サイバーリスクに直面する航空業界 その背景にあるものは？：Cybersecurity Dive

民主主義防衛財団の報告書によると、航空業界はサイバー耐性を維持するための重大な脅威に直面しているという。この背景には何があるのだろうか。

[David Jones，Cybersecurity Dive]

　2025年4月10日（現地時間、以下同）に発表された民主主義防衛財団の報告書によると（注1）、航空業界は、サイバー耐性を維持するための重大な脅威に直面しており、老朽化した技術や時代遅れのソフトウェア、巧妙な攻撃者によるリスクの増大などの重要な問題に対処しなければならないという。

なぜ航空業界は深刻なサイバーリスクを抱えているのか？

　この報告書は、連邦航空局（FAA）に対し、サイバーレジリエンスに強く重点を置きながら、全米の航空管制システムを包括的に近代化するよう求めている。

　運輸保安局（TSA）は、FAAおよび米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）と連携し、民間および軍事の両方の目的で使用される主要なハブ空港に対して、脆弱（ぜいじゃく）性およびリスクに関する包括的な評価を実施すべきとしている。

　同報告書は、政府機関や民間企業が幾つかのサイバーセキュリティの欠陥に対処するための措置を講じてきたことを認めつつも、民間航空企業はフル稼働の状態にあり、システムへの負荷が拡大する脅威に対応する国の能力を上回っていると指摘している。

　民主主義防衛財団のサイバーおよび政策革新センターに所属するジウォン・マ氏（シニア・ポリシーアナリスト）は、電子メールで次のように述べている。

　「私たちは数十年前の航空システムに、24時間年中無休の運航を強いており、そのひずみが現れ始めている。サイバー攻撃が起こらないとしても、時代遅れの技術や脆弱なロジスティクスが、2022年にSouthwestに起こったような混乱や、2024年のCrowdStrikeのインシデントのような大規模な障害を引き起こす可能性がある」

　TSAはバイデン政権の国家サイバーセキュリティ戦略の一環として（注2）、2023年に航空セキュリティを強化するための幾つかの措置を講じた。

　FAAは、サイバー脅威への対策として採用している具体的な戦略についてのコメントは控えたが、広報担当者は同局のこれまでの実績を擁護した。

　FAAの広報担当者は、電子メールで次のように述べている。

　「当局は、国家航空システムをサイバーセキュリティの脅威から守るために包括的なアプローチを採用している。私たちは、連邦政府および民間企業の情報機関やセキュリティ専門家と緊密に連携し、システムに対する潜在的なリスクの特定と軽減に取り組んでいる」

　この報告書は重要なサプライチェーンへの脅威が高まり、航空業界を標的とする巧妙な攻撃が増加しているタイミングで発表された。

　2024年7月、CrowdStrikeによる不具合のあるソフトウェアアップデートが原因で約850万台の「Microsoft Windows」が動作不能となった。その結果、航空企業であるDelta Air Linesは数千便のフライトをキャンセルせざるを得なくなった。同社は損害賠償を求めて、CrowdStrikeに対し5億ドルの訴訟を起こしている（注3）

　シアトル空港は2024年8月、ランサムウェア「Rhysida」から数日間にわたる攻撃を受け（注4）、混乱に見舞われた。この攻撃により、シアトル・タコマ国際空港でのチケット発券やチェックイン、その他のサービスに影響が生じた。2025年4月の初め、港湾当局は攻撃によってデータが盗まれた職員および契約業者、その他関係者に対し、情報漏えいに関する9万件の通知書を送付した（注5）

　航空企業であるBoeingは2023年、「LockBit」による攻撃の標的となり、2億ドルの身代金を要求され、データが流出した。さらに2022年には、Boeingの子会社であり、フライトナビゲーションや運航計画を支援するツールを提供するJeppesenも別の攻撃を受けている。

（注1）Turbulence Ahead: Navigating the Challenges of Aviation Cybersecurity（CSC 2.0）
（注2）TSA unveils emergency cybersecurity requirements for airlines, airports（Cybersecurity Dive）
（注3）Delta, CrowdStrike file dueling lawsuits as squabble continues（Cybersecurity Dive）
（注4）Seattle airport cyberattack outages persist heading into Labor Day travel rush（Cybersecurity Dive）
（注5）Port of Seattle Providing Notice to Individuals Affected by Fall 2024 Cyberattack（Port of Seattle）

原文へのリンク