JAL・JTA ― 委託先アマデウスへの不正アクセスで予約情報が参照された

要点

発表された事実

日本航空（JAL）と日本トランスオーシャン航空（JTA）は2026年10月28日、予約・発券や搭乗手続きを処理する旅客サービスシステムの委託先、Amadeus IT Group, S.A.（アマデウス）から、同社システムへの不正アクセスで予約情報の一部が外部から参照された形跡があったと10月23日に報告を受けたと公表した（JAL）。
参照された形跡がある期間は2023年8月10日〜2026年9月23日（同）。
約9万名は予約番号・氏名・搭乗日・搭乗区間・搭乗クラス。約2,000名はこれに加えてメールアドレス、電話番号、パスポート番号、国籍、マイレージ番号、航空会社、便名、航空券番号、座席番号など。合計約9万2,000名（同）。
クレジットカード番号と各種パスワードの漏えいはない。アマデウスは必要なセキュリティ対策を完了しており、不正使用は確認されていない。運航への影響はない（同）。
対象者には個別に連絡し、10月29日に専用窓口を開設した（同）。
【2026-10-30追記】全日本空輸（ANA）も10月29日、アマデウスのシステムへの不正アクセスで、ANA便の予約情報に含まれる一部顧客の個人情報が外部から参照された形跡があると、アマデウスから報告を受けたと発表した。影響人数、情報の項目、時期は精査中で、判明次第対象者に知らせるとした。ANAは2015年4月から国際線で、2026年5月から国内線でもアマデウスのシステムを使っている（Aviation Wire、ITmedia NEWS）。
【2026-10-30追記】ANA経由でアマデウスの旅客サービスシステムを使うスターフライヤー、AIRDO、ソラシドエアも10月29日、自社便の予約の個人情報が参照された形跡があるとANAから報告を受けたと公表した。いずれも影響範囲を調査中（スターフライヤー、AIRDO、ソラシドエア）。
【2026-10-30夕追記】ANAは10月30日、影響は約3万7,800名と発表した。2023年8月10日〜2026年9月23日に予約した一部の顧客が対象で、約3万6,100名は氏名・予約番号・搭乗日・搭乗区間・搭乗クラス、約1,700名はこれに加えてメールアドレス、電話番号、パスポート番号、国籍、マイレージ番号、航空会社、便名、航空券番号、座席番号。カード情報とパスワードは含まれない。アマデウスは9月24日に検知していたがANAには報告しておらず、ANAは10月16日に他社の事案を知って問い合わせ、10月20日にアマデウスから報告を受けて個人情報保護委員会などに報告した。対象者には11月第1週から連絡する（Aviation Wire、トラベルボイス、時事通信）。
【2026-10-30夕追記】報道によると、アマデウスは関係する認証情報を無効化して監視を強めたとし、ランサムウェアやデータの改ざん・削除の形跡はなく、サービスの中断もないとしている（Aviation Wire、日テレNEWS）。

わかったこと

【2026-10-30】JAL・JTAのほか、国内ではANA、スターフライヤー、AIRDO、ソラシドエアも影響を受けたと各社が公表（各社の発表、Aviation Wire）
【2026-10-30】アマデウスは9月24日に不正アクセスを検知していた。ANAの影響は約3万7,800名（うち約1,700名はパスポート番号などを含む）で、参照の形跡がある期間はJALと同じ2023年8月10日〜2026年9月23日（Aviation Wire、トラベルボイス）

わかっていないこと

アマデウスのどのシステム（どの機能や環境）に、どの手口で入られたか
約3年間にわたって参照の形跡があるのに、いつ・どのように検知されたか（【2026-10-30夕追記】ANAによると、アマデウスは9月24日に検知していた。どのように検知したかは未公表）
約2,000名だけ参照された項目が多い理由
JAL・JTA以外にどの航空会社が影響を受けたか（アマデウスからの公式発表）（【2026-10-30追記】国内ではANA・スターフライヤー・AIRDO・ソラシドエアが公表した。アマデウス自身の発表はまだ確認できない）
【2026-10-30追記】ANAと、ANA経由の3社で対象となる人数と項目、参照された期間（【2026-10-30夕追記】ANAは約3万7,800名で項目と期間も公表した。スターフライヤー・AIRDO・ソラシドエアの人数は未確認）
【2026-10-30夕追記】アマデウスが9月24日の検知後、ANAにすぐ報告しなかった理由

関係しそうな既知の手口

（考察）韓国の報道では、大韓航空とアシアナ航空も同じアマデウスの件で通知を受け、アマデウスのシステム上のアカウントに割り当てられたログイン情報を使った不正アクセスとみられると伝えられている（The Korea Times）。JALの発表はこの点に触れていない。

