JALを使ったことがある人がまず知りたいのは、自分の情報が漏れたのかどうかだろう。JALは10月28日、約9万2000人分の予約データの一部に外部から不正アクセスがあったと公表した。ただし破られたのはJALのシステムではない。予約の管理を任せていた、アマデウス（Amadeus IT Group）という会社だ。本稿は、この件を報じた米メディアThe Recordの内容に基づく。
JALで予約情報約9.2万人分が漏えい
アマデウスは、世界の航空会社が共用する予約システムを運営する会社だ。航空券の予約から発券、搭乗手続きまでの裏側を請け負っている。JALは自前でこの仕組みを持たず、専門の会社に任せてきた。自社の店の会計を、外部の会計事務所に預けているようなものだ。預け先を選んだのはJALであり、利用者ではない。JALの便を予約しただけのつもりでも、予約に関する情報は別の会社のシステムに置かれていた。
そのアマデウスが不正アクセスを受けた。JALと日本トランスオーシャン航空の便の予約データの一部に、ハッカーがアクセスしたという。アマデウスがJALに通知したのは、公表の前の週だ。
先に、気になる点を挙げておく。JALによると、クレジットカード番号は漏えいしていない。運航への影響もない。
漏えいした項目
影響を受けた顧客は合計で約9万2000人。流出したのは、氏名、予約コード、フライト情報だ。
深刻なのは、このうち約2000人のJAL顧客である。この人たちは、パスポート番号、マイレージ番号、メールアドレス、電話番号も盗まれた。全体の2%ほどにすぎない。それでもパスポート番号は、カードのように止めて作り直せば済む情報ではない。番号を変えるには、パスポートそのものを取り直すことになる。
対象者への連絡と注意点
JALは対象者に個別に連絡するとしている。あわせて、フィッシングメール、不審な電話、JALを装った偽サイトに注意するよう呼びかけている。
氏名、予約コード、電話番号、メールアドレスがそろっていれば、本物の予約確認を装ったメールや電話は作りやすくなる。
分からないことも多い。報道では、不正利用の有無や、アマデウス自身のコメント、個人情報保護委員会への報告状況は伝えられていない。報道が伝えた範囲では、ここまでが確認できる事実である。
背景に相次ぐ日本企業の被害
報道は背景として、直近2週間の日本企業への相次ぐ被害を挙げている。ソニー系のプロバイダーで250万人超、バーガーキング・ジャパンで1100万人、カプコンで1170万人。オンライン金融の為替取引サービスでは顧客に損失が出た。高市首相は月曜に関係閣僚会議を開き、緊急対策パッケージを表明している。
報道は、これらとJALの件の関連を示していない。侵入の手口や原因も伝えていない。並べて語れるのは、被害が続いている時期にJALの公表が重なったという点までだ。
企業が確認しておきたいこと
この件は、JALを使う個人だけの話ではない。出張の手配を旅行会社や予約サービスに任せている会社なら、同じ構造の中にいる。確認したいのは次の点だ。
- 予約や業務システムを任せている外部の会社で侵害があったとき、自社にどんな経路で、どれくらい早く連絡が来るのか
- 出張手配のために渡している従業員のパスポート番号などが、どの会社のシステムに置かれているのか
- JALで出張した従業員に、予約確認を装ったメールや電話、偽サイトへの注意を伝えたか
今回、アマデウスからJALへの通知は公表の前の週だった。自社の委託先で同じことが起きたとき、その連絡が誰に届くのかは、起きる前に決めておくしかない。
出典
- The Record「Japan Airlines warns of breach as country grapples with incidents」（2026年10月28日）: https://therecord.media/japan-airlines-warns-of-breach-country-grapples-with-incidents
- 元の発表はJALが10月28日に公表したお知らせ。JAL公式サイトのお知らせは確認できなかったため、本稿はThe Recordの報道が伝えた範囲にとどめている。
