要点
- 予約システムを請け負う Amadeus への不正アクセスで、大韓航空・アシアナ航空、JAL、ANA、キャセイパシフィック、シンガポール航空、マレーシア航空が、お客の情報が見られたと公表した。
- 漏れたのは、主に氏名・予約番号・旅程だ。ごく一部の人は、パスポートの情報・メールアドレス・電話番号も含まれる。
- 本物の予約番号と旅程を書いた偽メールが届くと、見分けにくい。2023年8月から2026年9月に予約した人は、航空会社をかたる連絡に気をつけてほしい。
何が起きたか
Amadeus はスペインの IT 企業だ。たくさんの航空会社の予約・発券・チェックインの仕組みを請け負っている。前の記事では、JAL・JTA の約9万2,000人と、ANA の約3万7,800人の件を伝えた。アジアのほかの航空会社も公表している。韓国では2026年10月23日に、大韓航空とアシアナ航空の件が明らかになった。JAL は10月28日に、キャセイパシフィックは10月30日に公表した。ANA は、10月30日に影響を受けた可能性のある顧客の数を特定したと公表した。
キャセイパシフィックの2026年10月30日の発表によると、10月28日に Amadeus から知らせがあった。何者かが、Amadeus のシステム用アカウントに割り当てられたログイン情報を使って入り込み、予約データを見ていたという。キャセイパシフィックは、Amadeus がパスワードを変え、見張りを強めたとも書いている。
各社の公表は次のとおりだ。数え方は「人」と「予約の件数」で会社ごとに違う。
| 航空会社 | 規模 | 漏れた項目 | 対象の時期 |
|---|---|---|---|
| JAL・JTA | 約9万2,000人（約2,000人は項目が多い） | 氏名・予約番号・搭乗日・区間・クラス。約2,000人はメール・電話・パスポート番号・国籍・マイル番号なども | 2023年8月10日〜2026年9月23日 |
| ANA | 約3万7,800人（約1,700人は項目が多い） | JAL とほぼ同じ | 2023年8月10日〜2026年9月23日 |
| スターフライヤー | 人数は調べている | 氏名・予約番号・メール・電話・マイル番号・航空券番号・座席番号など | 2025年7月28日〜2026年9月23日 |
| キャセイパシフィック | 約5万3,000件の予約 | 予約番号・氏名・便の情報。一部はメール・電話・旅券などの情報・会員番号 | 2023年8月〜2026年9月 |
| シンガポール航空 | 約4万6,000件の予約（約620件は項目が多い） | 氏名・予約番号・旅程・クラス。約620件はメール・電話・旅券などの情報・KrisFlyer 番号 | 未確認 |
| 大韓航空・アシアナ航空 | 公表されていない | 予約番号など（韓国の報道による） | 2023年8月からとされる |
| マレーシア航空 | 公表されていない | 公表されていない | 2023年8月〜2026年9月（報道による） |
キャセイパシフィック、マレーシア航空、JAL、ANA、スターフライヤー、アシアナ航空、それに Amadeus は、クレジットカードなどお金の情報が見られた形跡はないとしている。Amadeus は The Record の取材に、欠陥は直したと答えた。被害者の総数は明かさなかった。
日本の利用者への影響
日本の旅行者に関わるのは、JAL・ANA だけではない。キャセイパシフィックやシンガポール航空などで予約した人も、それぞれの会社の数に入る。
上の数は、足し合わせないほうがよい。人と予約の件数で数え方が違うし、同じ人が何社にも入っている場合もありうるからだ。JAL・JTA の約9万2,000人は2社を合わせた数だ。ANA の約3万7,800人の中に、項目の多い約1,700人が入っている。ANA を通じて同じシステムを使うソラシドエアも、ANA と連携して影響の範囲を調べていると公表した。
今すぐやること
- 2023年8月から2026年9月に、上の航空会社で予約したかを思い出す。スターフライヤー・ANA・JAL・キャセイパシフィックは、当たる人に個別に連絡するとしている。
- 「予約に問題がある」「返金する」といったメールや SMS が来ても、中のリンクは開かない。公式のアプリか、自分で入力したサイトから予約を確かめる。予約番号や旅程が正しくても、本物とは限らない。
- カード番号・パスワード・ワンタイムパスワードを、メールや電話で求められても教えない。JAL とスターフライヤーは、自社をかたるメール・電話・偽のサイトに気をつけるよう呼びかけている。大韓航空は、出どころの分からないリンクや添付ファイルを開かないこと、個人情報の入力を求めるメッセージに気をつけることを呼びかけた。
- シンガポール航空は、近く旅行する人に、念のため予約番号を変えるよう連絡しているという。連絡が来たら、公式の窓口で手続きする。
- パスポートの情報が含まれたと知らされた人は、パスポートの写しを求める連絡にとくに気をつける。
背景
航空会社の多くは、予約の仕組みを Amadeus のような外の会社に任せている。そのため、委託先が1つ破られると、多くの航空会社のお客が一度に当たる。今回は正規のログイン情報が使われ、見られていた時期は約3年に及んだ。Amadeus 自身は、予約を表示する環境の欠陥と説明している。
2019年にも、Amadeus の予約画面の欠陥で、他人の予約が見えてしまう問題が研究者から報告された。2025年には Qantas でも、約600万件の顧客の記録が盗まれている。
技術者向けの詳細
- Amadeus は、予約を表示する環境に欠陥があったと説明している（The Record への回答）。ランサムウェアに使われた形跡はないとしている。
- キャセイパシフィックによると、入り口は「システムアカウントに割り当てられたログイン情報」だった。Amadeus はパスワードを変え、監視と検知を強めた。スターフライヤーも、使われた認証情報は無効にされたと書いている。
- 見られた時期は、ほとんどの会社で2023年8月〜2026年9月。最初の知らせは、大韓航空・アシアナ航空に10月20日、JAL に10月23日、キャセイパシフィックに10月28日に届いた。
- 委託先の予約データを使う会社は、次を見直すとよい。
- 委託先のサービス用アカウントのログイン情報をいつ変えたか
- IP の制限と、多要素認証をかけているか
- 予約データをまとめて読み出していないか、を見張っているか
- 漏れた予約番号と氏名があれば、航空会社のサイトで予約を開けることがある。予約番号を変える、本人確認を強めるといった手当てを考える。
- 各社の発表: キャセイパシフィック、スターフライヤー、ソラシドエア、JAL、ANA
