なぜJALも大韓航空もレゴランドのホテルも？ 予約情報への不正アクセスを「アマデウス」でつないでみた
| 項目 | 内容 |
|---|---|
| 対象 | 2026年9月〜10月29日に公表・報道された、アマデウスのシステムへの不正アクセスと脆弱性（航空会社向け・ホテル向け・旅行予約の表示環境の3件） |
| 結び付けの基準 | アマデウスとのつながりが、組織の公表文か報道に書かれているものだけを結んでいます。3件が同じ攻撃によるものかは公表されていません |
| 時点 | 2026年10月29日 |
| 情報源 | 各組織の公表と報道（表内にリンク）。航空会社の件は piyolog（10月28日）、ホテルの件は Tageskarte（9月23日）、表示環境の件は heise online（10月13日） も参照 |
2026年10月28日、日本航空（JAL）が予約情報への不正アクセスを公表しました。グループの日本トランスオーシャン航空（JTA）との連名で、対象は約9万2,000人です。その5日前には、韓国の大韓航空とアシアナ航空も予約番号などの流出を公表しています。10月29日には、全日本空輸（ANA）も予約情報に外部から参照された形跡があったと公表しました。
9月25日には、レゴランド・ジャパン・ホテルが予約1,557件への不正アクセスを公表しました。同じ9月には、ドイツやフランスのホテルも宿泊客に通知を出しています。
不正アクセスを受けたのは、どれもスペインのアマデウスのシステムです。アマデウスは、航空会社やホテルに予約のシステムを提供しています。委託先の被害を一覧にした記事で取り上げたIDCフロンティアやアルカディアと同じく、1社の被害がいくつもの組織の名前で報じられています。
ただし、被害が出た製品は航空会社向けとホテル向けで分かれます。ドイツでは、旅行予約の表示環境の脆弱性も報じられました。
アマデウスとは
Section titled “アマデウスとは”アマデウスは、スペインに本社を置く旅行業界向けのIT企業です。航空会社向けには、予約・発券・搭乗手続きをまとめて処理する旅客サービスシステムを提供しています。韓国のZDNet Koreaによると、約200の航空会社が使っています。
JALは2017年に、このシステムへ移行しました。日本経済新聞によると、ANAは2015年に国際線で使い始め、2026年5月に国内線も含めて一元化しました。
ホテル向けには「iHotelier」という予約システムを提供しています。ホテルの公式サイトで予約を受け付ける仕組みです。
利用者は航空会社やホテルのサイトで予約するため、アマデウスの名前を目にする機会はほとんどありません。当サイトが10月29日に確かめた範囲では、アマデウスのニュースリリースにも、9月〜10月のこれらの件の発表はありません。
3件の全体像
Section titled “3件の全体像”航空会社の旅客サービスシステム
Section titled “航空会社の旅客サービスシステム”- 公表した組織：10月23日に大韓航空・アシアナ航空、10月28日にJAL・JTA、10月29日にANA
- 韓国の2社は、アマデウスのアカウントの認証情報が使われたと説明
ホテルの予約システム
Section titled “ホテルの予約システム”- アマデウスは9月11日に、iHotelierにつながるAPIで普段と違う動きを検知
- 公表した組織：ドイツのMaritim、フランスの7Hotel & Spaなど
- レゴランド・ジャパン・ホテルは、製品名を出していない
旅行予約の表示環境
Section titled “旅行予約の表示環境”- アマデウスは9月21日に、旅行予約の表示環境の脆弱性を把握
- 利用組織の公表は確認できない
3件が同じ攻撃によるものかは、アマデウスも利用組織も公表していません。そのため、この記事では3件の件数を合算していません。
| 日付 | 出来事 |
|---|---|
| 9月11日 | アマデウスが、iHotelierにつながるAPIで普段と違う動きを検知 |
| 9月17日 | Maritimが宿泊客に通知（メール8,716通） |
