カンタス航空、600万人分の情報流出：大規模データ侵害の全貌
シドニー、オーストラリア ― シドニー湾に夜明けが訪れる中、カンタス航空の幹部たちは、航空会社にとって最も聞きたくないニュースに衝撃を受けた。サイバー犯罪者によってシステムが侵害され、最大600万人の顧客の個人データが流出した可能性が浮上したのだ。この事件は、近年オーストラリアで発生したサイバーインシデントの中で、瞬く間に最大規模の一つとなった。
「異常な活動を検知した瞬間、何か重大な事態に直面していると分かりました」と、現在進行中の調査のため匿名を条件に語ったカンタス航空のサイバーセキュリティ担当幹部は述べた。「数時間以内にその範囲が明らかになりました。これは単なる探索行為ではありませんでした。彼らは内部に侵入していたのです。」
デジタル強盗：ハッカーはいかにしてゲートを突破したか
今回の攻撃は、カンタス航空の基幹システムではなく、同社のコンタクトセンターの一つが利用していたサードパーティ製の顧客サービスプラットフォームの脆弱性を狙ったものだった。この「サプライチェーン攻撃」により、サイバー犯罪者は氏名、メールアドレス、電話番号、生年月日、フリークエントフライヤー番号といった大量の顧客情報にアクセスした。
影響を受けた顧客にとって、幸いなことに、侵害されたシステムにはクレジットカード情報、パスポート情報、フリークエントフライヤーアカウントのログイン情報は含まれていなかった。それでも、流出したデータは、数百万人のオーストラリア人および国際的な顧客にとって重大なプライバシー侵害を意味する。
この事件に詳しいサイバーセキュリティアナリストらは、Scattered Spiderグループによる過去の攻撃との顕著な類似点を指摘している。同グループは、航空会社や大企業を標的とすることで知られる高度な犯罪集団で、ITスタッフを装って従業員を騙し、パスワードや認証コードを漏洩させるソーシャルエンジニアリングの手法をよく用いる。
「信頼は最も貴重な貨物」：カンタス航空、被害封じ込めへ奔走
カンタス航空のヴァネッサ・ハドソンCEOは、この情報漏洩に迅速に対応し、飛行運航と乗客の安全には影響がないことを強調しながら、公に謝罪した。同航空は侵害されたシステムを隔離し、オーストラリアサイバーセキュリティセンター、オーストラリア情報コミッショナー事務局、オーストラリア連邦警察と協力して対応にあたった。
ハドソンCEOは会社の発表で「この事件を封じ込めるため直ちに措置を講じ、追加のセキュリティ対策を実施しています」と述べた。「お客様のデータの安全性は最重要事項であり、このような事態が発生したことを深くお詫び申し上げます。」
今回の対応は、新型コロナウイルス感染症パンデミック中の論争を受け、カンタス航空が評判を立て直している最中のデリケートな時期に行われた。業界関係者は、この事件がその取り組みを著しく複雑にする可能性があると指摘している。
「これは典型的なサプライチェーン攻撃です」と、ある著名なサイバーセキュリティ研究者は指摘した。「カンタス航空自身のシステムは堅牢かもしれませんが、最も弱いリンクはサードパーティベンダーでした。これは、顧客と接する重要な機能を外部委託しているすべての企業にとって、警鐘となるでしょう。」
グローバルな空における嵐：広がるサイバーセキュリティの情勢
カンタス航空の情報漏洩は、孤立した事象ではない。これは、複数のセクターで前例のないサイバーインシデントの波が押し寄せている中で発生した。
- インドのZoomcarが2025年6月に840万人のユーザーが影響を受けたと報告
- 先月、世界規模のメガ漏洩で驚くべき160億件のログイン情報が流出
- 医療プロバイダーのEpisourceでは540万人の個人データが侵害された
- 小売大手Ahold Delhaizeがランサムウェア攻撃を受け、220万人が影響を受けた
航空セクターは特に脆弱であるように見える。アナリストらは、その膨大な顧客データベースとサードパーティベンダーへの依存度が高まっていることが、攻撃者にとって絶好の機会を作り出していると指摘している。
