Amadeusのシステム経由の航空各社の予約データへの不正アクセス
- カテゴリ
- 不正アクセス
キャセイパシフィック航空がAmadeus IT Groupから受けた通知では、権限の無い者がAmadeusのシステムアカウントに割り当てられたログイン認証情報を使い、システム内の旅行予約データにアクセスした［8］。Amadeusの声明では、同社が認識した旅行予約の表示環境に影響する脆弱性〔注1〕を通じて、一部の予約表示データがアクセス可能だった［1］。調査は続いているが、決済・金融データがアクセスされた証拠は無い［1］。
経緯
Aviation Wireの2026年10月30日の記事では、全日本空輸は、Amadeusが不正アクセスを検知した日にはAmadeusから報告を受けていなかった［12］。全日本空輸がAmadeusに確認したところ、ランサムウェアによる被害やデータの改ざん・削除の証拠は確認されておらず、Amadeusが提供するサービスの中断も無い［12］。
Amadeusは声明で、脆弱性がランサムウェア目的で悪用された兆候は無いとした［1］。キャセイパシフィック航空の告知によると、影響を受けたデータが悪用された証拠を、Amadeusはこれまでに確認していない［8］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Amadeus | 航空予約情報への第三者による不正アクセスを検知した（全日本空輸の説明） | ［12］ |
| 2026年 | 全日本空輸 | Amadeusを利用する他の航空会社で不正アクセスが確認されたとの情報を得て、自社便の予約情報への影響をAmadeusに照会した | ［12］ |
| 2026年 | Amadeus・大韓航空・アシアナ航空 | Amadeusが両社に正式に通知した（現地時間で大韓航空に22時44分、アシアナ航空に22時49分） | ［11］ |
| 2026年 | Amadeus・全日本空輸 | Amadeusが全日本空輸に不正アクセスの検知を報告した | ［12］ |
| 2026年 | Amadeus・日本航空 | 日本航空がAmadeusから不正アクセスの報告を受けた | ［10］ |
| 2026年 | 大韓航空・アシアナ航空 | 「お知らせ」を公表した | ［11］ |
| 2026年 | 日本航空・日本トランスオーシャン航空 | 不正アクセスと対応のお知らせを公表した | ［2］ |
| 2026年 | Amadeus・キャセイパシフィック航空 | Amadeusがキャセイパシフィック航空に通知した | ［8］ |
| 2026年 | Amadeus・キャセイパシフィック航空 | キャセイパシフィック航空がAmadeusから追加の詳細を受け取った | ［8］ |
| 2026年 | 全日本空輸・ソラシドエア・スターフライヤー | 全日本空輸が影響範囲を特定中とする第一報を出し、ソラシドエアとスターフライヤーがお知らせを掲載した | ［3、6、7］ |
| 2026年 | 全日本空輸・AIRDO・スターフライヤー | 全日本空輸が第二報で対象の人数と項目を公表し、AIRDOがお知らせを掲載し、スターフライヤーがお知らせを更新した | ［4、5、7］ |
| 2026年 | キャセイパシフィック航空 | 告知を出した | ［8］ |
| 2026年 | マレーシア航空 | 一部の顧客情報が影響を受けた可能性があるとの声明を出した | ［16］ |
影響範囲
キャセイパシフィック航空は告知で、Amadeusを、世界の数百の航空会社を含む旅行業界に技術を提供する会社と説明した［8］。Aviation Wireの10月28日の記事では、日本航空は2017年11月に、Amadeusが提供する旅客サービスシステムへ移行した［10］。
全日本空輸の10月30日の告知では、旅客サービスシステムの提供元であるAmadeusの本社はスペインにある［4］。AIRDO、ソラシドエア、スターフライヤーは、全日本空輸を経由してAmadeusから旅客サービスシステムの提供を受けている［5、6、7］。
ITmedia NEWSは、全日本空輸が2015年4月に国際線でAmadeusのシステムを使い始め、2026年5月には国内線も自社システムから切り替えたと報じた［14］。Amadeusは2023年2月14日に、全日本空輸の国内線を、全日本空輸の自社の旅客システムに載る国内の航空会社を含めてAltéaに移すと発表していた［17］。この移行は、全日本空輸が2026年までに自社の旅客システムを廃止できるようにするものだった［17］。
| 組織 | 期間 | 件数・人数 | 含まれる情報 | 資料 |
|---|---|---|---|---|
| 大韓航空・アシアナ航空 | 2023年8月〜2026年9月（発生時期の推定） | - | 予約番号（含まれることを確認）。その他の情報は調査中 | ［11］ |