| 9月21日 | アマデウスが、旅行予約の表示環境の脆弱性を把握 |
| 9月25日 | レゴランド・ジャパン・ホテルが公表 |
| 10月13日 | ドイツのheise onlineが、表示環境の脆弱性を報道 |
| 10月20日 | アマデウスが大韓航空・アシアナ航空に通知。ANAも同日に報告を受けたと報道 |
| 10月23日 | アマデウスがJAL・JTAに報告。大韓航空・アシアナ航空が公表 |
| 10月28日 | JAL・JTAが公表 |
| 10月29日 | ANAが公表。影響人数と項目は調査中 |
早見表（2026年9月〜10月）
Section titled “早見表（2026年9月〜10月）”10月29日時点の状況です。
旅客サービスシステム：航空会社の予約と搭乗手続き
Section titled “旅客サービスシステム：航空会社の予約と搭乗手続き”10/23から公表｜JAL・JTAの個別記事
- 起きたこと：予約情報の一部が、外部から参照された
- 手口：韓国の2社は、アカウントの認証情報が使われたと説明。JAL・JTAは非公表
- 期間：韓国の2社は、2023年8月〜2026年9月と推定
- アマデウスの対応：不正なアクセスの遮断や、ダークウェブの監視（大韓航空の説明）
| 組織 | 公表日 | 対象 | 対象の項目 |
|---|---|---|---|
| JAL・JTA | 10/28 | 約9万2,000人 | 予約番号・氏名・搭乗日など。うち約2,000人は、パスポート番号・国籍・連絡先なども |
| 大韓航空 | 10/23 | 非公表 | 予約番号。ほかの項目は確認中 |
| アシアナ航空 | 10/23 | 非公表 | 予約に関する情報。決済情報は対象外 |
| ANA | 10/29 | 調査中 | 予約情報に含まれる個人情報の一部。項目は調査中（テレビ朝日・TRAICYの報道） |
韓国の2社は、自社のシステムへの侵入は確認されていないとしています。クレジットカード番号などの決済情報は、JAL・JTAと韓国の2社が対象外と説明しています。
ホテルの予約システム：iHotelierなど
Section titled “ホテルの予約システム：iHotelierなど”9/17から通知｜Tageskarte（ドイツ語）
- 起きたこと：ホテルの予約リストが抜き取られた（Maritimの説明）
- アマデウスの説明：影響を受けた顧客は「ごく限られた数」で、数は非公表
- 手口：公表されていない
- 対象外：決済情報・パスワード・パスポート情報（各ホテルの説明）
| 組織 | 通知・公表 | 対象 | 対象の項目 |
|---|---|---|---|
| Maritim（ドイツのホテルグループ） | 9/17 | メール8,716通 | 連絡先・予約番号・滞在の内容など |
| 7Hotel & Spa（フランス） | 9月 | 非公表 | 予約の情報（アマデウスが不正アクセスを確認したと報道） |
| レゴランド・ジャパン・ホテル | 9/25 | 予約1,557件 | 氏名・メールアドレス・電話番号 |
iHotelierの名前を挙げて公表したのは、Maritimです。レゴランド・ジャパン・ホテルは、アマデウスが運営する「オンライン予約プラットフォーム」と公表しており、製品名は出していません。
Maritimは、2026年8月〜2027年9月の宿泊予約が対象になるとみています。まだ泊まっていない予約も含まれます。
旅行予約の表示環境：ドイツで報じられた脆弱性
Section titled “旅行予約の表示環境：ドイツで報じられた脆弱性”10/13報道｜heise online（英語版）
- 報じられたこと：認証なしで、アプリのメモリの写し（ヒープダンプ）を取り出せた
- heiseによると、その中に管理者のパスワードなどが含まれていた
- heiseが確かめた範囲では、予約を姓で検索でき、パスポート情報なども見えた
- アマデウスの説明：9月21日に把握し、修正済み。決済情報は対象外
- 利用組織の公表：確認できない
