空港運営大手MAGに不正アクセス、Wi-Fi登録者情報も流出
英国最大の空港運営会社マンチェスター・エアポーツ・グループ（MAG）が、大規模なサイバー攻撃の被害を受けたことが明らかになりました。
米セキュリティ専門メディアのセキュリティ・アフェアーズや英IBタイムズ、英ザ・レジスターなどの報道によると、傘下のマンチェスター、ロンドン・スタンステッド、イースト・ミッドランズという英国3空港を通じて、最大870万人分の顧客データに第三者が不正アクセスしたとみられています。
夏の旅行シーズン真っ只中に発覚した今回の攻撃は、空港という重要インフラの個人情報管理のあり方に警鐘を鳴らしています。
何が流出したのか——870万人分のデータ
MAGによると、今回の不正アクセスで流出した可能性があるのは、メールアドレスや電話番号、車両登録番号、郵便番号などです。
具体的には、駐車場予約やラウンジ予約、優先セキュリティ通過サービス「ファストトラック」の予約情報に加え、空港内Wi-Fiの利用登録時に入力した情報も対象に含まれます。
一方でクレジットカードなどの決済情報やパスポート番号は同システムに保存されておらず、流出は確認されていません。
MAGは3空港合計で年間6630万人（2026年3月期実績）が利用する英国最大の空港グループであり、被害規模の870万人という数字は利用者の8人に1人以上に相当します。
影響を受けたのは主に、オンラインで各種サービスを予約した利用者や空港Wi-Fiに接続登録した利用者とみられています。
英国のデータ保護法では氏名や連絡先も「個人データ」として厳格な保護対象となっており、決済情報が無事だったとしても法的な報告義務が免除されるわけではありません。
今回のように大量の連絡先情報がまとめて流出した場合、被害者本人が気づかないうちに巧妙ななりすましメールの標的にされるケースが少なくありません。
侵入の手口とMAGの迅速な対応
英ザ・レジスターの報道によると、攻撃者はMAGの一つのシステムに侵入し、そこから第三者データベースに保存されていたファイルを窃取したとされています。
攻撃は8月22日から23日にかけての週末に発生し、MAGが不審な動きを検知したのは8月25日でした。
一般への公表は8月27日で、検知からわずか2日というスピード対応となりました。
MAGは外部のサイバーセキュリティ専門家と連携するとともに関係当局に通報し、影響範囲の特定を進めています。
予防措置として、オンラインの予約変更サービス「マネージ・マイ・ブッキング」を一時停止し、代わりに専用の電話窓口を設けて対応しました。
なお空港の運航自体には影響がなく、既存の予約も引き続き有効だとしています。
侵入経路の詳細は公表されていませんが、空港のような大規模組織では駐車場予約や会員プログラムなど複数のベンダーシステムが連携しており、一つの弱点が全体に波及しやすい構造的な課題がしばしば指摘されます。
検知から公表までをわずか2日に抑えた今回の対応は、英国の個人情報保護法制で求められる当局への迅速な報告義務を踏まえた動きだったといえます。
身代金要求とMAGの決断
攻撃者はMAGに対して身代金の支払いを要求しましたが、MAGはこれを拒否したことが英ザ・レジスターの取材で明らかになっています。
同メディアによると、今回の要求額は攻撃グループが通常求める水準よりも低かったとされています。
英国の個人情報保護を所管する情報コミッショナー事務局（ICO、日本の個人情報保護委員会に相当する規制機関）は、攻撃グループに不必要な注目を与えないよう、身代金の具体的な要求内容や攻撃グループ名を公表しないようMAGに要請したといいます。
これは近年、身代金要求型サイバー攻撃（ランサムウェア攻撃、データを盗んだり暗号化したりして金銭を要求する手口）への対応として各国当局が推奨する姿勢とも重なります。
英国立サイバーセキュリティセンター（NCSC）も、利用者に対し不審なメールやメッセージ内のリンクを不用意にクリックしないよう呼びかけています。
身代金を支払わない企業が増える一方で、攻撃側はデータを闇市場で転売したり被害者本人へ直接連絡して脅迫したりする「二重恐喝」と呼ばれる手口に移行する傾向も指摘されています。
なぜ空港が狙われるのか——考察
空港は航空券や駐車場、ラウンジ、Wi-Fiなど多岐にわたるサービスを提供しており、その分だけ多くの個人情報を保有しています。
しかも旅行者は移動中で不安になりやすく、偽の確認メールや「予約変更」を装ったフィッシング詐欺（正規の企業や機関を装って個人情報をだまし取る手口）に引っかかりやすいという弱点があります。
今回流出したメールアドレスや電話番号、車両登録番号だけでも、氏名や渡航予定と組み合わせれば十分に狙い撃ちの詐欺に悪用され得ます。
特に空港駐車場に登録した車両登録番号は、現地でのなりすましや車上荒らしの標的特定にも転用されかねない情報として警戒が必要です。
英国では過去にも大手小売企業やIT企業を狙った大規模なサイバー攻撃が相次いでおり、重要インフラに準じる空港も例外ではないことが今回改めて示された形です。
身代金を拒否したMAGの対応は、攻撃者への資金供給を断つという点で評価される一方、流出データそのものが闇市場に出回るリスクは残ります。
マンチェスター空港は日本を含むアジア各都市への直行便も就航する英国北部の玄関口であり、今回の流出には日本人渡航者の情報が含まれている可能性も否定できません。
空港とサイバー攻撃をめぐる背景
英国では2026年に入り、複数の重要インフラや大手企業を標的にしたサイバー攻撃が相次いで報じられています。
例えば発電所を狙った攻撃では国家の関与が疑われるケースもありましたが、今回のMAGへの攻撃は金銭目的の犯罪グループによるものとみられ、動機が異なります。
航空業界では過去にも予約システムや会員データを狙った攻撃が世界各地で発生しており、旅行関連企業のサイバーセキュリティ投資が課題となっています。
英国政府は重要インフラに準じる企業へのサイバーセキュリティ報告義務の強化を検討しており、今回のMAGの事例がその議論を後押しする可能性があります。
日本でも訪日客・出国者向けサービスを提供する企業にとって、海外の同種事例は他人事ではありません。
まとめ——今後の注目点
今回のMAGへの攻撃は、英国史上最大級となる870万人規模の個人情報流出事件として記録されました。
決済情報こそ守られたものの、フィッシング詐欺への悪用が今後懸念されます。
MAGや当局による追加の被害状況発表、そして攻撃グループの特定が今後の焦点です。
空港以外の交通・旅行関連サービスでも同様の対策強化が急がれるでしょう。