| 日本航空・日本トランスオーシャン航空 | 2023年8月10日〜2026年9月23日（参照された形跡がある期間）〔注2〕 | 約92,000名 | 約90,000名は予約番号・氏名・搭乗日・搭乗区間・搭乗クラス。約2,000名はこれに加えメールアドレス・電話番号・パスポート番号・国籍・マイレージ番号・航空会社・便名・航空券番号・座席番号など | ［13］ |
| 全日本空輸 | 2023年8月10日〜2026年9月23日に予約した一部の顧客 | 約37,800名 | 約36,100名は氏名・予約番号・搭乗日・搭乗区間・搭乗クラス。約1,700名はこれに加えメールアドレス・電話番号・パスポート番号・国籍・マイレージ番号・航空会社・便名・航空券番号・座席番号など | ［4］ |
| AIRDO | - | -（全日本空輸と連携して影響範囲を特定中） | 一部の個人情報 | ［5］ |
| ソラシドエア | - | -（全日本空輸と連携して影響範囲を特定中） | 予約の個人情報 | ［6］ |
| スターフライヤー | 2025年7月28日〜2026年9月23日に予約した一部の顧客 | -（対象の顧客を確認中） | 氏名・予約番号・搭乗日・搭乗区間・搭乗クラス・メールアドレス・電話番号・マイレージ番号・航空会社・便名・航空券番号・座席番号など | ［7］ |
| キャセイパシフィック航空 | 2023年8月〜2026年9月（不正アクセスの発生） | 約53,000件の予約〔注3〕 | 大半は予約番号・旅客の氏名・フライトの詳細。一部はメールと電話の連絡先・渡航文書・フリークエントフライヤー番号などの追加の個人情報（アクセスされた可能性） | ［8］ |
| マレーシア航空 | 2023年8月〜2026年9月に処理された情報 | - | 一部の顧客情報（影響を受けた可能性） | ［16］ |
全日本空輸、AIRDO、ソラシドエア、スターフライヤーは、第三者の不正アクセスによって顧客の個人情報が参照された形跡があるとの報告を受けた［3、5、6、7］。
| 組織 | 説明 | 資料 |
|---|---|---|
| 大韓航空・アシアナ航空 | 自社のデータベースへの侵入の形跡は確認していない。両社の発表までに二次被害は確認されていない | ［11］ |
| 大韓航空・アシアナ航空 | 流出した項目にカード番号のような決済関連の情報は含まれない | ［15］ |
| 日本航空・日本トランスオーシャン航空 | クレジットカード番号や各種パスワードの漏えいは無く、10月28日までに予約情報が不正に使用された事実も確認されていない | ［10］ |
| 日本航空・日本トランスオーシャン航空 | 運航への影響は無い | ［13］ |
| 全日本空輸・スターフライヤー | クレジットカード情報とパスワードは含まれていない | ［4、7］ |
| キャセイパシフィック航空 | 金融・決済の情報がアクセスされた証拠は無い。自社のシステムと運航に影響は無い | ［8］ |
| マレーシア航空 | 自社のITシステムは侵害されておらず、金融情報がアクセスされた証拠は無い | ［16］ |
対応と現状
Amadeusは声明で、脆弱性を修正する措置を取り、監視と検知の能力を強化したと説明した［1］。顧客と当局とも直接対話している［1］。
| 組織 | 内容 | 資料 |
|---|---|---|
| 日本航空・日本トランスオーシャン航空 | Amadeusは必要なセキュリティ対策をすでに実施した | ［10］ |
| 大韓航空・アシアナ航空 | 不正アクセスの遮断やダークウェブの監視などを進めているとの報告をAmadeusから受け、保護対策の強化と再発防止を求めた | ［11］ |
| 全日本空輸・スターフライヤー | 今回の不正アクセスに利用された認証情報はすでに無効化され、監視体制が強化されているとの報告を受けた | ［4、7］ |
| キャセイパシフィック航空 | パスワードのリセットを含む封じ込めの措置を取り、システムの監視と検知の能力を強化したとAmadeusが確認した | ［8］ |
キャセイパシフィック航空の告知では、同社は関係当局に今回の不正アクセスを伝えた［8］。Aviation Wireは、全日本空輸がAmadeusから報告を受けて個人情報保護委員会などへ報告し［12］、大韓航空とアシアナ航空が韓国の個人情報保護委員会への届け出などを実施したと報じた［11］。
| 組織 | 内容 | 資料 |
|---|---|---|
| 大韓航空・アシアナ航空 | 流出の対象と判明した顧客にメールで通知した。予約番号以外の情報は調査を続け、判明すれば対象者に通知するとした | ［11］ |
| 大韓航空 | Amadeusから流出の通知を受けて、必要な安全措置を直ちに取った | ［15］ |
| 日本航空・日本トランスオーシャン航空 | 対象の顧客に個別に連絡するとした | ［10］ |
| 日本航空・日本トランスオーシャン航空 | 10月29日に専用の問い合わせ窓口を開設するとした | ［13］ |
| 全日本空輸 | 対象の顧客に順次連絡するとした | ［4］ |
| 全日本空輸 | 対象の顧客への連絡を来週から始めるとした（10月30日の記事） | ［12］ |
