概要
カナダの主要航空会社であるWestJetは、今年6月に発生したサイバー攻撃により、120万人もの顧客の個人情報が侵害されたことを発表しました。流出した情報には、パスポートや政府発行のIDなどの旅行書類が含まれています。
事件の経緯
WestJetは6月13日にサイバーセキュリティインシデントを公表し、内部システムの障害とWestJetアプリの利用不可を報告していました。その後の調査により、9月15日に情報漏洩の範囲が確定しました。BleepingComputerの報道によると、攻撃者は従業員のパスワードをソーシャルエンジニアリングによってリセットし、Citrix経由でネットワークに侵入。これにより、Windowsネットワークおよび同社のMicrosoftクラウドネットワークが侵害されたとされています。この時期、航空業界を標的としていた「Scattered Spider」との関連も指摘されていますが、公式な攻撃者の特定には至っていません。
漏洩した個人情報
今回のデータ侵害により、以下の種類の情報が攻撃者に露呈したことが確認されています（個人によって内容は異なります）：
- 氏名
- 生年月日
- 住所
- パスポートや政府発行IDなどの旅行書類
- リクエストされた宿泊施設
- 提出された苦情
- WestJetリワード会員ID、ポイント、その他の情報
- WestJet RBC Mastercard、WestJet RBC World Elite Mastercard、またはWestJet RBC World Elite Mastercardの情報（ただし、クレジットカード番号、有効期限、CVV番号、ユーザーパスワードは一切侵害されていません）
WestJetの対応
WestJetは、FBIが捜査に協力していることを明らかにし、同様の事件が将来発生しないよう、すべての適切な措置を講じたと述べています。また、影響を受けた顧客に対しては、無料の2年間個人情報盗難保護および監視サービスを提供しており、11月30日までに利用するよう促しています。同社は、同じ予約番号で旅行した他の個人にも情報共有を呼びかけており、事件の全容はまだ調査中であり、今回の通知は影響が確認された顧客向けであるものの、最終的な影響範囲はこれよりも広がる可能性があると付け加えています。