シンガポール航空のデータ侵害、業界全体で20万件以上の予約に影響

Bloombergによると、シンガポール航空（Singapore Airlines Ltd.）が主要ソフトウェアプロバイダーの一つにおけるデータ侵害の影響を受けた最新の航空会社となった。この報道によれば、このハッキングにより業界全体で侵害された予約の数は現在20万件を超えている。シンガポール航空のデータ侵害は、あなたの旅行データが、あなたが直接選んだわけではない企業の手にしばしば委ねられていることを思い起こさせる。

ベンダーの侵害がどのようにシンガポール航空に到達したか

このインシデントは航空会社の内部で始まったものではない。Bloombergはこれをシンガポール航空の主要ソフトウェアプロバイダーの一つにおける侵害と表現しており、シンガポール航空はこれに巻き込まれた最新の航空会社である。業界全体で20万件を超える侵害された予約という合計は、いかに多くの航空会社が同じシステムに依存しているかを反映している。

これが核心的な教訓である。航空会社は予約、チェックイン、その他の機能を専門のベンダーに外部委託している。一つのベンダーが侵害されると、各航空会社自身のネットワークが一切触れられていなくても、その影響はそれを使用するすべての航空会社に広がる可能性がある。

この話の初期段階の背景については、Amadeusの侵害がSIAの予約記録46,000件を露出させた経緯に関する我々の報道が、シンガポール航空にとってベンダーインシデントが最初に明るみに出た経緯を説明している。Bloombergの報道は、一つの航空会社から業界全体へと視野を広げるものである。

どのような予約データが露出する可能性があるか

Bloombergの要約は、正確にどのフィールドが取得されたかを列挙していないため、我々は推測しない。旅行予約記録は通常、この記事の示唆する視点が指摘する種類の詳細、すなわち旅行者の氏名、連絡先情報、旅程を保持している。航空会社と影響を受けたベンダーが、個々のケースで正確に何が関与したかを確認するのに最も適した立場にある。

決済データがなくても、これらのフィールドには実際の価値がある。氏名とメールアドレス、電話番号、フライト日が組み合わされれば、説得力のあるメッセージを書くのに十分な文脈を提供する。旅程は、あなたがいつどこにいるかを示すため、特に有用である。

旅行侵害後のフィッシングとアカウント乗っ取りのリスク

このような侵害による主な実務的リスクは、標的型の詐欺である。あなたの予約詳細を知っている詐欺師は、航空会社を装い、日常的に見えるメッセージを送ることができる:

• フライトが変更されたため予約を「確認」する必要があるという通知。
• カード詳細を求める返金の申し出。
• 偽のログインページへのリンクを含むチェックインのリマインダー。
• カスタマーサービスを名乗り、認証コードを求める電話やテキスト。

最後の項目はアカウント乗っ取りにとって重要である。詐欺師があなたにワンタイムコードを読み上げさせたり、偽のページにパスワードを入力させたりすることができれば、彼らはあなたのロイヤルティまたは予約アカウントにアクセスできる。メッセージが実際の旅行詳細に言及しているため、一般的なスパムよりも信頼できると感じられる。

同様のベンダー主導の露出は他のシンガポールの組織にも影響を与えている。SLAの記録70,000件を露出させたIBMテストシステムの侵害は、組織自身の正面玄関ではなく第三者環境を通じてデータが露出したもう一つの事例である。

旅行ベンダーと共有する個人データを減らす方法

ベンダーのセキュリティを制御することはできないが、失われる可能性のあるものを制限することはできる。

• 必要なものだけを共有する。 予約が本当に必要としない限り、追加の電話番号、自宅住所、書類の詳細などの任意フィールドは省略する。
• 旅行専用のメールアドレスを使用する。 別のアドレスは疑わしいメッセージを見つけやすくし、漏洩した場合の被害を限定する。
• あまり多くのサービスを連携しない。 連携アカウントが少ないほど、攻撃者の経路も少なくなる。
• 予約確認を整理しておく。 不要になった古い確認書は削除する。
• 強力なサインイン保護を有効にする。 固有のパスワードを使用し、提供されている場合はアプリベースまたはハードウェアの二要素認証を使用する。

これは、シンガポールで110,000人の会員に影響を与えたAlliance Medinetのデータ侵害など、他の最近のインシデントの背後にあるのと同じ原則である。サービスがあなたについて保持する機密の詳細が少ないほど、露出するものも少なくなる。

あなたにとって何を意味するか

最近シンガポール航空または他の航空会社で飛行したことがある場合は、あなたの予約詳細が関与している可能性があると想定し、それに応じて行動すべきである。パニックになる必要はないが、旅行メッセージの扱い方を変えるべきである。予約、返金、チェックインに関する予期しないメール、テキスト、電話は、確認されるまで疑わしいものとして扱うこと。

最も安全な習慣は、メッセージ内のリンクを無視し、自分で入力して航空会社の公式アプリまたはウェブサイトに直接アクセスすることである。そこで予約を確認する。問題が記載されていなければ、そのメッセージはおそらく本物ではなかった。あなたに先に連絡してきた相手には、ワンタイムコードを決して共有しないこと。

主なポイント

シンガポール航空のデータ侵害は、単一のベンダーの失敗が業界全体にどのように波及しうるかを示しており、現在20万件を超える予約が侵害されたと報じられている。予期しない予約、返金、チェックインのメッセージに行動する前に一呼吸置き、公式チャネルを通じて確認し、そもそも旅行ベンダーと共有する個人データを減らすこと。ベンダーインシデントがどのように始まったかを理解するには、Amadeusの侵害とSIAの予約記録に関する以前の報道をお読みください。