| キャセイパシフィック航空 | Amadeusから提供されたデータの分析を含めて調査を続け、詳細が確定した段階で影響を受けた顧客に個別に通知するとした | ［8］ |
| マレーシア航空 | Amadeusや関係者と調査し、影響を評価している | ［16］ |
Hong Kong Computer Emergency Response Team Coordination Centre（HKCERT）は10月30日のブログで、キャセイパシフィック航空の件を、第三者のサイバーセキュリティのリスク管理の重要性を示す事例として取り上げた［9］。
未公表の事項
- システムアカウントの認証情報が不正に使われた経路と、Amadeusが声明で挙げた脆弱性の種別との関係
- 不正アクセスが発生した正確な日時（Aviation Wireの10月28日の記事では調査中［11］）
- Amadeusが不正アクセスを検知してから各航空会社に通知するまでの経緯と、通知の日が航空会社ごとに違う理由
- Amadeusのシステムで影響を受けた航空会社の数と顧客の総数
- 不正アクセスをした者
注
出典
当事者
- ［1］Amadeus IT Group, S.A.『Amadeus Data and Vulnerability Statement』（公開日不明、2026年11月1日閲覧）
関係組織
- ［2］日本航空株式会社・日本トランスオーシャン航空株式会社『Amadeus社が提供する旅客サービスシステムへの不正アクセスと対応について』（2026年10月28日公開、保存記録のみ） 保存記録
- ［3］全日本空輸株式会社『Amadeus社が提供する旅客サービスシステムへの不正アクセスについて』（2026年10月29日公開）
- ［4］全日本空輸株式会社『Amadeus社 旅客サービスシステムへの不正アクセスについて』（2026年10月30日公開、第2報）
- ［5］株式会社AIRDO『【重要】Amadeus社が提供する旅客サービスシステムへの不正アクセスについて』（2026年10月30日公開）
- ［6］株式会社ソラシドエア『【重要】Amadeus社が提供する旅客サービスシステムへの不正アクセスについて』（2026年10月29日公開）
- ［7］株式会社スターフライヤー『Amadeus社が提供する旅客サービスシステムへの不正アクセスについて』（2026年10月29日公開、2026年10月30日更新）
- ［8］Cathay Pacific Airways Limited『Personal data security incident involving a third-party service provider』（2026年10月30日公開）
公的機関
- ［9］Hong Kong Computer Emergency Response Team Coordination Centre『Data Leakage and Third-Party Risk: When Real Customer Information Becomes a Tool for Scammers』（2026年10月30日公開）
報道機関
- ［10］株式会社Aviation Wire『JALとJTA、アマデウス不正アクセスで予約情報9.2万人対象 クレカやパスワード流出なし』（2026年10月28日公開）
- ［11］株式会社Aviation Wire『大韓航空とアシアナ、アマデウス不正アクセスで予約番号流出か』（2026年10月28日公開）
- ［12］株式会社Aviation Wire『ANA、不正アクセス影響3.8万人 1700人はパスポート番号も＝アマデウス問題』（2026年10月30日公開）
- ［13］アイティメディア株式会社『JALの予約システムに不正アクセス 約9万人分の予約情報が漏えい 一部ではパスポート番号も』（2026年10月28日公開）
- ［14］アイティメディア株式会社『ANAの予約情報に不正アクセス、JALと同じ委託先経由で 個人情報をのぞき見た痕跡も』（2026年10月29日公開）
- ［15］ZDNet Korea『대한항공·아시아나, 개인정보 유출 확인…IT 협력사가 '구멍'』（2026年10月24日公開）
- ［16］Thomson Reuters『Malaysia Airlines says customers may be affected by Amadeus breach』（2026年11月1日公開、Reutersの配信）
背景資料
- ［17］Amadeus IT Group, S.A.『All Nippon Airways to transform and maximize operational efficiency with global Amadeus partnership』（2023年2月14日公開）
更新記録
- 2026年11月1日：公開した。
- 2026年11月3日：題の言い回しを改めた（事実と出典は変えていない）。