JAL予約情報への不正アクセス、約9万2,000人が対象｜海外でも公表、利用者が確認したいこと

JALの予約情報への不正アクセスは、海外の航空会社でも公表されているAmadeus（アマデウス）をめぐる問題として、背景にも目を向けたい事案です。

2026年10月28日、JALと日本トランスオーシャン航空（JTA）は、委託先Amadeusのシステムへの不正アクセスにより、約9万2,000人の予約情報に外部から参照された形跡があったと発表しました。

一方、大韓航空とアシアナ航空も、Amadeusのシステムで一部顧客の予約番号が流出した形跡があると公表しています。

自分は対象なのか。予約番号や旅程が知られると何が心配なのか。そして、約3年に及ぶ期間は何を意味するのか。各社の公式発表と海外報道を踏まえ、利用者の視点で整理します。

※2026年10月28日時点で確認した情報に基づきます。JAL・JTAの発表と、韓国2社の発表は区別して記載しています。

JAL・JTAの対象情報は？ 約9万人と約2,000人で異なる

JALによると、対象はJAL・JTA便名の予約記録の一部です。参照された形跡がある情報は、対象者によって異なります。

約9万2,000人全員について、パスポート番号や連絡先まで対象になったという発表ではありません。

JALは、クレジットカード番号と各種パスワードの漏えいはなく、本件による運航への影響もないと説明しています。また、発表時点で対象情報の不正使用は確認されていないとしています。

大韓航空・アシアナ航空でも公表。海外では何が説明されている？

この問題を理解する参考になるのが、大韓航空とアシアナ航空の公式発表です。

両社は、Amadeusのシステムアカウントに付与されたログイン認証情報を使った不正アクセスが発生したと説明しています。一部顧客の予約番号が流出項目に含まれ、その他の項目は確認中としています。

また、両社は自社システム・データベースへの侵害の形跡はないと説明。Amadeusから、不正アクセスの遮断やダークウェブ監視などの措置について報告を受けたとしています。

JAL側の発表と並べると、共通点と説明範囲の違いが見えてきます。

委託先と期間に共通点はありますが、公開情報だけで、各社の事案が同じアカウント・同じ経路によるものとまでは確認できません。韓国2社の説明を、そのままJALの侵入経路として断定することは避ける必要があります。

約3年間、ずっと「丸見え」だったということ？

JALが示した期間は、2023年8月10日から2026年9月23日。約3年1カ月に及びます。

これほど長い期間が示されれば、「その間ずっと情報を見られる状態だったのか」と疑問を持つのは自然です。

ただし、JALの表記は、予約記録が外部から参照された形跡がある期間を示したものです。毎日アクセスされていたのか、断続的だったのか、不正アクセスが可能な状態がいつから続いていたのかまでは説明されていません。

韓国2社も、2023年8月から2026年9月の間に発生したと推定しつつ、正確な時期は調査中としています。

現時点で言えるのは、約3年に及ぶ期間が各社の説明に登場しているということです。「3年以上ずっと丸見えだった」「3年間放置していた」とまで断定できる情報は示されていません。

なお、JALが示した日付は対象の搭乗期間ではありません。その間に搭乗したかどうかだけで、自分が対象か対象外かは判断できません。

なぜ複数の航空会社に関係するのか

JALの発表によると、Amadeusは、予約・発券や搭乗手続きを統合的に処理する旅客サービスシステムの委託先です。大韓航空とアシアナ航空も、同社のシステムを利用しています。

利用者が航空会社に預けた情報は、サービスを提供するために委託先のシステムでも扱われます。そのため、航空会社の自社データベースへの直接侵害がなくても、外部のシステムで情報の問題が起こり得ます。

今回の件は、利用者のパスワード管理だけでは防げない領域でも、予約情報を守る仕組みが必要だと考えさせられます。

ただし、Amadeusを利用しているという理由だけで、別の航空会社の利用者も対象と判断することはできません。利用先ごとの公式発表を確認する必要があります。

カード番号がなくても、予約情報が知られるとなぜ心配？

カード番号やパスワードの漏えいがないことは、確認しておきたい情報です。一方、氏名や搭乗日、行き先も、他人に知られたくない個人的な情報です。

例えば、自分の搭乗日や行き先を知っている相手から「予約の確認が必要です」と連絡が来た場合、正規の案内だと思い込みやすくなる可能性があります。

「予約番号を知っているから本物」「旅程が合っているから信用できる」とは限りません。

これは想定されるリスクの説明です。今回、JALの対象情報を使った詐欺が確認されたという意味ではありません。また、予約番号を知られただけで必ず予約変更やキャンセルができると断定することもできません。

JAL利用者が確認しておきたい4つのこと

1. 個別連絡で、自分の対象情報を確認する

JAL・JTAは、対象者に今後個別に連絡するとしています。

連絡を受けた場合は、対象になった情報の範囲と、具体的な案内を確認しましょう。まだ連絡がないことだけを理由に、対象外と決めつけるのは避けたいところです。

2. メール内のリンクに頼らず、公式の案内を確認する

個別連絡に便乗した偽の案内にも注意が必要です。

予約内容を知っている相手でも、リンク先でパスワードやカード番号の入力を求められたら、すぐに応じず確認しましょう。普段使っているJALアプリや、自分で開いた公式サイトから案内を探す方法があります。

韓国2社も、出所不明のリンクや添付ファイル、個人情報の入力要求に注意するよう呼びかけています。

3. パスワード変更やカード再発行は、個別の状況に応じて判断する

JALの今回の発表には、利用者全員にパスワード変更やカード再発行を求める案内はありません。

まずは対象情報と公式の案内を確認しましょう。不審なサイトに情報を入力してしまった場合は、今回の対象者かどうかとは別に、入力した情報に応じた対応が必要です。

4. 自分で確認できる範囲と、調査を待つ点を分ける

自分の予約内容や利用明細を確認しても、過去に第三者から情報を参照されたかどうかまでは分かりません。

個別連絡を確認し、不安な点は専用窓口へ問い合わせる。そのうえで、アクセスの経緯や対象範囲については、続報を確認していくことになります。

JALの専用問い合わせ窓口

問い合わせ前に、公式サイトで最新の受付情報を確認してください。

個別連絡と続報で、確認したいこと

今回、JAL利用者がまず確認したいのは、自分が対象かどうかと、どの情報が含まれているかです。

同時に、約3年に及ぶ期間の中で、いつ、どのようなアクセスが行われたのかも、今後説明が求められる点でしょう。

海外では、同じ委託先をめぐって認証情報を使った不正アクセスが公表されています。ただし、各社で確認された事実は分けて受け止める必要があります。

予約情報を知っている相手からの連絡でも、それだけで信用せず、公式の案内を確認する。利用者としては、その点を意識しながら、個別連絡と調査の続報を待ちたいところです。