ANA、アマデウスへの不正アクセスで顧客約3万7,800人に影響の可能性　約1,700人はパスポート番号も

航空技術会社を通じて予約情報が流出

全日本空輸（ANA）は2026年10月30日、スペインの技術委託先アマデウスITグループのシステムへの不正アクセスにより、顧客約3万7,800人の予約情報が流出した可能性があると発表した。このうち約1,700人については、パスポート番号などの個人情報にも外部からアクセスされた形跡があった。

ANAによると、アマデウスは9月24日に不正アクセスを検知したが、ANAが委託先から報告を受けたのは26日後の10月20日だった。ANAは、同社のシステムを利用する他の航空会社にも影響が出ていると10月16日に知り、自社の情報が流出した可能性についてアマデウスに調査を依頼していた。

影響を受けた顧客は2つのグループに分かれる。約3万6,100人は氏名や旅行情報など基本的な予約情報が流出した可能性がある。約1,700人は連絡先、パスポート番号、マイレージ会員番号など、より幅広い情報が対象となった。クレジットカード情報とパスワードは影響を受けたデータに含まれていないという。

ANAは11月第1週から、影響を受けた顧客への個別連絡を始める予定だ。当面、乗客にはANAグループを装う不審なメール、電話、ウェブサイト、SNS広告に注意するよう呼びかけている。

影響は1社にとどまらない。日本航空（JAL）と日本トランスオーシャン航空（JTA）は、同じ委託先への不正アクセスにより顧客約9万2,000人が影響を受けた可能性があると、すでに発表している。他の日本の航空会社も影響の有無を確認中で、韓国航空とアシアナ航空の顧客についても予約番号が流出したと報じられている。

どのような情報が対象となったのか

ANAで最も多い約3万6,100人のグループでは、氏名、予約番号、旅行日、搭乗区間、座席クラスの5種類の情報に、外部からアクセスされた形跡があった。搭乗区間とは、東京から札幌への便など、旅程の一部を指す。座席クラスはエコノミーやビジネスなど、利用する客室の区分を示す。

約1,700人のグループでは、これらに加えてメールアドレス、電話番号、パスポート番号、国籍、マイレージ会員番号、航空会社名、便名、航空券番号、座席番号も対象となった。

つまり、ANAが特定した顧客約3万7,800人のうち、約4.5％についてはパスポート番号も影響を受けた情報に含まれる。残る約95.5％は、流出した可能性のある情報が5つの基本的な予約項目に限られていた。

ANAは、予約情報が外部から閲覧された形跡を確認したと説明した。情報がシステム外にコピーされたか、その後悪用されたかについては、発表時点で確認されていない。乗客にとっての実質的な懸念は、影響を受けた項目から本人と具体的な旅程が結び付けられることだ。

影響の対象となる予約期間

ANAは、2023年8月10日から2026年9月23日までに予約した顧客の一部が影響を受けたと特定した。対象は3年以上にわたる期間中の一部の予約であり、この期間に予約したすべての乗客ではない。

対象期間は、ANA運航便の2023年8月10日から2026年9月23日までとも説明されている。発表についての詳細な説明の多くは、予約が行われた期間としている。自身の予約が対象かどうかは、ANAから届く個別通知で確認する必要がある。

対象記録には、旅行の手配時に乗客が提供する情報や、手続きに伴って生成される情報が含まれる。予約番号は予約を識別し、航空券番号は発券された旅行書類を識別する。こうした情報は購入直後以降も旅客サービスシステムに保存されることがあり、2023年までさかのぼる予約が対象となった背景の一つと考えられる。

発覚から公表までの経緯

ANAは調査を続けていた10月29日に、顧客数や対象情報を確定しないまま、本件を初めて公表した。翌30日には、影響を受けた可能性のある顧客を約3万7,800人とする推計と、流出した可能性のあるデータの2つの区分を発表した。

公表に先立つ1カ月以上前から、次の経緯があった。

• 2026年9月24日：アマデウスが航空会社の予約情報への不正アクセスを検知。ANAはこの時点で報告を受けていなかったと説明した。
• 10月16日：ANAはアマデウスを利用する他の航空会社での事案を知り、ANAの運航便の予約情報を確認するよう委託先に依頼。
• 10月20日：ANAはアマデウスから報告を受け、個人情報保護委員会など関係機関に報告。
• 10月29日：ANAは、一部顧客の予約情報が外部からアクセスされた形跡があると公表。
• 10月30日：ANAは、影響を受けた可能性のある顧客約3万7,800人を特定し、対象情報の詳細を発表。
• 11月第1週：ANAは影響を受けた顧客への個別連絡を順次開始する予定。

この日程からは、委託先から報告を受ける前にANAが調査を依頼していたことが分かる。アマデウスが9月24日に事案を検知し、ANAは22日後に自社への影響の確認を依頼した。委託先からANAへの報告は、その依頼の4日後だった。

ANAとアマデウスは10月20日以降も顧客情報の確認を続けた。ANAから報告を受けた個人情報保護委員会は、個人情報の保護を監督する機関だ。

アマデウスの対応

アマデウスは、今回の事案に関係する旅客サービスシステムを提供している。航空会社は予約や航空券の発券などを管理するためにこうしたシステムを利用しており、通常の旅行業務の一環として、顧客情報を専門の技術会社に預けている。

