アマデウスの認証情報を悪用した不正アクセス、JALなどの乗客約9万2,000人に影響

アマデウスの認証情報を悪用した不正アクセス、JALなどの乗客約9万2,000人に影響

航空予約システムを提供するアマデウス（Amadeus IT Group）の旅客サービスシステム（PSS）で、システムアカウントの認証情報を利用した不正アクセスが発生した。この影響により、日本航空（JAL）と日本トランスオーシャン航空の乗客約9万2,000人分の予約情報が、第三者に閲覧された可能性がある。日本航空は10月23日に不正アクセスに関する通知を受け、30日に事案を公表した。大韓航空とアシアナ航空もアマデウスから同様の通知を受けているが、影響を受けた利用者数は明らかにしていない。

日本航空の発表によると、外部から閲覧された形跡がある予約記録の対象期間は、2023年8月10日から2026年9月23日までとなっている。ただし、これは不正アクセスが約3年間継続していたことを意味するものではなく、実際の侵入時期やアクセスが続いていた期間は明らかになっていない。

影響を受けた乗客のうち約9万人については、予約番号、氏名、搭乗日、搭乗区間、座席クラスなどの情報が閲覧された可能性がある。残る約2,000人については、これらに加え、メールアドレス、電話番号、パスポート番号、国籍、マイレージ会員番号、便名、航空券番号、座席番号なども対象に含まれていた。日本航空は、クレジットカード番号やパスワードは今回の対象に含まれておらず、現時点で情報の不正利用や航空便の運航への影響は確認されていないと説明している。

大韓航空とアシアナ航空は、それぞれ10月20日午後10時44分と同日午後10時49分に、アマデウスから不正アクセスに関する通知を受け、23日に関連する案内を公表した。両社の説明によると、第三者がアマデウスのシステムアカウントのログイン認証情報を使用し、予約情報に不正にアクセスしたという。ただし、認証情報がどのような経緯で第三者に渡ったのかは明らかになっていない。両社は、自社のデータベースが直接侵害された形跡は確認されていないとしている。

このほか、全日本空輸（ANA）は約3万7,800人の乗客情報が影響を受けたと発表した。キャセイパシフィック航空も、約5万3,000件の予約情報が影響を受けたことを明らかにしている。

今回の事案は、航空会社自身のシステムが直接侵害されていなくても、共通のシステム提供事業者の認証情報が悪用されることで、複数の航空会社の予約情報にアクセスされる可能性があることを示している。ただし、同一のアカウントがすべての航空会社の情報へのアクセスに使用されたかどうかは、公開された情報だけでは確認できない。

予約番号や搭乗予定、連絡先などの情報が組み合わされた場合、航空券の変更や払い戻し、予約確認などを装ったフィッシングメールや詐欺電話に悪用される恐れがある。日本航空は、影響を受けた顧客に個別のメールで通知するとともに、航空会社を装った不審な連絡に注意するよう呼びかけている。