heiseは、確かめた予約の多くがルフトハンザ航空とコンドル航空の便だったと報じています。2社による公表は、当サイトでは確認できていません。不正に閲覧されたかどうかは、アマデウスが調べています。
1社の被害が、いくつもの名前で報じられる理由
Section titled “1社の被害が、いくつもの名前で報じられる理由”アマデウスは、利用している組織の名前を公表していません。ユミルリンクやアルカディアの件でも、委託先は利用組織の一覧を出していませんでした。このため、どの組織に影響が出たかは、利用する組織がそれぞれ公表して初めて分かります。新聞やテレビは、その組織の名前を見出しにして報じます。
通知を受ける時期も、組織によって違います。大韓航空・アシアナ航空とANAは10月20日、JAL・JTAは10月23日にアマデウスから知らされました。利用する組織が公表できるのは、委託先から通知を受けた後です。ファインズの予約システムの件では、四谷メディカルキューブが報告を受けたのは、委託先の公表から3週間後でした。
対象の予約は、数年前のものから、まだ先の宿泊予定まで及びます。JAL・JTAの対象は、2023年8月からシステム上にあった予約記録です。Maritimの対象には、2027年9月に泊まる予定の予約も含まれます。ファインズの件では、利用をやめた事業者の予約まで対象になりました。
自分が対象かを知るには
Section titled “自分が対象かを知るには”対象かどうかの連絡は、予約した航空会社やホテルから届きます。JAL・JTAは対象者に個別に連絡し、10月29日に専用の窓口を開きました。大韓航空も、分かっている対象者にメールで知らせています。
レゴランド・ジャパン・ホテルは、不審な連絡を受けたら返信せず、ホテルの予約窓口のメールアドレスに問い合わせるよう案内しています。ANAは影響の範囲を調べており、詳細が分かり次第、対象者に案内するとしています。
予約情報を使った連絡への備え
Section titled “予約情報を使った連絡への備え”手間いらずの件では、実際の氏名や宿泊日が書かれた詐欺メッセージが届きました。ドイツでも、ノルトライン・ヴェストファーレン州のデータ保護監督官が、盗まれたホテルの情報を使う詐欺に注意を呼びかけています。
利用者にできるのは、次のようなことです。
- 予約の確認や支払いは、公式アプリや公式サイトを自分で開いて行う
- 本物の予約番号や搭乗日が書かれていても、それだけで信用しない
- メールやSMS、WhatsAppのリンクから追加の支払いをしない
- カード番号やワンタイムパスワードは、聞かれても伝えない
- メールのリンクや添付ファイルは、送り主が分からなければ開かない
- 迷ったら、予約した航空会社やホテルの窓口に自分で問い合わせる
多くは、JAL・大韓航空・レゴランド・ジャパン・ホテルが利用者に出した案内と同じです。
出張の航空券や宿泊をまとめて手配している企業は、この内容を従業員にも伝えておきます。航空会社やホテルを名乗る不審な連絡の報告先を決めておけば、ほかの従業員に届いていないかを確かめられます。予約の仕組みを委託している組織ができることは、JAL・JTAの記事の対策にまとめています。
委託先の被害をまとめたほかの記事
Section titled “委託先の被害をまとめたほかの記事”- 委託先の被害で影響を受けた企業・自治体の一覧：2025年10月以降の19件
- ユミルリンクのメール配信：スマートEXやりそな銀行など18の企業・団体
- アルカディアの防災メール：防災メールの停止などを公表した115団体
予約の仕組みの委託先では、国内でも手間いらずの予約管理システムとファインズの予約システムの件がありました。
- ANAの対象人数と項目
- 大韓航空・アシアナ航空の対象人数と、予約番号以外の項目
- 旅客サービスシステムで使われた認証情報が、どう取得されたか
- iHotelierの件で影響を受けたホテルの数と、日本のホテルへの影響
- 3件の関係についての、アマデウスの説明
- 新たに影響を公表する航空会社やホテル
新しい公表があれば、この記事の表に追記します。
| 日時 | 内容 |
|---|---|
| 2026-10-30 | 公開 |
