JAL予約9.2万人分への不正アクセス、約2000人はパスポート番号も

JAL予約9.2万人分への不正アクセスが明らかになり、約2000人分にはパスポート番号などの情報も含まれていたと発表されました。対象となる予約情報の範囲や、利用者が取るべき対策を確認し、クレジットカード情報などへの影響と混同しないよう整理します。

JAL予約9.2万人分への不正アクセスの概要

日本航空（JAL）と日本トランスオーシャン航空（JTA）は、旅客サービスシステムの提供元であるアマデウスへの不正アクセスについて公表しました。両社の発表によると、外部から約9万2000人分の予約情報を閲覧された形跡が確認されています。JALの予約情報だけでなく、JTA便名の予約記録も対象に含まれています。

対象となるのは、2023年8月10日から2026年9月23日までに作成された予約記録の一部です。両社は10月23日にアマデウスから報告を受け、同月28日に公表したとされています。予約・発券や搭乗手続きなどに使われるシステムが影響を受けたものの、運航への影響はないとの説明です。

今回の件では、情報が外部から閲覧された可能性があるという点と、情報が実際に悪用されたことが確認されているかどうかを分けて考える必要があります。公表内容では、発表時点で不正利用は確認されていません。対象者には個別に連絡する方針が示されています。

閲覧された予約情報とパスポート番号の範囲

約9万2000人分すべての情報が同じ範囲で閲覧されたわけではありません。両社の説明では、大部分にあたる約9万人分と、追加の情報項目を含む約2000人分に分けられます。自分がどちらに該当するかは、個別連絡の内容や公式案内で確認することが重要です。

特に注意したいのは、約2000人分にパスポート番号や連絡先などが含まれる可能性がある点です。一方、クレジットカード番号やパスワードの漏えいは確認されていないとされています。この説明は安心材料の一つですが、予約情報や本人確認に関わる情報が含まれる以上、不審な連絡への警戒は必要です。

なお、発表された情報は予約記録の一部が閲覧された形跡についてのものです。すべての予約情報が取得された、あるいはすべての対象者のパスポート番号が見られたと断定できるわけではありません。情報の対象範囲については、個別通知やJAL・JTAの公式発表を基準に確認しましょう。

アマデウスの旅客サービスシステムとは

アマデウスは、航空会社の予約や発券、搭乗手続きなどを支える旅客サービスシステムを提供する企業です。航空券の購入から搭乗まで、利用者が直接目にする画面の裏側で予約情報を管理する仕組みの一つと考えると分かりやすいでしょう。今回の不正アクセスは、航空会社の自社システムだけでなく、業務を支える外部事業者にも個人情報保護上のリスクがあることを示しています。

JALとJTAは、システムを提供するアマデウスから不正アクセスの報告を受けたとしています。したがって、今回の発表を「JALの運航システムが停止した」と受け取るのは正確ではありません。両社は運航への影響はないと説明しており、利用者にとっては、予約情報の安全性と不審な連絡への対策が主な確認事項になります。

航空会社は、予約管理や決済、問い合わせ対応など多くの業務で外部サービスを利用しています。委託先で問題が起きた場合でも、影響を受ける情報は航空会社の利用者に及ぶ可能性があります。企業には自社のシステムだけでなく、委託先の管理状況や、問題発生時にどれだけ早く利用者へ知らせられるかも問われます。

利用者が今すぐ確認したいこと

対象者への連絡が届いた場合は、まず内容を落ち着いて確認しましょう。メールに書かれたリンクをすぐ開くのではなく、JALまたはJTAの公式サイトや公式アプリから案内を確認するのが安全です。送信元の表示だけでは本物と判断できない場合があるため、リンク先や電話番号が公式のものかも慎重に見極めてください。

不審なメールや電話への具体的な対策

予約情報が悪用されると、実際の搭乗日や予約番号に触れながら、航空会社を装って連絡してくる手口が考えられます。次の点を意識してください。

• メールやSMSに記載されたリンクから、パスワードやカード情報を入力しない
• 予約内容の変更や返金を促す連絡は、公式アプリや公式サイトで別途確認する
• 電話で認証コード、パスワード、クレジットカード情報を求められても伝えない
• 不審な連絡は、記載された電話番号ではなく公式サイト掲載の窓口に問い合わせる
• 同じパスワードを複数のサービスで使っている場合は、使い回しを避ける

今回の発表ではパスワードやクレジットカード番号の漏えいは確認されていません。そのため、根拠なくカードを停止したり、すべてのアカウントのパスワードを変更したりする必要があるとは限りません。ただし、対象者への案内で追加の対応が求められた場合は、その指示を公式窓口で確認してください。心当たりのない予約変更通知や、急いで手続きをするよう迫る連絡には、特に注意が必要です。

これまでの情報漏えいとの違いと今後の注目点

今回の特徴は、JALやJTAの予約を支える外部の旅客サービスシステムで不正アクセスが発生したとされる点です。航空会社の利用者に影響が及ぶ一方、発生場所は業務を委託する事業者側です。企業の情報管理を考える際には、自社設備の防御に加え、委託先がどのようにアクセス権限や個人情報を管理しているかも欠かせません。

公表内容では、アマデウスが必要なセキュリティ対策を完了したとされ、発表時点で情報の不正利用は確認されていません。ただし、対策が完了したことと、今後も被害が起きないことは同じではありません。対象者への通知がどのように行われるのか、追加の調査結果や注意喚起が公表されるかも確認しておきたいところです。

また、アマデウスのようなサービスが複数の航空会社で使われている場合、他社への影響があるかどうかも関心を集めます。ただし、今回の発表だけから他社の予約情報も閲覧されたと判断することはできません。航空会社やサービス提供元の続報を確認し、未確認の情報を事実として拡散しないことも大切です。

まとめ

JALとJTAの発表によると、旅客サービスシステムへの不正アクセスにより、約9万2000人分の予約情報が外部から閲覧された形跡があります。うち約9万人分には予約番号や氏名、搭乗日などが含まれ、約2000人分ではパスポート番号や連絡先なども対象となった可能性があります。

一方、クレジットカード番号やパスワードの漏えいは確認されておらず、発表時点で情報の不正利用も確認されていないとされています。運航への影響もないとの説明です。必要以上に不安を募らせるのではなく、対象者への個別連絡と公式発表を確認しましょう。

航空会社を装ったメールや電話には注意し、リンクから個人情報を入力する前に公式窓口で確かめることが現実的な対策です。予約情報やパスポート番号が関係する可能性があるからこそ、冷静に情報を見極め、今後の案内に沿って対応してください。