全日本空輸：Amadeus社が提供する旅客サービスシステムへの不正アクセスについて

日本経済新聞によれば、全日本空輸（ANA）は2026年10月29日、航空便の予約情報への不正アクセスで、旅客の一部の個人情報が第三者に参照された形跡があると発表した。対象の件数などは確認中とされた [s6]。共同通信は同日、旅客サービスシステムの委託先が不正アクセスを受け、顧客の個人情報が流出した可能性があると報じた [s7]。なお、日本経済新聞の関連記事の見出しには、翌10月30日付の「ANA、予約客3万7800人に不正アクセスの形跡　一部はパスポート番号も」があり、共同通信の関連見出しにも「全日空、3万7800人分が流出　委託先に不正アクセス、顧客情報」がある。これらは公表時点の要約より後に人数が示されたことを示す見出しである [s6][s7]。

侵入経路と影響については、日本経済新聞によれば、不正アクセスを受けたのはスペインのアマデウス社のクラウド型旅客管理システム「Altea（アルテア）」である。ANAは2015年に国際線、2026年5月に国内線で、自社システムからこれに切り替えていた [s6]。ANAの事案は、システムを提供する委託先側で起きた不正アクセスという形をとっている [s7]。

同じアルテアを利用する日本航空（JAL）も、10月28日に不正アクセスが確認されたと発表していた [s6]。plastic-pallet.co.jp の解説記事によれば、JALとJTAは10月28日、約9万2000人の予約情報が見られたおそれがあると発表した。そのうち約2000人はパスポート番号や電話番号なども対象で、期間は2023年8月10日から2026年9月23日までとされる。JALはクレジットカード番号とパスワードは漏れていないとしており、10月28日時点で悪用は確認されていないという [s8]。同記事によれば、アマデウスがJALに報告したのは10月23日で、同じ日に韓国の大韓航空とアシアナ航空も、同じアマデウスの件で予約番号の流出を発表した [s8]。これらはJALと韓国2社の発表内容であり、ANAの被害の期間や項目に当てはまるかは、ANAの発表を待つ必要がある [s8]。

同記事は、侵入の方法や長期間気づかなかった理由は10月28日時点で発表されておらず、アマデウスは必要な安全対策は済ませたとしていると伝えている [s8]。同記事は、最近の情報漏えいは委託先のシステムから起きる例が増えていると指摘する [s8]。

ANAの公表では、Amadeus社と緊密に連携して影響範囲の特定を急ぎ、詳細が確認でき次第、対象の旅客に知らせるとしている [s6]。攻撃者側の主張やリークサイトへの掲載に関する情報は、今回の出典には含まれていない。