム（APIS）に関連する旅行者記録を含むもので、航空会社や国境当局が国際線の出発前に旅客情報を収集・共有するためのデータベースの一種である。事前乗客情報には通常、フルネーム、生年月日、パスポート番号、国籍、旅程が含まれ、これらはすべて出発前の入国審査や保安検査に必要なデータ項目である。

ベトナム関連のAPIS漏洩に関する別の調査では、適切なアクセス制御なしに露出したまま放置されたセキュアでないElasticsearchデータベースに、約2億2000万件の旅行者記録が含まれていたことが判明した。Elasticsearchデータベースは、大量の構造化データを保存し迅速に検索するために一般的に使用されるが、設定を誤ると、オンライン上でそれを見つけた誰もがアクセスできる可能性があり、ハッキングは不要である。この特定の事件がどのように展開したかについての詳細は、以前のベトナムAPIS漏洩で露出した2億2000万件の旅行者記録に関する報道で技術的詳細を解説している。

今回の航空会社漏洩報告とベトナムAPIS漏洩との間の件数とデータ種別の重複は、同じ根本的な露出を説明している可能性があるか、少なくとも非常に類似した障害パターン、すなわち、適切にロックダウンされていないシステムに保存された機密旅行データを示唆している。

パスポートと旅程データが犯罪者にとってそれほど価値がある理由

ほとんどの消費者データ漏洩には、メールアドレス、パスワード、または支払いカード番号が含まれ、これらは一度侵害されれば比較的簡単に変更できる。パスポート番号は異なる。政府発行の身分証明書に紐づいており、迅速かつ安価に交換できるものではなく、何年も有効であり続ける。

パスポートデータが連絡先情報や旅程と組み合わされると、今回の航空会社のデータ漏洩で報告されたように、リスクプロファイルは大幅に変化する。詐欺師はこの組み合わせを使用して以下のことを行える：

  • 実際の今後のフライトや旅行計画を参照する説得力のあるフィッシングメッセージを作成する
  • 金融機関や政府サービスに対する本人確認詐欺を試みる
  • 違法マーケットプレイスでバンドルされた旅行者プロファイルを販売する。完全な記録ほど高値で取引される
  • 実際の出発日に合わせて旅行者を詐欺電話やテキストで狙う

これが、このような漏洩を日常的なパスワード漏洩と区別する点である：データは失効せず、一般の人が検出または防止するのが難しい方法で悪用される可能性がある。

あなたへの影響

近年国際線を利用した場合、特に影響を受けたシステムに関連するルートを利用した場合は、旅行データの一部がこの露出に含まれていた可能性がある。残念ながら、個人の旅行者は、自分の記録がこのような漏洩の一部であったかどうかを把握する手段が限られている。航空会社やそれらが依存する第三者システムが、直接的かつ即時の通知を常に行うとは限らないからだ。

とはいえ、パスポート情報と旅程情報を含む航空会社のデータ漏洩への実践的な対応は、自分の露出を確認できるかどうかに関係なく同様である。パスポート番号はパスワードのようにリセットできないため、優先順位は書類自体の回復ではなく、監視と警戒に移る。

フライト詳細、予約確認、または自分から連絡を開始していない旅程を参照する不審なメッセージには特に注意すること。漏洩した旅行データを悪用する詐欺師は、実際の旅行に関する詳細を知っていることから生じる正当性の外観に依存することが多い。

実践的な対策

この航空会社のデータ漏洩の規模を考慮すると、旅行者はいくつかの具体的な措置を検討すべきである。まず、フライト、予約、旅程変更を参照する予期しないメールや電話を監視し、埋め込まれたリンクをクリックするのではなく、航空会社の公式チャネルを通じて不審なものを直接確認すること。第二に、ID監視サービスや信用報告書を保有している場合は、それらを注意深く監視すること。パスポートデータが他の個人情報と組み合わさると、より広範な個人情報詐欺の試みに使用される可能性があるためだ。第三に、正確な旅行情報を参照している場合でも、パスポート詳細の確認を求める通信には懐疑的であること。その正確性は、航空会社からの正当な連絡ではなく、この露出からのデータを反映している可能性があるためだ。

政府発行の身分証明書を含む漏洩は、典型的なデータ漏洩よりも一層の注意に値する。露出した情報が失効しないからだ。旅行データがどのように使用される可能性があるかに常に注意を払い、不請来到達の通信に懐疑的であることが、この航空会社のデータ漏洩の全容が評価され続ける間、最も実践的な防御策であり続ける。