ANA、予約情報3.8万人分に不正アクセス　JALと同じシステム提供元

ANA予約情報、約3万7800人分に参照形跡

全日本空輸（ANA）は2026年10月30日、予約情報などを扱う旅客サービスシステムの提供元、Amadeus IT Group S.A.（本社・スペイン）のシステムに第三者が不正アクセスし、約3万7800人分の予約情報が参照された形跡があると公表した。対象は2023年8月10日から2026年9月23日にANAで予約した一部の利用客だ。

参照された形跡がある情報は二段階に分かれ、約3万6100人については氏名、予約番号、搭乗日、搭乗区間、搭乗クラスが対象だ。約1700人はこれらに加え、メールアドレス、電話番号、パスポート番号、国籍、マイレージ番号、航空会社、便名、航空券番号、座席番号なども対象となる。クレジットカード情報とパスワードは含まれていない。

ANAはアマデウスから、今回の不正アクセスに関わる認証情報はすでに無効化され、監視体制が強化されたとの報告を受けているという。対象の利用客には順次連絡するとともに、ANAグループを装った不審なメール、電話、ウェブサイト、SNS上の広告への注意を呼びかけている。

不正アクセス発覚から公表までの経緯

ANAの公式発表には、不正アクセスの検知日や報告日が記されていない。一方、Aviation Wireの報道によると、アマデウスが第三者の不正アクセスを検知したのは9月24日だ。ANAは10月16日、アマデウスを使う他社でも不正アクセスが確認されたとの情報を得て影響を照会し、10月20日にアマデウスから報告を受けたという。検知した9月24日からANAが報告を受けた10月20日まで、26日間の開きがあった。

同報道によると、ANAは10月29日に予約情報の一部が外部から参照された形跡を公表し、翌30日に人数などを明らかにした。あわせて個人情報保護委員会などにも報告している。ANAがアマデウスに確認したところ、ランサムウェア被害やデータの改ざん・削除の証拠は確認されておらず、サービスの中断もないという。

ANA経由の3社にも参照の形跡

ANA経由で旅客サービスシステムの提供を受けているエア・ドゥ、ソラシドエア、スターフライヤーの3社も、個人情報が参照された形跡があるとの報告をANAから受けたことを、10月29日から30日にかけて公表した。

エア・ドゥとソラシドエアはANAと連携して影響範囲を調べている段階で、人数や情報項目は示していない。

スターフライヤーは、対象を2025年7月28日から2026年9月23日に予約した一部の客としている。参照された形跡がある情報は氏名、予約番号、搭乗日、搭乗区間、搭乗クラス、メールアドレス、電話番号、マイレージ番号、航空会社、便名、航空券番号、座席番号などで、パスポート番号の記載はないが、項目は「など」で終わっている。クレジットカード情報とパスワードは含まれておらず、人数も公表していない。

JALも同じ提供元で約9万2000人分

同じ提供元をめぐっては、日本航空（JAL）と日本トランスオーシャン航空（JTA）も、約9万2000人分の予約情報が参照された形跡があると公表している。このうち約9万人は予約番号、氏名、搭乗日、搭乗区間、搭乗クラスが対象で、約2000人はこれらに加えてメールアドレス、電話番号、パスポート番号、国籍、マイレージ番号、航空会社、便名、航空券番号、座席番号なども対象となる。

JAL・JTAが示した予約記録の参照形跡の期間は、ANAが対象とする予約期間と同じ日付の2023年8月10日から2026年9月23日だ。対象はJALとJTAの便の予約記録の一部で、両社は10月23日にアマデウスから報告を受け、対象の利用客にはすでにメールで連絡している。クレジットカード番号とパスワードの漏えいはなく、現時点で情報が不正に使われた事実も確認されていないという。

ANAが公表した約3万7800人と、JAL・JTAが公表した約9万2000人を単純に足すと約13万人分になる。ただし、同じ人が両方を利用している場合の重複は発表で示されておらず、実際の人数は分からない。ANA経由の3社は人数を公表しておらず、この合算に含まれるかどうかも分からない。

ANAとJAL・JTAが受けた報告は、いずれも提供元のシステムへの不正アクセスに関するものだ。対象期間の定義はANAが予約した期間、JAL・JTAが参照された形跡のある期間と異なるが、示された日付は同じで、ANA経由の3社にも報告が及んでいる。

出典

• 全日本空輸「Amadeus社 旅客サービスシステムへの不正アクセスについて」（2026年10月30日）
• Aviation Wire「ANA、不正アクセス影響3.8万人　1700人はパスポート番号も＝アマデウス問題」
• 日本航空・日本トランスオーシャン航空「Amadeus社が提供する旅客サービスシステムへの不正アクセスと対応について」
• スターフライヤー「Amadeus社が提供する旅客サービスシステムへの不正アクセスについて」（2026年10月30日更新）

NEWS LETTER編集部が選ぶ注目記事をお届け限定イベントや独自レポートも先行案内ニュースレター登録