史上最大級のCRM経由データ侵害が発生
2025年10月、航空業界を震撼させる大規模なサイバー攻撃が発生しました。悪名高いハッカーグループ「Scattered Lapsus$ Hunters」（別名：ShinyHunters、Scattered Spider、Lapsus$）が、Salesforceのプラットフォームを経由してカンタス航空とベトナム航空を含む計39社から、なんと9億845万件もの顧客記録を窃取したと主張しています。
この攻撃は、現代企業が直面するCRM（顧客関係管理）システムのセキュリティリスクを浮き彫りにする事件となりました。特に注目すべきは、攻撃者がSalesforceの脆弱性ではなく、ソーシャルエンジニアリングという人的要因を悪用した点です。
攻撃の詳細と被害状況
タイムラインと攻撃手法
フォレンジック調査の観点から、この攻撃の流れを詳しく見てみましょう：
- 10月3日：Scattered Lapsus$ Huntersがダークウェブで脅迫を開始
- 10月10日：予告通り6社分のデータを公開
- 10月12日：カンタス航空が公式にインシデントを発表
- 10月14日：ベトナム航空もインシデントを認める
攻撃者は、Salesforceユーザーに対する巧妙なソーシャルエンジニアリング攻撃を実行し、正規のアクセス権限を取得したと推測されます。これは、技術的な脆弱性を突くのではなく、人間の心理を操る手法です。
具体的な被害内容
カンタス航空
- 約153GB、500万件超のデータが流出
- 最大570万人の顧客情報が影響を受けた可能性
- 個人情報とロイヤリティプログラム関連データが含まれる
ベトナム航空
- 約63.62GB、2,300万件超のデータが流出
- 氏名、メールアドレス、電話番号、生年月日、会員番号が漏洩
- 決済情報、パスワード、旅程、パスポート情報は保護されたと発表
なぜCRM経由の攻撃が深刻なのか
顧客データの宝庫としてのCRM
現役CSIRTの立場から言えば、CRMシステムは攻撃者にとって「金脈」のような存在です。なぜなら：
- 大量の個人情報が一箇所に集約されている
- 行動パターンや嗜好まで詳細に記録されている
- 他のシステムとの連携により横展開の足がかりになる
- ビジネス機密も含まれることが多い
実際のフォレンジック調査では、CRM侵害が発覚した企業の多くで、攻撃者が長期間潜伏し、段階的にアクセス範囲を拡大していることが判明しています。
ソーシャルエンジニアリングの脅威
今回の攻撃で使われたソーシャルエンジニアリングは、技術的な防御を回避する高度な手法です。よくある攻撃パターンには：
- IT部門を装った電話でのパスワード確認
- 偽のセキュリティ警告メールでの認証情報詐取
- 同僚を装ったアクセス権限の要求
- 緊急事態を演出した情報提供の要求
これらの攻撃は、アンチウイルスソフト
だけでは防げないのが現実です。
企業が直面するリスクと対策
中小企業でも起こりうる被害事例
「うちは大企業じゃないから大丈夫」と思っていませんか？実は、中小企業こそ狙われやすいのです。フォレンジック調査で見えてきた典型的なケースをご紹介します：
製造業A社（従業員50名）の事例
- 営業担当者がフィッシングメールでCRMアカウントを奪取される
- 顧客リスト3,000件が競合他社に流出
- 復旧費用と賠償で約800万円の損失
サービス業B社（従業員30名）の事例
- 経理担当者のアカウント侵害から始まる
- 取引先情報と財務データが暗号化される
- 身代金要求と業務停止で約1,200万円の損失
効果的なセキュリティ対策
技術的対策
- 多要素認証（MFA）の導入：パスワードだけでなく、スマートフォンアプリやハードウェアトークンを併用
- アクセス権限の最小化：必要最小限の権限のみを付与する「最小権限の原則」
- 定期的なアクセスログ監査：異常なアクセスパターンの早期発見
- データ暗号化：保存時・転送時両方でのデータ保護
人的対策
- 定期的なセキュリティ教育：ソーシャルエンジニアリング攻撃への対処法
- フィッシング訓練：実際の攻撃メールを模した訓練の実施
- インシデント対応計画：被害発生時の迅速な対応手順の策定
個人でも企業でも、VPN
を使用してアクセス元を隠すことで、攻撃者による位置情報の特定を困難にできます。
個人がすべき緊急対策
カンタス航空やベトナム航空の会員でなくても、同様の攻撃は他の企業でも発生する可能性があります。今すぐ実行すべき対策をご紹介します：
即座に実行すべき対策
- パスワードの変更
- 航空会社のマイレージアカウント
- 関連するメールアカウント
- 同じパスワードを使用している他のサービス
- 多要素認証の有効化
- Gmail、Yahoo!メールなどの主要メールサービス
- 銀行・クレジットカードのオンラインサービス
- SNSアカウント
- フィッシングメールへの警戒強化
- 航空会社を装った偽メールの増加が予想される
- OTP（ワンタイムパスワード）を要求する偽サイトに注意
- 公式サイトのURLを直接入力してアクセス
長期的なセキュリティ強化
- パスワードマネージャーの導入：複雑で一意なパスワードの生成・管理
- 定期的なアカウント監査：使用していないサービスのアカウント削除
- クレジットレポートの確認：不正な口座開設や融資申し込みの有無をチェック
企業のWebサイトセキュリティ強化の重要性
今回の事件は、CRMだけでなく、企業のWebサイト全体のセキュリティ見直しの必要性も示しています。特に顧客情報を扱う企業では、Webサイト脆弱性診断サービス
の定期実施が不可欠です。
実際のフォレンジック調査でよく発見される脆弱性には：
- SQLインジェクション脆弱性：データベースへの不正アクセスが可能
- クロスサイトスクリプティング（XSS）：顧客のセッション乗っ取りが可能
- 認証バイパス脆弱性：管理者権限の不正取得が可能
- ファイルアップロード脆弱性：マルウェアの設置が可能
これらの脆弱性は、攻撃者がCRMへの入り口として悪用する可能性があります。
まとめ：多層防御でリスクを最小化
今回のカンタス航空・ベトナム航空のデータ侵害事件は、現代のサイバー攻撃の巧妙さと破壊力を如実に示しています。特に注目すべきは：
- 技術的脆弱性ではなく人的要因が攻撃の起点となったこと
- CRMという顧客データの中枢が狙われたこと
- 9億件を超える大規模な情報漏洩が発生したこと
企業は技術的対策と人的対策の両面から、多層防御体制を構築する必要があります。個人も、パスワード管理や多要素認証の徹底により、自身の情報を守ることが重要です。
サイバー攻撃は年々巧妙化しており、完全に防ぐことは困難です。しかし、適切な対策を講じることで、被害を最小限に抑えることは可能です。この事件を教訓として、今一度セキュリティ対策を見直すことをお勧めします。
