TfLへのScattered Spider攻撃で1000万人に影響

ロンドン交通局（TfL）に対する2024年のScattered Spiderサイバー攻撃の規模は当初の想像よりはるかに広範囲で、ロンドンのバス、電車、地下鉄の乗客数百万人の個人データが影響を受けたことが判明した。

匿名のハッカーからデータベースのコピーを入手して精査したBBCによると、データには約1000万人の名前、電子メールアドレス、固定電話と携帯電話の番号、番地が含まれていたという。 Computer Weekly は、1,500 万行のデータを含むデータベースのコピーが破壊されたことを理解しています。

Scattered Spider は 2024 年 8 月に TfL のシステムに侵入し、事件は 9 月初めに明るみに出ました。TfL は対応と修復費用として数百万ドルの支払いを余儀なくされ、最終的に当局は約 4,000 万ポンドの請求に直面しました。

これは、TfL の中核サービスを実行する能力には影響しませんでしたが、サードパーティのアプリケーション プログラミング インターフェイス (API) や一般向けの Oyster サービスなどの技術サービスに重大な混乱を引き起こしました。

オーウェン・フラワーズとタルハ・ジュバイルと名付けられた2人のティーンエイジャーは、2025年9月に事件に関連した罪で起訴されてウェストミンスター治安判事裁判所に出廷した。本格的な裁判は今年後半に行われる予定だ。

TfLはComputer Weeklyに対し、2024年9月に盗まれたデータに関する情報を広く公表し、調査中ずっと顧客に情報を提供し続けていたと語った。

「当社のシステムと顧客データのセキュリティは当社にとって非常に重要であり、許可されたユーザーのみがアクセスできるようにシステムを継続的に監視し、それらを保護するために必要なすべての措置を講じ続けています」と広報担当者は述べた。

「事件当時、銀行口座番号やソートコードを含むオイスターカードの返金データの一部もアクセスされた可能性があることが分かっていたため、サポートを必要としている約5,000人の顧客を特定しました。予防措置として、私たちはできるだけ早くそれらの顧客に直接連絡し、サポートと彼らが講じることができる措置を提供しました。」

しかし、TfLは事件を公表する際に、電子メールアドレスを登録した700万人強にのみ連絡があり、それらの電子メールの約40％は開封されなかったとも述べ、何百万人もの人々がそもそも自分たちのデータが漏洩したことに気づいていないことを示唆している。

ESETのジェイク・ムーア氏は、この状況で最も驚くべき要素は、数百万人が侵害の影響を受けたということよりも、それが明るみに出るまでに18か月近くかかったということだと語った。

「1,000 万件の記録は、犯罪者にとって非常に貴重なデータセットであり、以前に公開されたデータと結合すると、決して削除されることのない宝の山になります」とムーア氏は述べています。

「データがまだ積極的に悪用されていないとしても、何年にもわたって取引され、詐欺に再利用される可能性が非常に高いです。

「何百万人もの一般人がこのようなサービスを毎日利用すると、その影響は組織そのものをはるかに超えて広がります。そのため、サイバー攻撃の規模に関する即時の透明性が非常に重要です」と同氏は述べた。 「したがって、TfL 口座に関連付けられた支払い情報を持っている人は、引き続き銀行取引明細書を注意深く監視し、予期しないメッセージに注意する必要があります。」

メールの見落とし

タリオンのケブン・ナイト最高経営責任者（CEO）は、これが組織にとってより広範に行動し、コミュニケーションを図る最も重要な機会であることを考えると、TfLから送信された通知メールのうち58％しか開封されなかったことが懸念されると述べた。

“彼らは [TfL] 「警察は、人々に警戒させるためにメールを送信していたことをもっと知らせるべきだった。行動を起こさないということは、彼らが事件の本当の規模を隠蔽しようとしていたことを暗示している可能性があり、それは危険であるだけでなく、非常に無責任でもある」と同氏は述べた。

「現在、これらの被害者の大部分は、データが侵害されたという事実についてまったく知らされていません。これでは、フィッシングメールの影響を受けやすくなっていたでしょう。」

ナイト氏はさらに、「これは政府関連組織に期待すべき類の行為ではない。バウンスバックメールが届いている場合、または侵害通知を人々が読んでいない場合は、他の通信手段が必要であることを意味する。被害者を完全に闇に放っておくことは解決策ではない。」と付け加えた。

次のステップ

このデータセットは広く悪用されていないようだが、今回の暴露を受けて、ESETのムーア氏は、電子メールや支払いの詳細をTfLアカウントにリンクしたことがある人は、予期せぬ着信連絡や、銀行やクレジットカードの明細書に記載された説明のない請求に細心の注意を払うべきだとアドバイスした。

データを保持している組織での侵害の影響を受ける消費者向けの詳細なガイダンスは、英国の国家サイバー セキュリティ センター (NCSC) から入手できます。

この記事は、TfL からの回答を組み込むために、3 月 6 日金曜日の 17:08 GMT に修正されました。