全日本空輸（ANA）は10月29日、旅客サービスシステムを委託するスペインのアマデウスITグループが不正アクセスを受け、ANA便の予約情報の一部が外部から参照された形跡があると発表した。10月30日には、影響の可能性がある顧客は約3万7800人に上り、うち約1700人についてはパスポート番号なども参照された恐れがあると明らかにした。日本航空（JAL）や韓国の航空会社でも同様の被害が確認されており、航空業界をまたぐ大規模な情報流出として注目を集めている。
何が起きたのか
ANAの発表によると、アマデウスは9月24日に航空予約情報への不正アクセスを検知したものの、この時点でANAへの報告はなかったという。10月16日、アマデウスを利用する他の航空会社で不正アクセスが確認されたとの情報を得たことから、ANAがアマデウスに対して自社便の予約情報への不正アクセスの有無を確認。10月20日にアマデウスから不正アクセスが検知された旨の報告を受け、個人情報保護委員会などの関係先に報告したとしている。
参照の形跡があったのは、2023年8月10日から2026年9月23日までにANA便を予約した利用者の一部。クレジットカード情報とパスワードは含まれていないと説明している。
参照された情報の内容
影響の可能性があるのは約3万7800人。このうち約3万6100人については、氏名、予約番号、搭乗日、搭乗区間、搭乗クラスの5項目が参照された形跡がある。
さらに約1700人については、上記の5項目に加えて、メールアドレス、電話番号、パスポート番号、国籍、マイレージ番号、航空会社、便名、航空券番号、座席番号なども参照された可能性があるとしている。氏名や予約情報に加え、本人確認に使える情報が含まれるケースがある点が、今回の被害の深刻さを物語っている。
JALや韓国勢にも広がるアマデウス被害
同じアマデウスを予約システムの委託先とする日本航空（JAL）は10月28日、約9万2000人分の個人情報が漏えいした可能性があり、うち約2000人についてはパスポート情報などを含むと発表している。大韓航空とアシアナ航空も10月23日に被害を公表した。
各社はそろって「クレジットカード番号やパスワードは含まれない」と説明しているが、予約番号や氏名といった基本情報が第三者に参照された点は共通している。同じシステムを使う複数の航空会社で同時に被害が出たことは、サプライチェーン全体のセキュリティ対策を問うものとなっている。
今、利用者ができること
ANAは、影響の可能性がある顧客に対して来週から順次連絡するとしている。同社はまた、ANAグループを装った不審なメールや電話、ウェブサイト、SNS上の広告などへの注意を呼びかけている。
パスポート番号などが含まれる約1700人の利用者にとっては、こうした情報を悪用したフィッシング詐欺やなりすましへの警戒が特に重要になる。心当たりのある場合は、ANAからの正式な連絡を待ち、不審な連絡には応じないことが基本となる。
なぜ注目すべきなのか
航空予約システムは、世界中の航空会社が共通基盤に依存する構造になっている。今回のように一社のシステムが狙われると、複数の航空会社・数十万人規模で影響が広がりうる。9月24日の検知からANAへの報告まで約1カ月を要した経緯についても、今後の調査と再発防止策が焦点となる。
関連記事：日本交通に不正アクセス、ハイヤー利用客ら約29万人分の個人情報流出の恐れ
