Amadeus不正アクセスの影響を公表した航空会社一覧｜国内外12社

Amadeusで何が起きたのか

Amadeusは、航空会社の予約・発券・搭乗手続きをまとめて処理する「旅客サービスシステム（PSS）」などを提供するスペインの航空IT大手です。ZDNet Koreaは、世界の約200社の航空会社が使っていると報じています。Aviation Wireによると、JALは2017年11月にAmadeusのシステムへ移行しました。

アシアナ航空の発表（10月23日）は、原因を「Amadeusのシステムのアカウントに付与されたログイン認証情報を使った、権限のないアクセス」としています。アシアナ航空の説明では、アカウントに与えられた認証情報が悪用された形です。ANAの発表は、この認証情報はすでに無効化され、監視が強化されたとの報告をAmadeusから受けたとしています。

Amadeus自身はロイターの取材に対し、「旅行予約の表示環境に影響する脆弱性」を把握したと説明しましたが、影響を受けた航空会社や利用者の数には答えていません。ランサムウェア（身代金要求型ウイルス）に悪用された兆候はないとしています。Amadeusの公式ニュースルームの発表一覧には、11月1日時点で本件のプレスリリースは見当たりませんでした。

影響を公表した航空会社一覧（11月1日時点）

各社の公式発表を1社ずつ確認しました。日付は各社のお知らせに記載された日付です。キャセイパシフィック航空とマレーシア航空は、公式ページの発表を確認できなかったため報道によります。

日本の航空会社（8社）

海外の航空会社（4社）

「含まれない」は各社が含まれないと明記したもの、「証拠なし」は参照された証拠はないとしたもの。「－」は発表に記載がないもの。大韓航空の公式のお知らせは当サイトの環境で表示できなかったため、ZDNet Korea（10月24日）の報道によります。マレーシア航空の公表日は、Malay Mail（11月1日）が「昨日の声明」と報じたことから10月31日としました。

数字で見るAmadeus不正アクセス

パスポート番号まで見られたのは対象者の2〜5%

人数を公表したJAL・JTAとANAの発表を足すと、対象は約129,800人です。参照された項目は2段階に分かれていて、大半は「予約番号・氏名・搭乗日・区間・クラス」の5項目ですが、JALで約2,000人（対象の2.2%）、ANAで約1,700人（同4.5%）は、メールアドレス・電話番号・パスポート番号・国籍・マイレージ番号まで参照された形跡があります。2社の合計で約3,700人です（当サイト計算）。

検知から報告まで約1か月

Aviation WireがANAの説明として伝えたところでは、Amadeusは9月24日に不正アクセスを検知しましたが、その時点でANAには報告がありませんでした。ANAは10月16日に「ほかの航空会社で不正アクセスが確認された」との情報を得て自ら照会し、10月20日に報告を受けて個人情報保護委員会などへ報告しています。大韓航空とアシアナ航空も10月20日の夜に通知を受けました。検知の日から数えると、韓国2社とANAへの通知は26日後、JALへの報告は29日後です（当サイト計算）。

1. 2023年8月10日期間の始まりJAL・ANAが示す「参照された形跡がある期間」の始まり。終わりは2026年9月23日で、通算1,141日。
2. 2026年9月24日Amadeusが検知ANAの説明（Aviation Wire）。この時点で航空会社への報告はなかった。
3. 10月16日ANAが他社の被害を知る他社で不正アクセスが確認されたとの情報を得て、ANAがAmadeusに照会。
4. 10月20日航空会社へ通知大韓航空（22時44分）とアシアナ航空（22時49分）が通知を受ける。ANAも同日に報告を受ける。
5. 10月23日韓国2社が公表・JALに報告大韓航空・アシアナ航空が予約番号の流出を公表。同じ日にJALがAmadeusから報告を受ける。
6. 10月28日JAL・JTAが公表約92,000人。うち約2,000人はパスポート番号なども。
7. 10月29日ANA第一報・国内各社ANAが第一報。ソラシドエア・スターフライヤーも公表。
8. 10月30日ANAが人数を公表約37,800人。AIRDO・アイベックス・ORCも公表。キャセイパシフィック航空は約53,000件の予約と発表。
9. 10月31日マレーシア航空一部の顧客情報が影響を受けた可能性があると声明（人数は非公表）。

なお、スターフライヤーが示した対象期間は2025年7月28日から2026年9月23日までの423日間で、JAL・ANAより短くなっています。理由は発表に書かれていません。

予約番号と氏名が知られると何が起きる？

航空券の予約は「PNR（パッセンジャー・ネーム・レコード）」と呼ばれる記録で管理されています。TechCrunch（2019年1月）は、多くの航空会社のサイトで姓と予約番号の2つだけで予約の確認や変更の画面に入れると指摘しました。搭乗券のバーコードにも予約番号が入っていると伝えています。