ANAによると、アマデウスは不正アクセスに関連する認証情報を無効化し、監視を強化した。認証情報とは、人やシステムがサービスにアクセスするためのデジタル識別情報やアクセス情報を指す。無効化すれば、その情報を使ったアクセスを継続できなくなる。

アマデウスはまた、ランサムウェアによる損害、データの改ざんや削除、提供サービスの中断を示す証拠はないと説明した。ランサムウェアは情報やシステムをロックし、身代金を要求する悪意あるソフトウェアだ。ANAの説明では、今回の対応は顧客記録への不正アクセスと、関連する認証情報の無効化が中心となっている。

これらの対策は、委託先でのアクセス管理と監視に関するものだ。ANAは並行して、情報が影響を受けた顧客を特定し、どの情報が対象となったかを知らせる必要がある。

同じ委託先の事案で他の航空会社にも影響

JALとJTAは10月28日、アマデウスを通じて予約情報に外部からアクセスされた形跡があり、顧客約9万2,000人が影響を受けた可能性があると発表した。このうち約2,000人については、パスポート番号などの情報も流出した可能性がある。両社がアマデウスから報告を受けたのは10月23日だった。

JALとJTAが特定した約9万2,000人は、ANAの約3万7,800人の約2.4倍にあたる。パスポート番号などの追加情報が対象となった人は、JALとJTAのグループでは約2.2％で、ANAの約4.5％より少なかった。

ANAを通じてアマデウスのシステムを利用するエア・ドゥ、ソラシドエア、スターフライヤーは、個人情報に外部からアクセスされた形跡があると10月29日にANAから連絡を受けたと発表した。各社は影響の範囲を特定するため、ANAと連携して調査している。大韓航空とアシアナ航空の顧客についても予約番号が流出し、事案の影響は日本国外にも及んでいる。

JALとJTAは、対象情報の悪用や運航への影響は確認されていないと説明した。共通の委託先を利用することで、各航空会社に共通する情報流出のリスクが生じる一方、影響を受けた顧客の特定や通知は各社が個別に行う必要がある。

ANAがなりすましに注意を呼びかける理由

ANAは、同社グループを装うメッセージや電話に注意するよう顧客に呼びかけている。実際の旅行日、目的地、便名などを知っていると、予約情報を悪用した詐欺の連絡が本物らしく見えるおそれがある。

例えば、実在する予約について、至急の支払いが必要だと偽ったり、返金のために金融情報の入力が必要だと主張したりするメッセージが考えられる。フィッシングとは、信頼できる組織になりすまし、情報を開示させたり、偽のウェブサイトに誘導したりする手口だ。

予約について予期しない連絡を受けた乗客は、メッセージ内のリンクや電話番号を使わず、普段利用しているANAのウェブサイトやアプリで確認できる。依頼されていない連絡でパスワード、認証コード、カード情報、パスポート画像を求められた場合は、特に慎重に対応する必要がある。

ANAが予定する個別通知が届けば、顧客は対象期間だけを手がかりにするより、具体的な対応を取りやすくなる。約1,700人のグループでは、旅程に加えて連絡先や本人確認に関わる情報も懸念される。より大きなグループについても、流出した可能性のある情報から氏名と旅程が結び付く。

相次ぐ公表で広がる日本の情報セキュリティ上の懸念

日本の外務省も10月30日、氏名やメールアドレスなどの個人情報を含む約3,600件の記録が、不正アクセスにより流出した可能性があると発表した。このうち約900件は省外の人の情報だった。影響を受けたのは外部システムと接続するネットワーク環境で、省は機密性の高い情報を扱う別の閉域ネットワークへの不正アクセスは確認されていないと説明した。

無印良品を運営する良品計画は、公式アプリへの不正アクセスにより、最大2,726万件の顧客記録が流出した可能性があると公表した。影響を受けた可能性のある項目には、メールアドレス、生年月日、性別が含まれ、アプリを退会した人に関する情報も対象となった。氏名とクレジットカード情報は対象データに含まれていない。

良品計画は、情報の悪用は確認されておらず、影響を受けた顧客には個別に連絡するとした。また、アプリとオンラインストアは通常どおり運営を続けるとし、不審なメールのリンクをクリックしないよう注意を呼びかけた。航空会社、外務省、小売業の各事案で対象となる情報やサービスは異なるが、いずれも影響を受けた人には、どの個人情報が流出したかを明確に伝える通知が必要となる。

主なポイント

• ANAは、アマデウスへの不正アクセスにより、顧客約3万7,800人の予約情報が流出した可能性があると特定した。
• 約3万6,100人は基本的な予約情報が対象となり、約1,700人はパスポート番号、連絡先などの情報も対象となった。
• ANAによると、クレジットカード情報とパスワードは影響を受けたデータに含まれていない。
• アマデウスは2026年9月24日に事案を検知。ANAは10月20日に報告を受け、10月30日に影響を受けた顧客数などを公表した。
• アマデウスは関連する認証情報を無効化し、監視を強化した。サービスの中断はなかったと説明している。
• ANAは11月第1週に個別通知を始める予定で、なりすましの連絡に注意するよう呼びかけている。
• JALとJTAも別途、顧客約9万2,000人が影響を受けた可能性があると特定し、他の航空会社も影響を確認している。