JAL「ぼくたち」ANA「わたしたち」JAL ANA「13万人分の個人情報とパスポート番号流出しました」

この影響は国内にとどまらず、アジアをはじめ世界各国の航空会社へ広がっています。「自分の情報も漏れてしまったのでは？」「クレジットカード情報は大丈夫なのか」と不安を感じている人も多いでしょう。実は今回の問題、JALとANAがそれぞれ別の攻撃を受けたわけではありません。

今回は、この流出事案の全容に加え、なぜこれほど広範囲に被害が拡大しているのかという「業界構造の裏側」、そして旅行者が今すぐ取るべき自衛策について解説します。

●何の情報が流出した？

まず、今回発表された国内大手2社の被害状況を整理します。JALは10月28日（報告受領は10月23日）、ANAは10月30日にそれぞれ公式発表を行いました。

JAL（日本航空および日本トランスオーシャン航空）では、2023年8月10日から2026年9月23日までの期間に予約を行った合計約9万2000名の情報が影響を受けました。このうち約9万名については予約番号、氏名、搭乗日、搭乗区間、搭乗クラスが参照され、残る約2000名についてはこれらに加えてメールアドレスや電話番号、パスポート番号、国籍、マイレージ番号、座席番号などの詳細な個人情報が含まれています。

一方、ANAでも同様の対象期間（2023年8月10日～2026年9月23日）に予約を行った約3万7800名の情報が影響を受けました。内訳としては、約3万6100名が氏名や予約番号、搭乗日などの基本情報、約1700名がメールアドレスや電話番号、パスポート番号、マイレージ番号などの詳細情報となっています

幸いなことに、両社ともにクレジットカード番号および各種パスワードの漏えいは確認されていません。また、流出情報が第三者に不正使用された事実や、航空便の運航への支障も現時点では報告されていません。

https://news.yahoo.co.jp/articles/9cb89b4aa39d10640a6c3fe40392f33c346036db

ここで重要なのは、JALやANAの社内データベースが直接サイバー攻撃を受けたわけではないという点です。

両社の発表によると、今回のトラブルが発生した現場は、旅客の予約管理や発券、搭乗手続きなどのシステム運用を外部委託しているスペインのAmadeus ITGroup S.A.（以下、Amadeus社）のシステム領域でした。

Amadeus社のシステムアカウントにおける認証情報が第三者に不正利用され、約3年間にわたって格納されていた予約データの一部が参照された形跡が見つかりました。つまり、標的となったのは個別の航空会社そのものではなく、背後で航空業界全体のITインフラを支える「共通プラットフォーム」だったわけです。

●大韓航空やキャセイにも波及！ 世界に広がる情報流出

共通基盤であるAmadeus社のシステムが侵害されたため、被害は国内勢にとどまらず海外の主要航空会社へも波及しています。

たとえば、大韓航空やアシアナ航空は10月20日にAmadeus社から通知を受け、10月23日に予約番号（PNR）等の参照被害を公表しました。また、香港のキャセイパシフィック航空も10月28日に通知を受け、10月30日に約5万3000件の予約記録に影響があったことを発表しています。

各社の発表タイミングにズレが生じている背景には、Amadeus社側で過去約3年分のログ解析が完了した順に航空会社へ通知を行っている事情があります。さらに、日韓の個人情報保護法やEUのGDPRなど、国や地域ごとの個人情報保護法規による報告・公表基準の違いも、発表時期のタイムラグに影響を与えています。

●世界の航空会社が利用する「Amadeus」とは？