マンチェスターなど英3空港の運営会社から駐車場・ラウンジ利用者の情報が流出。恐喝グループの要求を拒否したところ約550GBのデータが公開されました。侵入経路と利用者の対策を整理しました
イギリスの3つの空港を運営するマンチェスター・エアポーツ・グループ(MAG)から、約880万人分の顧客データが流出しました。対象は駐車場・ラウンジ・優先レーンの予約情報と空港Wi-Fiの登録情報で、メールアドレスや電話番号、車のナンバーなどが含まれます。銀行口座やカード情報は含まれていないとされています。同社は恐喝グループの身代金要求を拒否し、その結果として約550GBのデータが闇サイトに公開されました。侵入のきっかけは、公開されていたプログラム内に放置されていた管理用の認証情報だったと報じられています。空港の運航への影響はありません。利用者は今後、自分宛ての偽メールや偽SMSに特に注意が必要です。
結論から言う。880万人だ。日本の人口の7人に1人分に相当する数が、空港の駐車場予約ごときから漏れた。そして原因は、公開場所に置きっぱなしの合鍵だったというのだから気が遠くなる。サイバー攻撃の映画みたいな派手な話ではなく、ただの置き忘れだ。巨額の身代金を突っぱねた胆力は立派だが、その前の「鍵の置き忘れ」がなければ何も起きなかった。※個人の感想です
MAGは2026年8月25日に不正なアクセスを検知し、8月27日に「権限のない第三者によるサイバーセキュリティ事案」として公表しました。対象はマンチェスター空港、ロンドン・スタンステッド空港、イーストミッドランズ空港の3空港で、駐車場・ラウンジ・優先レーン(Fast Track)の予約と、空港内Wi-Fiの利用登録に関わる顧客データベースです。運営によると、流出した可能性があるのはメールアドレス・電話番号・車両登録番号・郵便番号などで、銀行や決済カードの情報は同社も被疑のシステムも保持していないため対象外です。運航や保安業務への影響はなく、駐車場サービスも通常通り動いています。
恐喝グループ「FulcrumSec」は9月上旬に犯行声明を出し、身代金を要求しました。MAGが支払いを拒否したため、約550GBの非圧縮データが闇サイトに公開されました。データ侵害の通知サイトHaveIBeenPwnedが公開データを解析したところ、約880万件のメールアドレスと電話番号が含まれ、氏名や購入履歴、車両ナンバーなども確認されたとしています。犯人側は予約関連の購入記録約248万件やSMS約46万件も含まれると主張していますが、件数の内訳は犯人側の主張であり、第三者の検証は一部にとどまります。
報じられている侵入経路は、公開されていたJavaScriptの中に放置されていたAPIの認証情報です。API認証情報とは、プログラム同士がやり取りする際の合言葉のようなもので、本来は外部から見えない場所に保管します。これが誰でも読める場所に置かれていたため、攻撃者は正規の利用者を装ってデータベースへ到達できたとみられています。
これは高度な技術を要する攻撃ではありません。公開情報の確認不足という初歩的なミスです。セキュリティ企業や報道は「露出していた管理用の鍵」という点を重く見ています。大規模な被害の原因が、最先端の攻撃手法ではなく基本の不備だったという事実は、他の組織にとっても重い教訓です。
流出したのがメールアドレスと電話番号中心という点が、次の被害の形を決めます。攻撃者は「実在の利用者情報」を手にしているため、本物そっくりの偽メールや偽SMSを作れます。対策は次の通りです。
用語を整理します。APIはプログラム同士が会話するための取り決めで、APIキーなどの認証情報はその会話への参加証です。参加証を公開場所に置くのは、家の鍵を玄関マットの下に置くようなものです。ダークウェブは通常の検索では辿り着けない匿名性の高い空間で、盗まれたデータの公開場所になりがちです。HaveIBeenPwnedは、自分のメールアドレスが過去の流出に含まれているか調べられる無料の確認サイトです。スミッシング(SMSを使った詐欺)は、今回のように電話番号が流出すると急増します。犯人があなたの名前や利用履歴を知っている前提で文面を作ってくるため、見分けがつきにくくなります。
IT Postでは、今回の件を「身代金を払わなかった英断」として終わらせてはいけないと考える。確かに支払い拒否は正しい。だが、その判断が称賛されるほど、最初の失態はひどかった。公開コードに管理用の鍵を置き忘れるなど、セキュリティの教科書の1ページ目に載るミスだ。880万人という数字の大きさは、攻撃の巧妙さではなく、管理のずさんさに比例している。空港という公共性の高いインフラを預かる組織が、基本の確認を怠った代償は重い。支払い拒否の胆力があるなら、その半分でもいいから点検に回してほしかった。※個人の感想です
公開されたデータを使った二次被害(偽メール・偽SMS・なりすまし)が今後の焦点です。氏名や利用履歴付きの連絡は信用しやすいため、被害の拡大が懸念されます。
英当局の捜査の進展や、MAGによる追加の説明・補償対応が次の注目点です。IT Postでは、被害の広がりや当局の動きがあれば続報として取り上げます.
ロート製薬の通信販売システムへの不正アクセスで、顧客との通話音声データが流出した可能性が判明。攻撃者が主張する「4TB」のうち、何が確認済みで何が未確認かを確かめた
円谷プロダクションとmogily株式会社が発表した、LINE連携の抽選システムへの不正アクセス。133人分の当選結果が落選に書き換えられていた経緯と、個人情報漏えいの有無を確認した
ゲーム実況グループ「ドズル社」の公式ストアで発生した、不正な決済ページへの誘導。Shopify上の外部アプリが原因だったと判明した経緯と、購入者が確認すべき点を整理した
飲食チェーンを運営するきちりホールディングスの子会社ApplyNowが提供する採用管理サービスに不正アクセス。応募者の個人情報に加え、マイナンバーや金融機関口座情報まで対象に入っていた理由と、公表された対応状況を整理した