概要

JAL・JTAの予約や搭乗手続きを処理するアマデウスのシステムに不正アクセスがあり、約3年分の予約記録の一部、約9万2,000名分が外部から参照された形跡があった。
大半は予約番号・氏名・搭乗日・区間・クラスで、約2,000名はパスポート番号や連絡先、マイレージ番号まで含む。
カード番号とパスワードは含まれず、アマデウスは対策を完了したとしている。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2023-08-10（木）〜2026-09-23（水）	予約記録が外部から参照された形跡がある期間（JAL）
2026-10-20（火）	大韓航空・アシアナ航空がアマデウスから通知を受けたと報道（同紙は「火曜日」と記載）（The Korea Times）
10-23（金）	アマデウスからJALへ報告（JAL）
10-28（水）	JAL・JTAが公表（同）
10-29（木）	専用窓口を開設（同）
10-29（木）	ANAが、アマデウスから自社便の予約情報の一部個人情報が参照された形跡があると報告を受けたと発表。人数・項目は精査中（Aviation Wire）
10-29（木）	ANA経由で同システムを使うスターフライヤー、AIRDO、ソラシドエアも、ANAから同様の報告を受けたと公表（各社）
10-30（金）	ANAが影響を約3万7,800名と発表。アマデウスは9月24日に検知、ANAは10月16日に他社の事案を知って問い合わせ、10月20日に報告を受けていたと説明。11月第1週から対象者に連絡（Aviation Wire、トラベルボイス）

発表内容の整理

事実（JAL・JTA、10月28日）

項目	内容
侵入されたシステム	アマデウスの旅客サービスシステム（予約・発券／搭乗手続きなどを統合的に処理）
期間	2023年8月10日〜2026年9月23日（予約記録が外部から参照された形跡がある期間）
対象	日本航空・日本トランスオーシャン航空便名の予約記録の一部
約90,000名	予約番号、氏名、搭乗日、搭乗区間、搭乗クラス
約2,000名	上記に加え、メールアドレス、電話番号、パスポート番号、国籍、マイレージ番号、航空会社、便名、航空券番号、座席番号など
含まれない情報	クレジットカード番号、各種パスワード
対応	アマデウスは必要なセキュリティ対策を完了。JALは対象者に個別連絡し、JALを装う不審メール・電話・偽サイトへの注意を呼びかける
窓口	0120-25-6050／03-4332-7280（海外から +81-3-4332-7280）、10月29日から、平日10:00〜17:00（日本時間）

事実（報道）

The Korea Timesは10月25日、大韓航空とアシアナ航空が前週の火曜日（10月20日）にアマデウスから通知を受け、予約情報が流出したと報じた。期間は2023年8月から先月（9月）までと推定され、正確な時期は調査中。アマデウスは不正アクセスを遮断し、ダークウェブを監視しているという。同紙によると、アマデウスのシステム上のアカウントに割り当てられたログイン情報を使った不正アクセスとみられている（The Korea Times）。

考察

期間の始まりが韓国の報道と同じ2023年8月であることから、JALの件も同じ一連の不正アクセスとみられる。ただしJALの発表は手口に触れておらず、韓国の報道でも「とみられる」段階で、断定はできない（考察）。

予約番号と氏名がそろうと、航空会社のサイトで予約の確認や変更ができる場合がある。また、搭乗日や区間を知っている者からの「予約に問題がある」という連絡は本物らしく見える。漏れた情報そのものより、それを使ったなりすましの連絡に注意が要る（考察）。

関係しそうな既知の手口

事実（既知の知見）

heiseは10月13日、読者からの情報提供をもとに、アマデウスの旅行予約システムでSpring Bootアプリのヒープダンプが認証なしで取得でき、そこに管理者パスワードを含む認証情報やトークンが含まれていたと報じた。乗客の氏名・生年月日・予約番号・パスポート情報なども見えたという。アマデウスは同紙に、9月21日に「旅行予約の表示用環境」に関する潜在的な脆弱性を把握し、修正したと説明している（heise）。

考察

この脆弱性とJALの件の関係は、JALもアマデウスも示していない。参照期間の終わり（9月23日）がアマデウスが脆弱性を把握した時期（9月21日）に近いが、それだけで同じ件とは言えない。航空会社の予約データが一つの事業者に集まっている以上、その事業者のアカウントや管理用の口が攻撃者にとって大きな的になることは確かだ（考察）。

利用者・運用者がいまできること

【2026-10-30追記】ANA・スターフライヤー・AIRDO・ソラシドエア便を予約した人も、各社からの案内を待ち、それまでは各社を名乗る連絡に同じ注意を払う。
2023年8月以降にJAL・JTA便を予約した人は、JALからの個別連絡を確認する。JALを名乗るメールやSMS、電話で予約番号やカード情報を求められても、リンクからは開かず、公式サイトやアプリから直接確認する。
マイレージ番号が含まれる人は、JALマイレージバンクのパスワードを見直し、不審なマイル利用がないか確認する。
予約システムなどを外部事業者に預けている企業は、その事業者側のアカウント管理やログの保存期間、通知の取り決めを契約で確かめておく。

参考リンク

原文をGitHubで読む ↗