JALとJTA、委託先アマデウスに不正アクセス予約情報約9.2万人分に参照の形跡

2026/10/30 続報を注視中重大運輸・物流 #不正アクセス #サプライチェーン

項目	内容
発生・公表日	委託先からの報告: 2026年10月23日 / 公表: 2026年10月28日（不正アクセスの日時は非公表）
対象組織・業界	日本航空株式会社（JAL、東京都品川区）・日本トランスオーシャン航空株式会社（JTA、沖縄県那覇市） / 航空
委託先・対象システム	アマデウス（Amadeus、スペイン）が提供する旅客サービスシステム（予約・発券・搭乗手続き）
対象	2023年8月10日〜2026年9月23日にシステム上にあった、JL・NU便名の予約記録の一部
影響件数	約9万2,000人（うち約2,000人はパスポート番号なども対象）
対象の項目（約9万人）	予約番号 / 氏名 / 搭乗日 / 搭乗区間 / 搭乗クラス
対象の項目（約2,000人）	上記に加え、メールアドレス / 電話番号 / パスポート番号 / 国籍 / マイレージ番号 / 航空会社 / 便名 / 航空券番号 / 座席番号
対象外	クレジットカード番号 / 各種パスワード
攻撃手法	委託先システムへの不正アクセス（手口は非公表）
情報源	JAL・JTA 公式発表（2026年10月28日） / Aviation Wire（2026年10月28日） / 日本経済新聞（2026年10月28日） / トラベルボイス（2026年10月28日） / piyolog（2026年10月28日）

概要

日本航空（JAL）は2026年10月28日、委託先のシステムへの不正アクセスを公表しました。グループの日本トランスオーシャン航空（JTA）との連名です。顧客の予約情報の一部が、外部から参照された形跡があったとしています。

委託先は、スペインのアマデウスです。両社は、予約・発券・搭乗手続きをまとめて処理する旅客サービスシステムを同社に委託しています。JALは2017年に、このシステムへ移行しました。

対象は約9万2,000人です。2023年8月10日〜2026年9月23日にアマデウスのシステム上にあった、両社の便名の予約記録の一部が該当します。期間は予約記録が保存されていた期間で、予約日や搭乗日の範囲とは異なります。

約9万人分の対象は、予約番号・氏名・搭乗日・搭乗区間・搭乗クラスです。残る約2,000人分は、これに加えてメールアドレス・電話番号・パスポート番号・国籍なども対象です。

両社によると、クレジットカード番号や各種パスワードの漏えいはありません。情報の不正使用は、現時点で確認されていないとしています。運航への影響もないと説明しています。

経緯

2026年10月20日: 大韓航空とアシアナ航空が、アマデウスから通知を受ける
2026年10月23日: JAL・JTAが、アマデウスから不正アクセスの報告を受ける
2026年10月23日: 大韓航空とアシアナ航空が、予約番号の流出を公表
2026年10月28日: JAL・JTAが公表。対象者への個別連絡と、なりすましへの注意を案内
2026年10月29日: JAL・JTAが専用の問い合わせ窓口を開設

不正アクセスがいつ起きたかは、公表されていません。アマデウスは、必要なセキュリティ対策を完了したとしています。

アマデウスのシステムへの不正アクセスは、韓国の2社も公表しています。2社は現時点の把握として、アマデウスのアカウントに付与された認証情報が使われたと説明しています。JAL・JTAは、手口を公表していません。

全日本空輸（ANA）も10月29日、予約情報の一部に外部から参照された形跡があったと公表しました。ANAは、影響人数と項目を調べています。アマデウスに関わるほかの公表は、まとめ記事で一覧にしています。

対策

本件のように委託先のシステムが不正アクセスを受けると、委託元はまず委託先の報告を待つことになります。報告を受けた後に誰の情報が開かれたかを確かめるにも、委託先が持つ記録が要ります。

そこで、顧客情報を委託先のシステムに置く場合は、2つのことを契約で決めておきます。ひとつは、異常に気づいてから委託元へ報告するまでの期限です。もうひとつは、委託元が受け取れるアクセス記録の中身です。

記録には、どのアカウントがいつ、どの顧客の情報を開いたかまで残っている必要があります。一般的な接続の記録には、どの顧客の情報を返したかまでは残らないことがあります。

この記録があれば、対象者の候補を絞り込む手がかりになります。委託先の調査を待つ間にも、対象者への連絡の準備を進められます。なお、通常の業務と同じ操作で開かれた場合は、記録だけでは見分けにくいことがあります。

ヤグラの視点 — 対策の完了後に残る、なりすましの連絡

本件のように委託先が対策を終えても、防げるのはこれから先の参照です。すでに参照された予約番号や氏名、搭乗日は取り戻せません。残るのは、これらを使ったなりすましの連絡です。本物の予約内容が書かれた連絡は、受け取った人が疑いにくいと考えられます。

こうした連絡は、出張で航空券を使う企業の従業員にも届きえます。そこで、航空会社や旅行会社を名乗る不審な連絡の報告先を、社内で1つに決めておきます。報告の対象には、メールに加えてSMSや電話も含めます。1人の報告をきっかけに同じ連絡がほかの従業員に届いていないかを確かめれば、二人目の被害を抑えられます。

PhishAIは、メールのほかSMSや電話での不審な連絡も報告として受け付け、AIが危険度を分析します。メールなら、同様のメールが社内の誰に届いたかまで自動で調べます。報告から影響範囲の確認までを縮める道具の一つです。（→ PhishAI）

今後の対応

不正アクセスの日時と手口
参照された情報が外部に持ち出されたかどうか
JALグループを装う不審な連絡の発生有無
ANAの対象人数と、アマデウスを使うほかの航空会社の公表

判明次第、この記事に追記します。

更新履歴

日時	内容
2026-10-30	第一報を公開