概要

予約・発券・搭乗手続きを処理する旅客サービスシステムの委託先Amadeus IT Groupから2026年10月23日に報告を受け、10月28日に公表した。対象は2023年8月10日から2026年9月23日の期間にAmadeusのシステム上に両社便名の予約記録を持っていた顧客の一部で、約9万人は予約番号・氏名・搭乗日・搭乗区間・搭乗クラス、約2,000人はこれらに加えメールアドレス、電話番号、パスポート番号、国籍、マイレージ番号、航空券番号、座席番号などが参照された。クレジットカード番号や各種パスワード、パスポート写真の漏えいはなく、不正使用や運航への影響は確認されていない。同じAmadeus経由で大韓航空・アシアナ航空も影響を公表しており、韓国の両社はAmadeusのシステムアカウントのログイン認証情報を利用した不正アクセスとしている。ANAも通知を受け確認中と報じられている。

経緯

経緯情報は未登録です。

原因

委託先Amadeusのシステムへの不正アクセス。韓国の航空会社の公表では、Amadeusのシステムのアカウントに付与されたログイン認証情報を利用した不正アクセスとされる。実際の不正アクセス発生日時は明らかにされていない。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

92,000

サービス停止

なし

金銭的被害

不明

対象システム

Amadeus 旅客サービスシステム

漏洩した情報

• 確認済み予約番号
• 確認済み氏名
• 確認済み搭乗日・搭乗区間・搭乗クラス
• 確認済みメールアドレス（約2,000人）
• 確認済み電話番号（約2,000人）
• 確認済みパスポート番号・国籍（約2,000人）
• 確認済みマイレージ番号（約2,000人）
• 確認済み便名・航空券番号・座席番号（約2,000人）

日本航空・日本トランスオーシャン航空の便名の予約記録の一部、合計約9万2,000人分が外部から参照された形跡。クレジットカード番号・パスワード・パスポート写真の漏えいはなく、不正使用や運航への影響は確認されていない。

対応

Amadeusは必要なセキュリティ対策を完了済みとされる。両社は対象顧客へ個別連絡し、JALグループを装った不審メール・電話・偽サイトへの注意喚起を行う。10月29日に専用問い合わせ窓口を開設。

• 委託先による必要なセキュリティ対策の実施
• 対象顧客への個別連絡
• なりすまし・フィッシングへの注意喚起
• 専用問い合わせ窓口の開設

教訓・対策

• 委託先の共通システムが侵害されると複数の航空会社の顧客情報に影響が及ぶため、委託先の認証管理を含むセキュリティ管理状況の確認が重要
• 長期間にわたる不正参照を検知できるよう、委託先システムのアクセス監視が必要

参考資料

1. Amadeus の旅客サービスシステムへの不正アクセスについてまとめてみた
   piyolog公開日: 2026-10-28報道二次情報取得日: 2026-11-01
2. JALとJTAが委託先アマデウスへの不正アクセスで予約情報約9万2000人分の漏えいを発表
   サイバーセキュリティ.com公開日: 不明報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

日本航空

関連するインシデント

関連付けられたインシデントはありません。