「攻撃者は、基幹システムだけでなく、サプライチェーンやサードパーティプロバイダーを標的にするケースが増えています」と、ある脅威インテリジェンスの専門家は説明した。「航空セクターは特に圧力を受けており、カンタス航空、ウエストジェット航空、ハワイアン航空がいずれもここ数週間のうちに被害に遭っています。」
市場の動揺：財務的影響が具体化し始める
情報漏洩のニュースが報じられた後、市場が開くと、カンタス航空の株価は即座に圧力を受け、10.76豪ドルから日中安値の10.32豪ドルまで下落し、時価総額から約7億4,000万豪ドルが吹き飛んだ。しかし、株価は2026会計年度の推定PER（株価収益率）の14倍でサポートを見つけ、これは世界の同業他社と比較して比較的わずかな割引にとどまっていることを示している。
プロの投資家にとって、問題はカンタス航空が存続するかどうかではなく、風評被害や規制上の懸念がどれくらいの期間、同社の株価評価を圧迫し、キャッシュフローを他へ振り向けるかである。予測される費用は多額に上る。
- 通知および信用監視：9,000万～1億2,000万豪ドル
- 訴訟および集団訴訟：4,000万～1億5,000万豪ドル
- 潜在的な規制罰金：330万～5,000万豪ドル以上
- サイバーセキュリティアップグレード費用：5,000万～1億豪ドル
- 信頼回復のための追加マーケティング費用：3,000万～7,500万豪ドル
これらを合計すると2億1,300万～4億9,500万豪ドルとなり、カンタス航空の2025会計年度予想EBITDAの4～10%に相当する。多額ではあるものの、アナリストは、これは1年間の自社株買い能力を下回る水準であり、同航空のバランスシート（純負債/EBITDA比率1.6倍）は依然として堅固であると指摘している。
情報漏洩の先へ：待ち受ける激動を乗り越える
影響を受けた顧客にとって、リスクは現在、盗まれた個人データを用いたフィッシング攻撃、なりすまし、標的型詐欺の可能性へと移っている。専門家は、カンタス航空または提携パートナーを名乗る不審な連絡に対する警戒を強めるよう推奨している。
一方で、今回の情報漏洩は、オーストラリアのデータ保護規制とサードパーティリスク管理基準に関する議論を再燃させた。最近更新されたプライバシー法では、以前の枠組みよりも大幅に高い罰金が科される可能性があり、重大な違反に対しては最大5,000万豪ドル、または売上高の30%に達する罰金が科される可能性がある。
2025年7月初旬時点の主な最近の世界的なデータ侵害の概要
| 組織名 | 日付 | 影響を受けた人数（個人） | 流出したデータ | 攻撃経路／原因 | セクター |
|---|---|---|---|---|---|
| カンタス航空 | 2025年7月 | 約600万人 | 氏名、メールアドレス、電話番号、生年月日、フリークエントフライヤー番号 | ソーシャルエンジニアリングによるサードパーティプラットフォーム侵害 | 航空 |
| Zoomcar | 2025年6月 | 840万人 | 氏名、電話番号、自動車登録情報、住所、メールアドレス | 不明、事件後に発覚 | モビリティ／レンタル |
| 160億件の認証情報漏洩 | 2025年6月 | 160億件の認証情報 | ユーザー名、パスワード、トークン、Cookie、メタデータ | 情報窃盗マルウェアと認証情報リスト攻撃からの集約 | グローバル／多部門 |
| Episource | 2025年6月 | 540万人 | 個人情報、社会保障番号、健康保険情報、医療記録 | 不正アクセス | ヘルスケア |
| Ahold Delhaize | 2025年6月 | 220万人 | 個人情報、社会保障番号、パスポート、運転免許証、金融、健康、雇用データ | ランサムウェア攻撃 (Inc Ransomグループ) | 小売／薬局 |
| Johnson Controls | 2025年7月 | 3万8,000人以上 (テキサス州) | 従業員および応募者の個人情報 | 内部システムへの不正アクセス | 建設製品 |
| **V |