6月以降、世界各国の航空会社に対するサイバー攻撃による情報流出が相次いでいる。今月には、フランスとオランダを代表する航空会社であるエールフランスとKLMオランダ航空が被害に遭ったことが明らかになった。
エールフランスは7日、利用者に送信した電子メールで、「サードパーティシステムへの限定的アクセスを詐欺者が得た」ことによる個人データ漏えいについて通知した。一部利用者の氏名、マイレージ会員番号、会員ステータスが流出したが、クレジットカード情報、パスポート番号、マイル残高、予約情報は漏えいしていないと説明した。
KLMも同様の通知を利用者に送信。プレスリリースで、「顧客サービス用の外部プラットフォームで異常な活動を検知した」と説明した。またフォーブスに対し、流出は「先週発生し、迅速に分析・封じ込めが行われた」と述べた。
いずれの攻撃も、「ShinyHunters（シャイニーハンターズ）」と呼ばれるハッカー集団が実行したとみられる。6月中旬以降、カナダのウエストジェット航空、米国のハワイアン航空、オーストラリアのカンタス航空も、「Scattered Spider」と呼ばれるグループによりサイバー攻撃の被害を受けており、サイバーセキュリティ専門家は両グループが関連しているとみている。
エールフランスとKLMは、どの顧客サービスプラットフォームが侵入被害を受けたのかは明らかにしていないが、サイバーセキュリティ企業マルウェアバイツやオンライン誌インフォセキュリティ・マガジンなどによるとShinyHuntersはこれまでにSalesforce（セールスフォース）の顧客であるグーグルやシスコ、アディダス、アリアンツといった大手企業を狙ったサイバー攻撃で成功を収めてきた。
なぜ航空会社が狙われるのか？
英コンサルティング企業クローズド・ドア・セキュリティのサイバーセキュリティ専門家ウィリアム・ライトはフォーブスに対し、航空会社は事業の規模が大きく、サプライチェーンが多岐にわたることから、脆弱（ぜいじゃく）な部分が明白だと指摘。「狙われるシステムはサードパーティが所有していることが多く、航空会社自身が直接できることは非常に限られている」と述べた。
マイレージプログラムが狙われる理由は？
マイレージプログラムはしばしば保護策が不十分であり、さらに利用者がマイルやポイントを柔軟に使える仕組みが脆弱性となっているとライトは指摘する。例えばエールフランスの「フライング・ブルー」プログラムでは、マイルを航空券の購入だけでなくホテル、免税品、オンラインショッピングなどに利用できる。「攻撃者はシステムに侵入すると、資産をそこから引き出す。マイルやポイントを他のものに換えられるなら、その方法を使う。ポイントがいったん航空会社のシステムから引き出されれば、基本的に追跡は不可能になる」という。
「ShinyHunters」とは？
ShinyHuntersは近年、数々の大規模データ侵害や情報漏えいを引き起こしてきた悪名高いハッカー集団だ。名前は、ゲーム「ポケットモンスター」のプレイヤーが「Shiny Pokemon」（日本語版では「色違い」のポケモン）を探し捕まえる行為に由来している。
