日本脆弱性総合ポータル

日本航空：委託先の旅客サービスシステムで予約情報の一部が参照された形跡、約92,000名が対象

重要度
約92,000名
公表日
2026.10.28
原因の分類
サプライチェーン、侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 委託先のAmadeus社のシステムに不正アクセスがあった。
  2. 侵入口は未公表で、約92,000名の予約情報の一部が対象。
  3. JALを装った不審メール・電話・偽サイトに注意が必要。

2026年10月23日、日本航空と日本トランスオーシャン航空の旅客サービスシステムの委託先アマデウス社から、同社システムへの不正アクセスにより予約情報の一部が外部から参照された形跡があったと報告を受けたと、2026年10月28日に公表された。クレジットカード番号や各種パスワードの漏えいはなく、不正使用は確認されていない。運航への影響もない。

確認された経路・公表元の推定

  1. 2023年8月10日から2026年9月23日までの期間、アマデウス社のシステムで予約記録が外部から参照された形跡がある。
  2. 2026年10月23日、アマデウス社が日本航空と日本トランスオーシャン航空に不正アクセスを報告した。
  3. 2026年10月28日、日本航空と日本トランスオーシャン航空が本件を公表した。

根拠の要点

日本航空の公表は、委託先アマデウス社からの報告を根拠とする。報告の内容は、同社システムへの不正アクセスにより予約情報の一部が外部から参照された形跡があったというものだ。侵入口や経路は書かれていない。

資料の基準時点：2026年10月28日時点

当時、対策できたのか

判定保留

資料には、アマデウス社が必要なセキュリティ対策を完了したと書かれているだけで、侵入口や攻撃時点の防御状態、既知の脆弱性への対応の有無は書かれていない。そのため対策の欠落も発覚時の未発見も判断できず、判定を保留する。

公表された対策

  • アマデウス社はすでに必要なセキュリティ対策を完了している。
  • 対象のお客さまへ個別に連絡し、JALグループを装った不審メール・不審電話・偽サイトへの注意喚起を含め、必要な対応を行う。
  • 本件専用の問い合わせ窓口を2026年10月29日から設置する。

この事例を理解するための動画

まだ分からないこと

  • 侵入口・手口・攻撃者は資料に書かれていない。
  • アマデウス社が実施した必要なセキュリティ対策の具体的な内容は書かれていない。
  • 予約記録以外の情報が参照されたかは書かれていない。

関連する事例

同じ原因分類の事例

事例の一覧に戻る