Amadeus旅客サービスシステム：ANA・JAL等の予約情報への不正アクセス
amadeus-breach-2026 · 公表 2026-10-28
Amadeusが提供する旅客サービスシステムで第三者による不正アクセスがあり、ANAは約3万7,800人、JAL・JTAは計約9万2,000人の予約情報が外部から参照された形跡があります。対象期間は2023年8月10日から2026年9月23日で、予約番号、氏名、搭乗日、搭乗区間などが含まれ、一部にはパスポート番号や連絡先も含まれます。クレジットカード番号・パスワードの流出は確認されておらず、認証情報は既に無効化され監視が強化されています。
確認範囲: 侵害を確認
侵入経路と確認できたこと
- 公表で確認
Amadeusのシステムへ第三者が不正アクセスし、予約データを閲覧した形跡があります。窃取された認証情報が悪用されたと報告されています。侵害された認証情報は既に無効化され、監視が大幅に強化されました。
- 公表で確認
ANAでは2023年8月10日から2026年9月23日に予約した約3万7,800人が対象です。約3万6,100人は氏名、予約番号、搭乗日、搭乗区間、搭乗クラスが含まれ、約1,700人は追加でメールアドレス、電話番号、パスポート番号等が含まれます。
[s1]Approximately 37,800 customers - 公表で確認
JAL・JTAでは2023年8月10日から2026年9月23日の期間で、約9万人の予約番号・氏名・搭乗日・搭乗区間・搭乗クラスが参照され、約2,000人は追加でメールアドレス・電話番号・パスポート番号等が参照されました。
[s2]約90,000名 / 約2,000名
時系列
公表された対応
- 公表で確認
Amadeusは必要なセキュリティ対策を完了し、侵害された認証情報を無効化しました。現時点で当該情報が不正に使用された事実は確認されていません。
- 公表で確認
ANAとJALは対象顧客に順次個別連絡を行っています。予約時に承ったメールアドレス宛に案内を送付しました。
原因・対策の仮説
未評価。この事例には編集者の仮説をまだ追加していません。安全性や原因の確定を示すものではありません。
当時の回避可能性を考える材料
判断材料が不足
認証情報の窃取経路と当時の権限制御は不明です。関連ルールで認証情報の保護、多要素認証、アクセス監視を点検します。
未解明の点・AIの関与
確認した一次資料からは、攻撃者によるAI利用を判断できません。
具体的な侵入経路、認証情報の窃取方法、使用されたCVE、他の航空会社への影響範囲は未確定です。韓国の大韓航空とアシアナ航空も被害を報告していますが、詳細は不明です。
情報元
[s1] ANA · 一次情報
Regarding Unauthorized Access to Passenger Service System Provided by Amadeus ↗公開 2026-10-30 · 確認 2026-11-02
[s2] JAL · 一次情報
Amadeus社が提供する旅客サービスシステムへの不正アクセスと対応について ↗公開 2026-10-30 · 確認 2026-11-02
[s3] 日本経済新聞 · 二次情報
JAL、9万件超の予約情報に不正アクセス 一部はパスポート番号も ↗公開 2026-10-28 · 確認 2026-11-02
[s4] ITmedia NEWS · 二次情報
ANAの予約情報に不正アクセス、JALと同じ委託先経由で 個人情報をのぞき見た痕跡も ↗公開 2026-10-29 · 確認 2026-11-02