日本航空（JAL）は、委託先のシステムへの不正アクセスにより、日本航空と日本トランスオーシャン航空の顧客約9万2000人の予約情報が外部から参照された形跡があると報告を受けた。対象にはパスポート番号も含まれる。
約9万人の予約情報に参照痕跡
JALは2026年10月23日、予約・発券や搭乗手続きなどを一体的に処理する旅客サービスシステムの委託先、Amadeus IT Group, S.A.（アマデウス社）から不正アクセスに関する報告を受けたと2026年10月28日に発表した。
アマデウスのシステムが不正アクセスを受け、予約記録の一部が外部から参照された形跡が見つかったという。
対象は日本航空と日本トランスオーシャン航空の便名で登録された予約記録の一部である。
外部から参照された形跡がある期間は、2023年8月10日から2026年9月23日までとなっている。参照された形跡がある項目について、予約番号、氏名、搭乗日、搭乗区間、搭乗クラスといった情報については、約9万名に確認されたという、
さらに約2000人では、これらに加えてメールアドレス、電話番号、パスポート番号、国籍、マイレージ番号、航空会社、便名、航空券番号、座席番号なども含まれている。
一方、JALはクレジットカード番号と各種パスワードの漏えいはないと説明している。
アマデウス社はすでに必要なセキュリティ対策を完了したといい、現時点で情報の不正使用は確認されていない。また、この事案による運航への影響もないとしている。
JALグループは対象者に個別連絡を行い、不審なメールや電話、偽サイトへの誘導に関する注意を呼びかける方針だ。本件専用の問い合わせ窓口も設置する。
二次被害の防止が焦点、委託先管理の重要性も
今回の問題で注意すべきなのは、決済情報が漏れていないという説明だけでは、利用者のリスクがなくなったとは言えない点だ。
氏名と搭乗日、利用区間などが組み合わされば、実際の旅行予定を知っているかのように装う連絡が成立しやすくなる。
JALを名乗る連絡に予約情報が含まれていても、それだけで正規の案内と判断するのは危険だろう。
特に、連絡先やパスポート番号まで対象となった約2000人については、情報の組み合わせを利用した詐欺やなりすましに警戒が必要となる。
ただし、現時点で不正利用の事実が確認されていない以上、実際に二次被害が発生したと断定することはできない。
対象者への迅速で明確な通知が、不安の軽減と被害予防の両面で重要になる。
企業側にとっては、予約業務のような基幹機能を外部サービスに委託する際の課題が浮かび上がった。
委託先で対策が完了していても、今回の事案ではJALグループが利用者への説明や問い合わせ対応を担うことになる。
委託先との情報共有体制や、問題発覚後の通知手順を継続的に見直す必要があるだろう。
今後は個別連絡の内容と、専用窓口を通じた案内のわかりやすさが注目される。
利用者も予約情報を示す不審な連絡を受けた際には、案内されたリンクや電話番号をそのまま使わず、公式の連絡経路から確認することが有効だ。
関連記事：
タイムズカー、免許証画像146万件の送信痕跡 3000円見舞金
カプコンで1177万件の情報漏えい 不正アクセスで会員情報流出
総務省が情報漏えい対策を要請 委託先含む対策強化を呼びかけ
