01
破られたのは、予約を預けていた先
事件の概要
- 被害
- JAL・JTAが予約業務を委託するアマデウスの旅客システム（JL便・NU便の予約）
- 発覚・公表
- 2026年10月23日にアマデウスから報告、10月28日に公表
- 規模
- 約9.2万人（約9万人＋約2,000人）
- 原因
- アマデウスのシステムへの不正アクセス。侵入の時期と方法は公表されていません
- 対応
- アマデウスは必要なセキュリティ対策を実施済み。JALは対象者へ個別に連絡し、専用窓口を開設
- 2026/10/20
韓国の航空会社2社に通知
アマデウスから大韓航空とアシアナ航空へ。2社は10月23日に公表しました。
- 2026/10/23
JAL・JTAに通知
予約情報の一部が外部から参照された形跡がある、という報告でした。
- 2026/10/28
約9.2万人分の可能性を公表
対象のお客様に個別に連絡するとしています。
- 2026/10/29
専用の問い合わせ窓口を開設
JALグループを名のる不審なメールや電話、偽のサイトへの注意も呼びかけています。
9.2万人
3年以上
参照された可能性がある情報
大半の方約9万人
一部の方約2,000人
クレジットカード番号やパスワードの漏えいはなく、予約情報が不正に使われた事実も、公表の時点では確認されていません（出典：Aviation Wire）。
02
3年分の予約が、そこに残っていた
今回の対象は、2023年8月10日から2026年9月23日までにシステムにあった予約です。搭乗が終わった予約も、何年も残っていたことになります。
旅館やホテル、サロン、教室など、中小企業でも予約や会員の管理を外のサービスに任せるのはふつうになりました。便利な反面、どれだけ古い顧客の情報が、どこに残っているのかは見えにくくなります。
予約や会員を外に任せている会社の4つ
- 1どのサービスに、どんな顧客情報があるか書き出す予約、会員、決済、メール配信。名前とアカウントの担当者を一覧にしておきます。
- 2古い予約や会員の情報を消す設定を終わった予約をいつまで残すか、サービスの設定や委託先との取り決めで決めておきます。
- 3本人確認の書類番号は、必要なときだけパスポートや免許証の番号を入力させる項目が、本当に必要か見直します。
- 4管理画面のアカウントを守る退職者のアカウントを残さない。2段階認証を有効にする。共有のパスワードを使わない。
予約や会員の入口になる自社のサイト、外から診断しませんか
ドメインを入力するだけで、外から見えている弱点を無料で診断します。
出典
- 日本航空・日本トランスオーシャン航空のお知らせ（2026年10月28日）
- Aviation Wire「JALとJTA、アマデウス不正アクセスで予約情報9.2万人対象 クレカやパスワード流出なし」（2026年10月28日）
- トラベルボイス「JAL、委託先アマデウスに不正アクセス、約9万2000人の予約情報が閲覧された可能性、一部パスポート番号も」（2026年10月28日）
- piyolog「Amadeus の旅客サービスシステムへの不正アクセスについてまとめてみた」（2026年10月28日）
※ 本記事は公表された情報と公的統計に基づく一般向けの解説です。攻撃の再現手順は扱いません。各社の最新の発表もあわせてご確認ください。