日本航空（JAL）と日本トランスオーシャン航空（JTA）は10月28日、予約・発券・搭乗手続きを処理する旅客サービスシステムの委託先、スペインのアマデウス（Amadeus IT Group）のシステムが不正アクセスを受け、約9万2000人分の予約情報が外部から閲覧された形跡があると発表した。うち約2000人は、メールアドレスや電話番号、パスポート番号、国籍まで対象に含まれる。
JAL のサイトで予約するとき、アマデウスという名前はまず目に入らない。けれど予約の記録そのものは、その会社のシステムの上に置かれていた。
約9万人と約2000人で違う中身
報道によると、閲覧された形跡がある項目は2つの層に分かれる。
- 約9万人: 予約番号、氏名、搭乗日、搭乗区間、搭乗クラス
- 約2000人: 上記に加え、メールアドレス、電話番号、パスポート番号、国籍、マイレージ番号、航空会社、便名、航空券番号、座席番号
対象は、2023年8月10日から2026年9月23日までの、JAL と JTA の便名で予約された記録の一部だ。Aviation Wire によると、この期間はアマデウスのシステム上に予約情報があった期間で、予約日や搭乗日の範囲ではない。3年前に一度予約しただけの記録でも、期間に入りうる。
クレジットカード番号と各種パスワードは漏えいしていないとしている。28日時点で情報が不正に使われた事実は確認されておらず、運航への影響もないという。
委託先の予約システムという見えない経路
JAL は2017年11月にアマデウスの旅客サービスシステムへ移行した。両社が不正アクセスの報告をアマデウスから受けたのは10月23日で、アマデウスは必要なセキュリティ対策を完了したとされる。不正アクセスがいつ起きたのかは明らかにされていない。
トラベルボイスによると、同じ10月23日には、アマデウスのシステムへの不正アクセスで大韓航空とアシアナ航空の客の予約番号が流出したことも分かっている。複数の航空会社が同じ会社のシステムに予約を預けていれば、ひとつの委託先で起きたことが、会社をまたいで客に及ぶ。
届いた連絡と、旅券で確かめること
JAL は対象者に個別に連絡するとしている。同時に、JAL グループを装った不審なメール、電話、偽サイトへの誘導に注意するよう呼びかけている。予約番号と氏名、搭乗日が正しく書かれていても、送り主が JAL だとは限らない。届いたメールのリンクではなく、自分で JAL のサイトを開くか、専用窓口に自分でかけるほうが確かだ。
専用窓口は10月29日（木）から開設すると発表されている。番号は国内が 0120-25-6050 と 03-4332-7280、海外からは +81-3-4332-7280。受付は日本時間10時から17時で、土日祝日は休みだ。
パスポート番号が含まれる約2000人には、別の重さがある。パスワードと違い、旅券の番号は自分で取り替えられない。番号を変えるには旅券を作り直すしかなく、手数料と申請の手間がかかる。報道で伝えられた範囲では、JAL は旅券の再発行などについて案内していない。個別の連絡で、自分の記録のどの項目が対象だったかが分かる。旅券をどうするかは、そこからの判断になる。
次に見ておきたいのは、JAL 公式サイトのお知らせ「Amadeus社が提供する旅客サービスシステムへの不正アクセスについて」と、対象者に届く個別の連絡だ。
ことば
- 旅客サービスシステム — 航空会社の予約、発券、搭乗手続きをまとめて処理する仕組み。専門の会社のシステムを使う航空会社もあり、JAL はアマデウスのシステムを使っている。
- NU 便 — JTA の便名に付く記号。JAL の JL 便とは別の記号で、沖縄を中心とする路線で使われる。今回の対象には、この便名の予約記録も含まれる。
この3年のあいだに JAL か JTA の便を予約したとき、あなたはパスポート番号まで入力しただろうか？