今回参照された形跡があるのは、まさに「予約番号と氏名」の組み合わせです。各社は、11月1日時点で情報が不正に使われた事実は確認していないとしています。そのうえで、JAL・ANAとも自社を装った不審なメール・電話・偽サイトへの注意を呼びかけています。便名や搭乗日まで正確に書かれた連絡は本物に見えやすく、次のような手口が考えられます。

• 「お詫びの補償」「返金手続き」をうたい、偽サイトでカード番号を入力させる
• 「予約に問題がある」「パスポート情報の再登録が必要」と不安をあおり、個人情報を聞き出す
• マイレージ番号を手がかりに、マイレージ口座へのログインを試みる

航空会社の利用者が今やること

1. まず自分が対象か確認する。JALは対象者に予約時のメールアドレスで連絡済み、ANAとスターフライヤーは順次連絡するとしています。連絡が来ていない場合や不安な場合は、JALなら専用窓口（国内0120-25-6050／03-4332-7280、平日10〜17時）、スターフライヤーはSF CALL CENTER（0570-07-3200）へ。番号は必ず公式サイトで確かめてからかけてください。
2. メールやSMSのリンクから開かない。予約の確認は、公式アプリかブックマークした公式サイトから。差出人名やドメインが本物に見えても、リンク先は偽物のことがあります。
3. 予約の中身を確認する。今後の予約がある人は、便・座席・連絡先・マイレージ番号が勝手に変えられていないか、公式アプリで見ておくと安心です。
4. マイレージのパスワードを見直す。マイレージ番号が対象になった人は特に、ほかのサービスと同じパスワードを使い回していないか確認し、使える場合はログイン通知や2段階認証を設定します。
5. 搭乗券や予約画面の写真をSNSに載せない。今回の件に限らず、予約番号と氏名がそろうと予約の画面に入られるおそれがあります。
6. 不審な連絡は報告・相談する。フィッシングと思われるメールはフィッシング対策協議会の報告ページの案内に従って転送できます。お金を払ってしまった、カード番号を入力してしまった場合は、すぐカード会社に連絡し、警察庁のサイバー犯罪の相談窓口の案内に沿って警察にも相談してください。

航空会社を名乗るメールやSMSのリンクを開かないのが基本ですが、うっかり開いたときの備えとして、詐欺サイトへのアクセスを警告する機能を持つセキュリティソフトを入れておく方法もあります。

航空会社の情報漏えい年表：BA・キャセイ・SITA

航空会社の顧客情報が、委託先のシステムや自社サイトから漏れた例はこれまでもありました。一次資料や信頼できる報道で確認できたものをまとめます。

2021年のSITAの件では、ANAはSITAのシステムを使っていなかったものの、同じ航空連合の加盟社がSITAに預けていたデータから会員情報が漏れました。航空会社の予約データは、委託先や提携先を通じて多くの会社で共有されるため、自分が直接使った航空会社以外の発表にも目を配る必要があります。

Amadeus不正アクセスのよくある質問

あわせて読みたい

出典・参考資料

• 日本航空・日本トランスオーシャン航空：Amadeus社が提供する旅客サービスシステムへの不正アクセスと対応について（2026年10月30日更新）
• 全日本空輸：Amadeus社 旅客サービスシステムへの不正アクセスについて（2026年10月30日）
• スターフライヤー：同（初掲10月29日・更新10月30日）／ソラシドエア：同（10月29日）／AIRDO：同（10月30日）／アイベックスエアラインズ：同（10月30日）／オリエンタルエアブリッジ：同（10月30日）
• アシアナ航空：일부 고객 개인정보(예약번호) 유출 안내（2026年10月23日）
• SITA：SITA statement about security incident（2021年3月4日）
• ロイター（93.3 The Drive掲載）：Cathay Pacific says Amadeus breach affected 53,000 bookings（2026年10月30日）
• Malay Mail：Malaysia Airlines warns customers of data exposure in Amadeus cybersecurity breach（2026年11月1日）
• ZDNet Korea：대한항공·아시아나, 개인정보 유출 확인（2026年10月24日）
• Aviation Wire：JALとJTA、アマデウス不正アクセスで予約情報9.2万人対象（2026年10月28日）、ANA、不正アクセス影響3.8万人（2026年10月30日）、ANAも100万人分漏えい SITA社サイバー攻撃（2021年3月6日）
• TechCrunch：Flaws in Amadeus’ airline booking system made it easy to change passenger records（2019年1月15日）
• Al Jazeera：Cathay Pacific data leak affects millions of passengers（2018年10月24日）／CNBC：British Airways fined £20 million for data breach by ICO（2020年10月16日）
• フィッシング対策協議会 フィッシングの報告／警察庁 サイバー警察局

一覧表・合計人数・割合・日数は、上記の資料をもとに当サイトが整理・計算したものです。英語・韓国語の資料は当サイトが訳しました。アイキャッチ写真：羽田空港第3ターミナル（Arne Müseler／Wikimedia Commons（CC BY-SA 3.0 DE））。明るさ調整・文字入れあり。