要点
- ANA と JAL が予約や搭乗手続きに使う Amadeus のシステムに不正アクセスがあり、ANA も、お客の一部の個人情報が見られた形跡があると Amadeus から報告を受けた（ANA は範囲をまだ調べている）。
- JAL は約9万2000人分を公表した。そのうち約2,000人分はパスポート番号や電話番号まで含まれる。
- ANA は人数も項目もまだ公表していない。航空会社を名乗る偽のメールや電話に気をつけたい。
何が起きたか
Amadeus はスペインの会社だ。航空券の予約、発券、搭乗手続きをまとめて扱う「旅客サービスシステム」を、世界の航空会社に提供している。このシステムに外から不正なアクセスがあった。
航空会社はそれぞれ Amadeus から知らせを受け、順に発表した。
- 大韓航空とアシアナ航空: 10月20日に知らせを受け、10月23日に発表した。大韓航空は、Amadeus のシステムのアカウントのログイン情報が不正に使われたと説明している。確認できた項目は今のところ予約番号だという。
- JAL と日本トランスオーシャン航空（JTA）: 10月23日に知らせを受け、10月28日に発表した。対象は約9万2000人。
- ANA: 10月29日に発表した。ANA の発表によると、Amadeus からの報告で「一部個人情報が参照された形跡がある」とされた。どこまで影響が及んだかは、ANA が Amadeus と組んで特定している最中だ。詳しいことが確かめられたら、対象の人に連絡するという。何人が対象で、どの情報が参照されたのかは、発表にまだ出ていない。
ここまでの内容は、どれも航空会社の発表によるものだ。
JAL の「約2,000人」と「約9万2000人」の関係
2つは別々の事件ではない。約9万2000人という全体の中に、見られた項目が多い約2,000人が含まれている。
- 約9万人: 予約番号、氏名、搭乗日、搭乗区間、搭乗クラス
- 約2,000人: 上の項目に加えて、メールアドレス、電話番号、パスポート番号、国籍、マイレージ番号、便名、航空券番号、座席番号など
悪用の被害は、JAL によると今の時点で確認されていない。漏れた情報の中に、クレジットカード番号や各種のパスワードは入っていないともしている。
対象になる時期
JAL によると、対象は2023年8月10日から2026年9月23日までに、JAL 便か JTA 便の予約記録があった人の一部だ。この日付は、読み違えやすい。Aviation Wire は、これを予約のデータが Amadeus 側に置かれていた期間だと伝えている。いつ予約したか、いつ乗ったかで区切った期間ではないということだ。大韓航空も、不正アクセスの時期を2023年8月から2026年9月ごろとみている。
日本の利用者への影響
国内の大手2社が両方とも当たっている。ANA にとって、Amadeus は付き合いの浅い相手ではない。国際線の予約は2015年からこのシステムで扱っている。国内線も、2026年5月に自社のシステムから Amadeus へ移った。ANA でどの便のどの時期の予約が対象かはまだ分からない。
漏れた情報そのものでお金を引き出されるわけではない。それでも、氏名と予約番号と搭乗日がそろうと、本物らしい偽の連絡を作りやすくなる。「〇月〇日の那覇行きのご予約について」のように、本当の予定を書いた偽メールが届くかもしれない。JAL も、JAL グループを名乗る怪しいメール、電話、偽サイトに気をつけるよう呼びかけている。
今すぐやること
- メールや SMS に書かれたリンクから、航空会社のサイトにログインしない。サイトはブックマークか公式アプリから開く。
- 「払い戻し」「予約の確認が必要」「マイルが失効する」などの連絡が来たら、いったん止まる。公式サイトに出ている電話番号に自分でかけて確かめる。
- JAL が対象者向けに開いた問い合わせ窓口は、JAL の公式サイトにある番号を使って連絡する。メールに書かれた番号は使わない。
- 2023年8月以降に ANA を使った人は、ANA の続報と ANA からの個別の連絡を待つ。ANA は対象の人に知らせるとしている。
- JAL で約2,000人の側に入っていると連絡を受けた人は、パスポート番号を聞き出そうとする連絡や、自分の名前を使った覚えのない申し込みに、特に気をつける。
背景
旅客サービスシステムは、多くの航空会社が一つの委託先に預けている。費用を抑えやすい反面、委託先で一度問題が起きると、何社ものお客の情報に同時に広がる。今回も、韓国の2社から日本の3社へと、数日ごとに発表が続いた。
大韓航空の説明どおり、正しいログイン情報が使われたのだとすれば、侵入というより「鍵を手に入れた誰かが正面から入った」形に近い。ログイン情報がどう盗まれたかは、まだ公表されていない。
技術者向けの詳細
- 提供元: Amadeus IT Group, S.A.（スペイン）の旅客サービスシステム（PSS）。予約、発券、搭乗手続きをまとめて扱う
- 原因: 大韓航空によると、Amadeus のシステムアカウントのログイン認証情報が不正に使われた。認証情報が漏れた経路は公表されていない
- 期間: JAL によると、2023年8月10日〜2026年9月23日にシステム上にあった JL 便と NU 便の予約記録の一部
- 通知と公表（いずれも2026年）:
- 大韓航空とアシアナ航空: 10月20日に通知を受け、10月23日に公表
- JAL と JTA: 10月23日に通知を受け、10月28日に公表
- ANA: 10月29日に公表
- 漏れていないとされるもの: クレジットカード番号、パスワード（JAL の発表による）。アシアナ航空は、決済の情報は含まれないとしている
- Amadeus の対応: JAL によると、必要なセキュリティ対策はすでに終えた。アシアナ航空によると、Amadeus は不正アクセスの遮断や、ダークウェブ（盗んだ情報が売買される闇サイト）の監視などの措置を進めていると報告してきた
- 社内向け: 航空会社や旅行会社を名乗るメールについて、社員の出張予定を手がかりにした標的型メールが来ることを想定し、注意を呼びかけておく