この記事のポイント
- 対象
- JAL・JTA便名の予約記録の一部：アマデウス提供の旅客サービスシステム
- 影響
- 約9万2,000人の予約情報に外部参照の形跡。約2,000人はパスポート番号等も対象。カード番号・各種パスワードの漏えいと運航への影響はないと説明。
- 推奨対応
- 対象者への個別連絡と公式発表を確認し、不審メール・電話・偽サイト誘導に注意する。問い合わせは専用窓口を利用する。
- 公表日
目次
日本航空（JAL）と日本トランスオーシャン航空（JTA）は2026年10月28日、旅客サービスシステムの委託先アマデウスへの不正アクセスにより、約9万2,000人の予約情報に外部から参照された形跡があると公表しました。対象者には個別連絡を行い、JALグループを装う不審メール・電話、偽サイトへの誘導に注意を呼びかけるとしています。
対象項目は二つの集団で異なり、約2,000人にはパスポート番号なども含まれます。一方、カード番号と各種パスワードの漏えいはなく、運航への影響もないと説明しています。利用者は対象通知と公式案内を確認し、問い合わせには専用窓口を使ってください。本稿は10月30日にJAL・JTAの公式発表を本文まで確認した事件ニュースです。
スポンサーリンク
約9万人と約2,000人では参照された項目が異なる
対象は、日本航空・日本トランスオーシャン航空便名の予約記録の一部です。約9万人について、予約番号、氏名、搭乗日、搭乗区間、搭乗クラスに参照された形跡があるとしています。さらに別の約2,000人は、これらに加えてメールアドレス、電話番号、パスポート番号、国籍、マイレージ番号、航空会社、便名、航空券番号、座席番号などが対象です。
合計は約9万2,000人ですが、全員についてパスポート番号や連絡先が対象という発表ではありません。反対に、予約番号や搭乗情報だけの集団も、何も影響がないわけではありません。自分に該当する項目は全体の数字から推測せず、個別連絡の内容と公式窓口で確認する必要があります。
参照の形跡がある期間と報告日を区別する
公式発表が示す「予約記録が外部から参照された形跡がある期間」は、2023年8月10日から2026年9月23日です。これは公表日でも、単に利用者が航空券を買った日付の範囲でもありません。対象はあくまで予約記録の一部であり、期間中のすべての予約や搭乗者が対象と説明されているわけではありません。
両社がアマデウスから報告を受けたのは10月23日、公表日は28日です。委託先は予約・発券と搭乗手続きなどを統合的に処理する旅客サービスシステムを提供しています。確認した発表には、攻撃者、具体的な侵入経路、脆弱性、外部参照の方法は記載されていません。特定のやによる攻撃と結び付けることはできません。
スポンサーリンク
カード番号とパスワードの漏えいはないとの説明
JAL・JTAは、クレジットカード番号ならびに各種パスワードの漏えいはないと明記しています。また、アマデウスは必要なセキュリティ対策を完了しており、公表時点で当該情報が不正使用された事実は確認されていないとしています。本件による運航への影響もありません。
この説明は、予約情報への外部参照の形跡がなかったという意味ではありません。カード番号やパスワード以外にも氏名、旅程、予約番号などが対象です。一律のカード再発行やパスワード変更、航空券の取り直しを求める案内は、今回確認した公式発表にはありません。必要な手続きを、非公式な連絡だけを根拠に追加しないようにしてください。
対象者への個別連絡と専用窓口を確認する
両社は対象者へ今後個別に連絡し、不審メール・電話や偽サイトへの誘導への注意喚起を含め、必要な対応を行うとしています。専用問い合わせ窓口は10月29日から開設し、日本国内は0120-25-6050または03-4332-7280、海外は+81-3-4332-7280です。受付は日本時間10時から17時まで、土日祝日を除きます。利用前に公式ページで最新の案内を確認してください。
ここからは本サイトの提案です。予約変更や払い戻しを名乗る連絡が届いても、文面中のリンクだけで手続きを始めず、普段使う公式サイト・アプリから予約を確認します。問い合わせのためにパスポート番号や予約情報をSNSへ公開することも避けてください。これは便乗被害を防ぐための提案であり、今回そのような詐欺が実際に確認されたという説明ではありません。
スポンサーリンク
委託先の対策完了と利用者への通知は別の工程
今回の発表では、アマデウス側の必要な対策は完了している一方、対象者への個別連絡は今後行うと説明しています。技術的な対処が終わったことと、全利用者が自分の対象項目を把握できたことは同じではありません。今後は個別案内と追加公表を確認し、今回示された人数・項目・確認時点を保ったまま判断することが重要です。
法人の出張手配担当者には、社内の搭乗者へ公式の確認先を共有し、通知を受けた人の対応を個別に支援することを提案します。自社が保持する旅程表をそのまま第三者へ送り直したり、すべての予約を被害対象と扱ったりせず、公式に通知された範囲を基準にしてください。
関連記事
楽天トラベルの2件の不正アクセスと対象情報の整理は別の事件です。旅行関連でも予約者・ログイン利用者などで対象が異なるため、同一原因や同一被害として扱わず、それぞれの公式通知を確認します。
