オーストラリアの航空会社Qantas Airwaysは2025年6月30日、第三者の顧客対応プラットフォームがサイバー攻撃を受け、最大600万人の顧客情報が流出した可能性があると発表した。
流出した情報は氏名、メールアドレス、電話番号、生年月日、フリークエントフライヤー番号で、クレジットカード情報、パスポート情報、ログイン認証情報は含まれない。
同社は異常な活動を検知後、直ちにシステムを隔離し、オーストラリア連邦警察、オーストラリアサイバーセキュリティセンター、情報コミッショナーに通報した。
CEO Vanessa Hudsonは顧客に謝罪し、専用サポートラインを設置して個別対応を行っている。
From:
Qantas Airlines Breached: 6M Customers’ PII Stolen
【編集部解説】
今回のQantas航空の情報流出は、航空会社本体のシステムではなく、第三者のカスタマーサービスプラットフォームが標的となった点が特徴的です。この事案は、企業が外部委託先のセキュリティリスクをいかに管理するかという現代的な課題を浮き彫りにしています。
Qantasは「相当量のデータが盗まれた可能性が高い」と表明していますが、実際の流出件数は調査中です。幸い、クレジットカード情報やパスポート情報などの機微な情報は含まれておらず、フリークエントフライヤーアカウントの認証情報も無事でした。これは、データの分散管理が功を奏した例と言えるでしょう。
近年、米FBIが警告するScattered Spiderなどのサイバー犯罪グループが航空業界を標的にする傾向が強まっています。これらのグループは高度なソーシャルエンジニアリングを駆使し、従業員や契約業者になりすまして侵入を図ります。今回の事案でも、犯行グループは特定されていませんが、同様の手法が使われた可能性があります。
オーストラリアでは2022年のMedibank事件（970万人の医療情報流出）をはじめ、大規模なサイバー攻撃が相次いでいます。今回の事案は、サプライチェーン全体のセキュリティ強化の必要性を改めて示しており、企業は自社システムだけでなく、委託先のセキュリティ管理にも責任を持つ時代になっています。
【用語解説】
サイバー攻撃
コンピュータネットワークやシステムに対して、情報の窃取や破壊、業務妨害などを目的に不正にアクセスする行為。
個人情報（PII）
氏名、メールアドレス、電話番号、生年月日など、特定の個人を識別できる情報。
フリークエントフライヤー番号
航空会社のマイレージプログラムで顧客ごとに割り当てられる会員番号。
サードパーティプラットフォーム
企業が自社以外の外部ベンダーから提供されるサービスやシステム。
Scattered Spider
2022年以降に活動が確認されている、主に米国と英国の若年層で構成されるサイバー犯罪グループ。高度なソーシャルエンジニアリングやクラウド環境への侵入が特徴。
【参考リンク】
Qantas Airways Limited（外部）
オーストラリア最大手の航空会社。国際線・国内線ともに広範なネットワークを持つ。
Australian Cyber Security Centre（外部）
オーストラリア政府のサイバーセキュリティ対策機関。脅威情報を提供。
【参考記事】
QANTAS CYBER INCIDENT（外部）
Qantasが公表した公式声明。CEO Vanessa Hudsonの謝罪コメントも掲載。
Australia’s Qantas says 6 million customer accounts（外部）
ロイター通信による速報記事。攻撃の概要と関係機関への通報状況を報告。
Qantas data breach to impact 6 million airline customers（外部）
BBCによる報道。攻撃の経緯と影響範囲について簡潔にまとめている。
What we know about the ‘significant’ customer data breach（外部）
オーストラリアのSBSによる詳細報道。専門家のコメントも含む包括的な内容。
Qantas cyber hack could have stolen ‘significant’ amount（外部）
CNNによる国際報道。オーストラリアの過去のサイバー攻撃事例との比較も含む。
Qantas says hackers breached system holding data on 6 million customers（外部）
アルジャジーラによる報道。Qantasの企業イメージへの影響についても言及。
【編集部後記】
今回のQantas航空の情報流出事件を通じて、私たちが日常的に利用するサービスの裏側で、どれほど多くの個人情報が動いているかを実感します。
みなさんは、航空券を予約する際や会員登録をする時、どこまでセキュリティを意識されていますか？
完璧な防御は難しいとはいえ、私たち一人ひとりができることもあるはずです。
この機会に、デジタル時代の個人情報保護について、一緒に考えてみませんか。
