JAL・JTAの予約情報 延べ約9万2千人分が参照された形跡、委託先Amadeusへの不正アクセス

事案の概要データ

図解：この事故の構造

何が起きたのか

日本航空と日本トランスオーシャン航空は2026年10月28日、旅客サービスシステムの委託先であるAmadeus（アマデウス）のシステムが不正アクセスを受け、顧客の予約情報が外部から参照された形跡があると公表したと報じられました。

報道によれば、対象は延べ約9万2千人分です。

このうち約9万人分は、予約番号、氏名、搭乗日、搭乗区間、搭乗クラスです。約2千人分は、これに加えてメールアドレス、電話番号、パスポート番号、国籍、マイレージ番号などが含まれるとされています。

対象となる予約は2023年8月10日から2026年9月23日まで。3年分です。クレジットカード番号とパスワードは含まれず、運航への影響もないと報じられています。

Amadeusから報告を受けたのは10月23日です。侵入の日時や経路は公表されていません。

なお、本記事の時点では公式ページを確認できておらず、件数と内訳は報道にもとづきます。

パスポート番号と国籍が漏れる意味

約2千人分という数字は小さく見えます。しかし、含まれる情報が重いです。

パスポート番号は、国が発行する身分証明の番号です。氏名、国籍、生年月日とセットになると、本人になりすますための材料がそろいます。クレジットカードのように、簡単に番号を変えることはできません。

そして、この情報は本人確認の裏取りに使われます。「お客様のパスポート番号の下4桁は○○でよろしいですか」と言われれば、相手を本物だと信じてしまいます。

さらに、予約情報にはいつ、どこへ行ったかが記録されています。搭乗日、搭乗区間、搭乗クラス。これは本人の行動履歴です。

誰がいつ海外へ行ったか。誰と同じ便に乗ったか。ビジネスクラスを使う頻度。これらは、個人情報保護法の分類では機微情報ではありませんが、本人にとっては知られたくないことがあります。

業界共通の基盤が狙われている

Amadeusは、世界中の航空会社や旅行会社が使う旅客サービスシステムの提供元です。予約、発券、搭乗手続きといった業務の土台になっています。

つまり、この1社が破られると、使っている航空会社すべてに影響が出ます。日本航空と日本トランスオーシャン航空は、その利用者の一部です。

この構造は、2026年10月に繰り返し見てきたものと同じです。メール配信ではアルカディア、ユミルリンク、ブラストメール、ワイメール。運送では佐川急便の荷物問い合わせサービス。そして本件です。

業界共通の基盤は、効率がよいから使われます。各社が独自に作るより安く、速く、機能も豊富です。しかし同時に、壊れたときの影響範囲も共通になります。

中小企業も同じ構造の中にいます。クラウド会計、予約システム、POSレジ、グループウェア。どれも、多くの会社が同じサービスを使っています。

これは「使うな」という話ではありません。自社で作るより、専門の会社に任せたほうが安全なことのほうが多いからです。必要なのは、どのサービスに何を預けているかを把握しておくことです。

「預け先の一覧」を作る

今日できることを1つだけ挙げるなら、これです。自社が顧客情報を預けている外部サービスの一覧を作ってください。

項目は4つで足ります。サービス名／何のために使っているか／どんな情報を預けているか／何かあったときの連絡先。

Excelでもメモ帳でも構いません。30分あれば書けます。

この一覧があると、ニュースで「○○社に不正アクセス」と流れたとき、自社が関係あるかどうかが即座に分かります。ないと、担当者に聞いて回ることになり、数日かかります。

そして、契約しているサービスの数は、たいてい思っているより多いです。書き出してみると、「これ、まだ使っていたのか」というものが出てきます。使っていないサービスは解約してください。預けているデータも消してもらえます。

2026年10月だけで、共通基盤の事案は何件も起きました。次に起きたとき、自社が対象かを数分で判断できる状態にしておく。それがこの一覧の価値です。

利用者が注意すること

2023年8月10日から2026年9月23日の間にJAL・JTAを利用した方は、次の点に注意してください。

航空会社を装った連絡に応じない。 予約番号と氏名と搭乗区間を知っている相手から「予約内容の確認」と連絡が来れば、本物に見えます。これはフィッシングの材料としてよくできています。

マイレージ口座を確認する。 マイレージ番号が含まれる方は、身に覚えのない交換履歴がないか見てください。

パスポート番号が含まれる方は、自分名義の契約に注意する。 身に覚えのない郵便物や契約通知が届いたら、放置せず確認してください。

「返金」「補償」をうたうメールに注意。 大きな事案のあとには、補償を装う詐欺が必ず出てきます。公式サイトに自分でアクセスして確認してください。

時系列で見る経過

• 2023年8月10日〜2026年9月23日この期間の予約が対象（報道）
• （日時は未公表）委託先Amadeusのシステムが不正アクセスを受ける
• 2026年10月23日Amadeusから日本航空へ報告
• 2026年10月28日延べ約9万2千人分の予約情報が参照された形跡があると公表（報道）

中小企業が学ぶべきポイント

1. パスポート番号と国籍は、漏れてもカードのように作り直せない。なりすましの裏取りに使われる。
2. 予約情報には「いつ・どこへ行ったか」が残る。本人の行動履歴そのもの。
3. 業界共通の基盤は、効率がよい反面、壊れたときの影響範囲も共通になる。
4. 自社が顧客情報を預けている外部サービスの一覧を作る。サービス名／用途／預けている情報／緊急連絡先の4項目でよい。
5. 一覧があれば、ニュースが流れたときに自社が対象かを数分で判断できる。
6. 使っていないサービスは解約し、預けたデータも消してもらう。
7. 大きな事案のあとは「返金」「補償」を装う詐欺が出る。公式サイトに自分でアクセスして確認する。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope