ニュース｜社会・くらし
Amadeus不正アクセスの影響を公表した航空会社一覧｜国内外12社
世界の多くの航空会社が予約・発券のシステムを預けているスペインのAmadeus（アマデウス）で不正アクセスが見つかり、航空会社が相次いで影響を公表しています。日本ではJAL・JTAが約9万2,000人、ANAが約3万7,800人。ANA経由で同じシステムを使う国内の5社も報告を受けたと発表しました。各社の公式発表を1社ずつ読み、公表日・人数・参照された項目を一覧にまとめました。
この記事の要点
- 11月1日時点で影響を公表した航空会社は、当サイトが確認できた範囲で国内8社・海外4社の計12社です。
- 人数を公表したのはJAL・JTA（約92,000人）とANA（約37,800人）で、合わせて約129,800人。このうち約3,700人はパスポート番号・メールアドレス・電話番号なども参照された形跡があります。キャセイパシフィック航空は約53,000件の予約（人数ではない）と発表しています。
- 公表した各社は、クレジットカード番号やパスワードは含まれない、または参照された証拠はないとしています。一方で、予約番号・氏名・便名は本物らしい偽メールの材料になりえます。
- ANAによると、Amadeusが不正アクセスを検知したのは9月24日。JALが報告を受けたのは29日後の10月23日、JALの公表は34日後の10月28日でした（当サイト計算）。
人数・件数は各社の公式発表（キャセイはロイター報道）。合計・日数は当サイトの計算です。
Amadeusで何が起きたのか
Amadeusは、航空会社の予約・発券・搭乗手続きをまとめて処理する「旅客サービスシステム（PSS）」などを提供するスペインの航空IT大手です。ZDNet Koreaは、世界の約200社の航空会社が使っていると報じています。Aviation Wireによると、JALは2017年11月にAmadeusのシステムへ移行しました。
アシアナ航空の発表（10月23日）は、原因を「Amadeusのシステムのアカウントに付与されたログイン認証情報を使った、権限のないアクセス」としています。アシアナ航空の説明では、アカウントに与えられた認証情報が悪用された形です。ANAの発表は、この認証情報はすでに無効化され、監視が強化されたとの報告をAmadeusから受けたとしています。
Amadeus自身はロイターの取材に対し、「旅行予約の表示環境に影響する脆弱性」を把握したと説明しましたが、影響を受けた航空会社や利用者の数には答えていません。ランサムウェア（身代金要求型ウイルス）に悪用された兆候はないとしています。Amadeusの公式ニュースルームの発表一覧には、11月1日時点で本件のプレスリリースは見当たりませんでした。
「期間」は予約日でも搭乗日でもない
JALが示す「2023年8月10日から2026年9月23日」は、Aviation WireによるとAmadeusのシステム上に予約情報が存在していた期間で、予約・購入日や搭乗日ではありません。この期間にJALかANAを予約しただけで対象になるわけではなく、対象は「一部のお客さま」です。
影響を公表した航空会社一覧（11月1日時点）
各社の公式発表を1社ずつ確認しました。日付は各社のお知らせに記載された日付です。キャセイパシフィック航空とマレーシア航空は、公式ページの発表を確認できなかったため報道によります。
日本の航空会社（8社）
| 航空会社 | 公表日 | 対象 | 参照された形跡がある項目 | カード情報 |
|---|---|---|---|---|
| 日本航空（JAL）・日本トランスオーシャン航空（JTA） | 10月28日連名の公式発表 | 約92,000人 | 約90,000人：予約番号・氏名・搭乗日・搭乗区間・搭乗クラス 約2,000人：上記に加え、メールアドレス・電話番号・パスポート番号・国籍・マイレージ番号・航空券番号・座席番号など |
含まれないパスワードも含まれない |
| 全日本空輸（ANA） | 10月29日（第一報）・30日（人数）公式発表 | 約37,800人 | 約36,100人：氏名・予約番号・搭乗日・搭乗区間・搭乗クラス 約1,700人：上記に加え、メールアドレス・電話番号・パスポート番号・国籍・マイレージ番号など |
含まれないパスワードも含まれない |
| スターフライヤー | 10月29日（30日更新）公式発表 | 一部（人数は確認中） | 氏名・予約番号・搭乗日・搭乗区間・搭乗クラス・メールアドレス・電話番号・マイレージ番号・航空券番号・座席番号など（2025年7月28日〜2026年9月23日の予約） | 含まれない |
| ソラシドエア | 10月29日公式発表 | 調査中 | ANAから「予約の個人情報が参照された形跡がある」と報告。影響範囲を特定中 | － |
| AIRDO | 10月30日公式発表 | 調査中 | ANAから「当社のお客様の一部個人情報が参照された形跡がある」と報告。影響範囲を特定中 | － |
| アイベックスエアラインズ | 10月30日公式発表 | 調査中 | ANAから「Amadeus社が管理する個人情報が参照された形跡がある」と報告。影響範囲を特定中 | － |
| オリエンタルエアブリッジ（ORC） | 10月30日公式発表 | 調査中 | ANAから「予約の個人情報が参照された形跡がある」と報告。影響範囲を特定中 | － |
海外の航空会社（4社）
| 航空会社 | 公表日 | 対象 | 参照・流出が確認された項目 | カード情報 |
|---|---|---|---|---|
| 大韓航空（韓国） | 10月23日ZDNet Korea | 一部の顧客 | 予約番号（ほかの項目はAmadeusを通じて確認中） | 含まれないZDNet Korea |
| アシアナ航空（韓国） | 10月23日公式発表 | 一部の顧客 | 予約番号（ほかの項目はAmadeusを通じて確認中） | 含まれないZDNet Korea |
| キャセイパシフィック航空（香港） | 10月30日ロイター | 約53,000件の予約 | 多くは予約番号・氏名・便の情報。一部はそれ以外の個人情報も | 証拠なし |
| マレーシア航空 | 10月31日Malay Mail | 非公表 | 2023年8月〜2026年9月にAmadeusで処理された一部の顧客情報（項目は非公表） | 証拠なし |
「含まれない」は各社が含まれないと明記したもの、「証拠なし」は参照された証拠はないとしたもの。「－」は発表に記載がないもの。大韓航空の公式のお知らせは当サイトの環境で表示できなかったため、ZDNet Korea（10月24日）の報道によります。マレーシア航空の公表日は、Malay Mail（11月1日）が「昨日の声明」と報じたことから10月31日としました。
ANA経由の5社は「人数・項目を調査中」
スターフライヤー・ソラシドエア・AIRDO・アイベックス・オリエンタルエアブリッジは、いずれもANA経由でAmadeusのシステムの提供を受けていると説明しています。スターフライヤー以外の4社は11月1日時点で人数も項目も示しておらず、「詳細が確認でき次第お知らせ」としています。これらの便を予約した人は、各社の続報を確認してください。
数字で見るAmadeus不正アクセス
パスポート番号まで見られたのは対象者の2〜5%
人数を公表したJAL・JTAとANAの発表を足すと、対象は約129,800人です。参照された項目は2段階に分かれていて、大半は「予約番号・氏名・搭乗日・区間・クラス」の5項目ですが、JALで約2,000人（対象の2.2%）、ANAで約1,700人（同4.5%）は、メールアドレス・電話番号・パスポート番号・国籍・マイレージ番号まで参照された形跡があります。2社の合計で約3,700人です（当サイト計算）。
検知から報告まで約1か月
Aviation WireがANAの説明として伝えたところでは、Amadeusは9月24日に不正アクセスを検知しましたが、その時点でANAには報告がありませんでした。ANAは10月16日に「ほかの航空会社で不正アクセスが確認された」との情報を得て自ら照会し、10月20日に報告を受けて個人情報保護委員会などへ報告しています。大韓航空とアシアナ航空も10月20日の夜に通知を受けました。検知の日から数えると、韓国2社とANAへの通知は26日後、JALへの報告は29日後です（当サイト計算）。
- 2023年8月10日期間の始まりJAL・ANAが示す「参照された形跡がある期間」の始まり。終わりは2026年9月23日で、通算1,141日。
- 2026年9月24日Amadeusが検知ANAの説明（Aviation Wire）。この時点で航空会社への報告はなかった。
- 10月16日ANAが他社の被害を知る他社で不正アクセスが確認されたとの情報を得て、ANAがAmadeusに照会。
- 10月20日航空会社へ通知大韓航空（22時44分）とアシアナ航空（22時49分）が通知を受ける。ANAも同日に報告を受ける。
- 10月23日韓国2社が公表・JALに報告大韓航空・アシアナ航空が予約番号の流出を公表。同じ日にJALがAmadeusから報告を受ける。
- 10月28日JAL・JTAが公表約92,000人。うち約2,000人はパスポート番号なども。
- 10月29日ANA第一報・国内各社ANAが第一報。ソラシドエア・スターフライヤーも公表。
- 10月30日ANAが人数を公表約37,800人。AIRDO・アイベックス・ORCも公表。キャセイパシフィック航空は約53,000件の予約と発表。
- 10月31日マレーシア航空一部の顧客情報が影響を受けた可能性があると声明（人数は非公表）。
なお、スターフライヤーが示した対象期間は2025年7月28日から2026年9月23日までの423日間で、JAL・ANAより短くなっています。理由は発表に書かれていません。
予約番号と氏名が知られると何が起きる？
航空券の予約は「PNR（パッセンジャー・ネーム・レコード）」と呼ばれる記録で管理されています。TechCrunch（2019年1月）は、多くの航空会社のサイトで姓と予約番号の2つだけで予約の確認や変更の画面に入れると指摘しました。搭乗券のバーコードにも予約番号が入っていると伝えています。
今回参照された形跡があるのは、まさに「予約番号と氏名」の組み合わせです。各社は、11月1日時点で情報が不正に使われた事実は確認していないとしています。そのうえで、JAL・ANAとも自社を装った不審なメール・電話・偽サイトへの注意を呼びかけています。便名や搭乗日まで正確に書かれた連絡は本物に見えやすく、次のような手口が考えられます。
- 「お詫びの補償」「返金手続き」をうたい、偽サイトでカード番号を入力させる
- 「予約に問題がある」「パスポート情報の再登録が必要」と不安をあおり、個人情報を聞き出す
- マイレージ番号を手がかりに、マイレージ口座へのログインを試みる
カード番号が漏れていないのに「カード番号を確認したい」は不自然
公表した各社は、クレジットカード番号やパスワードは含まれない（または参照された証拠はない）としています。この件を理由にカード番号や暗証番号、パスワードを求める連絡が来たら、まず疑ってください。
航空会社の利用者が今やること
- まず自分が対象か確認する。JALは対象者に予約時のメールアドレスで連絡済み、ANAとスターフライヤーは順次連絡するとしています。連絡が来ていない場合や不安な場合は、JALなら専用窓口（国内0120-25-6050／03-4332-7280、平日10〜17時）、スターフライヤーはSF CALL CENTER（0570-07-3200）へ。番号は必ず公式サイトで確かめてからかけてください。
- メールやSMSのリンクから開かない。予約の確認は、公式アプリかブックマークした公式サイトから。差出人名やドメインが本物に見えても、リンク先は偽物のことがあります。
- 予約の中身を確認する。今後の予約がある人は、便・座席・連絡先・マイレージ番号が勝手に変えられていないか、公式アプリで見ておくと安心です。
- マイレージのパスワードを見直す。マイレージ番号が対象になった人は特に、ほかのサービスと同じパスワードを使い回していないか確認し、使える場合はログイン通知や2段階認証を設定します。
- 搭乗券や予約画面の写真をSNSに載せない。今回の件に限らず、予約番号と氏名がそろうと予約の画面に入られるおそれがあります。
- 不審な連絡は報告・相談する。フィッシングと思われるメールはフィッシング対策協議会の報告ページの案内に従って転送できます。お金を払ってしまった、カード番号を入力してしまった場合は、すぐカード会社に連絡し、警察庁のサイバー犯罪の相談窓口の案内に沿って警察にも相談してください。
航空会社を名乗るメールやSMSのリンクを開かないのが基本ですが、うっかり開いたときの備えとして、詐欺サイトへのアクセスを警告する機能を持つセキュリティソフトを入れておく方法もあります。
航空会社の情報漏えい年表：BA・キャセイ・SITA
航空会社の顧客情報が、委託先のシステムや自社サイトから漏れた例はこれまでもありました。一次資料や信頼できる報道で確認できたものをまとめます。
| 時期 | 会社 | 規模 | 内容 |
|---|---|---|---|
| 2018年9月 | ブリティッシュ・エアウェイズ（英国） | 429,612人（英当局の最終認定） | サイトとアプリで予約した利用者の個人情報と決済情報が盗まれた。当初の発表は約38万人。英国の情報コミッショナー事務局（ICO）は2020年10月に2,000万ポンドの制裁金（CNBC・Al Jazeera） |
| 2018年10月 | キャセイパシフィック航空（香港） | 最大940万人 | パスポート番号・身分証番号・メールアドレスなどに不正アクセス。有効期限切れのカード番号403件なども（Al Jazeera） |
| 2019年1月 | Amadeusを使う航空会社 | － | 予約番号だけで他人の予約を変更できる不具合を研究者が指摘（TechCrunch） |
| 2021年3月 | SITA（航空IT大手）経由でJAL・ANAなど | JAL 91万9,685人・ANA 約100万人 | SITAの旅客サービスシステム（米国）へのサイバー攻撃。航空連合で共有していたローマ字氏名・マイル会員番号・ステータスが漏えい（SITAの声明・Aviation Wire） |
| 2026年10月 | Amadeus経由で国内外12社 | JAL・JTA 約92,000人・ANA 約37,800人ほか | 予約番号・氏名など。一部はパスポート番号も（本記事） |
2021年のSITAの件では、ANAはSITAのシステムを使っていなかったものの、同じ航空連合の加盟社がSITAに預けていたデータから会員情報が漏れました。航空会社の予約データは、委託先や提携先を通じて多くの会社で共有されるため、自分が直接使った航空会社以外の発表にも目を配る必要があります。
Amadeus不正アクセスのよくある質問
Q. 自分が対象かどうかは、どうすればわかりますか？
A. JALは対象者に予約時のメールアドレスで連絡済みとし、ANAとスターフライヤーは順次連絡するとしています。不安な場合は、公式サイトに載っている窓口（JALは専用窓口0120-25-6050）で確認してください。メールに書かれた電話番号やリンクは使わないのが安全です。
Q. クレジットカード情報は漏れましたか？
A. JAL・JTAはクレジットカード番号と各種パスワード、ANAとスターフライヤーはクレジットカード情報とパスワードが含まれないと発表しています。韓国の2社も、カード番号などの決済情報は含まれないと報じられています（ZDNet Korea）。キャセイパシフィック航空とマレーシア航空は、金融・決済の情報が参照された証拠はないとしています。
Q. 予約番号と名前が漏れると、どんな危険がありますか？
A. 本物の便名や搭乗日を書いた偽メールで、カード番号やパスワードを入力させる手口に使われるおそれがあります。また、多くの航空会社では姓と予約番号で予約画面に入れるため、予約内容を公式アプリで確認しておくと安心です。
Q. ソラシドエアやAIRDOの便でも影響はありますか？
A. ソラシドエア・AIRDO・アイベックス・オリエンタルエアブリッジ・スターフライヤーは、ANA経由でAmadeusのシステムを使っており、ANAから個人情報が参照された形跡があると報告を受けたと発表しています。11月1日時点で、スターフライヤー以外は人数や項目を調査中です。
Q. Amadeus（アマデウス）とはどんな会社ですか？
A. スペインに本社を置く航空IT大手で、航空会社の予約・発券・搭乗手続きを処理する旅客サービスシステムなどを提供しています。JALは2017年11月に同社のシステムへ移行しました。今回の件で、影響を受けた航空会社や利用者の総数は明らかにしていません。
あわせて読みたい
出典・参考資料
- 日本航空・日本トランスオーシャン航空：Amadeus社が提供する旅客サービスシステムへの不正アクセスと対応について（2026年10月30日更新）
- 全日本空輸：Amadeus社 旅客サービスシステムへの不正アクセスについて（2026年10月30日）
- スターフライヤー：同（初掲10月29日・更新10月30日）／ソラシドエア：同（10月29日）／AIRDO：同（10月30日）／アイベックスエアラインズ：同（10月30日）／オリエンタルエアブリッジ：同（10月30日）
- アシアナ航空：일부 고객 개인정보(예약번호) 유출 안내（2026年10月23日）
- SITA：SITA statement about security incident（2021年3月4日）
- ロイター（93.3 The Drive掲載）：Cathay Pacific says Amadeus breach affected 53,000 bookings（2026年10月30日）
- Malay Mail：Malaysia Airlines warns customers of data exposure in Amadeus cybersecurity breach（2026年11月1日）
- ZDNet Korea：대한항공·아시아나, 개인정보 유출 확인（2026年10月24日）
- Aviation Wire：JALとJTA、アマデウス不正アクセスで予約情報9.2万人対象（2026年10月28日）、ANA、不正アクセス影響3.8万人（2026年10月30日）、ANAも100万人分漏えい SITA社サイバー攻撃（2021年3月6日）
- TechCrunch：Flaws in Amadeus’ airline booking system made it easy to change passenger records（2019年1月15日）
- Al Jazeera：Cathay Pacific data leak affects millions of passengers（2018年10月24日）／CNBC：British Airways fined £20 million for data breach by ICO（2020年10月16日）
- フィッシング対策協議会 フィッシングの報告／警察庁 サイバー警察局
一覧表・合計人数・割合・日数は、上記の資料をもとに当サイトが整理・計算したものです。英語・韓国語の資料は当サイトが訳しました。アイキャッチ写真：羽田空港第3ターミナル（Arne Müseler／Wikimedia Commons（CC BY-SA 3.0 DE））。明るさ調整・文字入れあり。
コメント