航空会社の予約システムの委託先Amadeusへの不正アクセス｜影響を公表した会社

何が起きたか

スペインの Amadeus IT Group, S.A. は、航空会社などに予約・発券・搭乗手続きを処理するシステムを提供しています。このシステムへの第三者の不正アクセスで、各社の客の予約の情報の一部が外部から参照された形跡があったと、利用する会社が公表しています。 日本航空は、2026年10月23日に Amadeus から報告を受けたとしています。侵入の経路・原因は、各社の発表には書かれていません（日本航空・全日本空輸の2026年10月30日時点の発表）。

影響を公表した会社

Amadeus のシステムを使っていた会社が、それぞれ自社の客への影響を公表しています。2026年11月11日までに当サイトが各社の発表で確かめた分です。

会社	公表日	件数・内容（各社の発表）
日本航空・日本トランスオーシャン航空	2026年10月30日（ページの日付）	2023年8月10日〜2026年9月23日の予約の一部、約92,000名。約90,000名は予約番号・氏名・搭乗日・区間・クラス、約2,000名はさらにメールアドレス・電話番号・パスポート番号・国籍・マイレージ番号など。クレジットカード番号・パスワードの漏えいはないとしています
全日本空輸	2026年10月30日（ページの日付）	2023年8月10日〜2026年9月23日に予約した一部の客、約37,800名。約36,100名は氏名・予約番号・搭乗日・区間・クラス、約1,700名はさらにメールアドレス・電話番号・パスポート番号・国籍・マイレージ番号など。クレジットカード情報・パスワードは含まないとしています。該当する認証情報は無効にしたとしています
LEGOLAND Japan	2026年9月25日	ホテルの公式予約サイトの予約1,557件の氏名・メールアドレス・電話番号。決済情報・パスワード・パスポートの情報へのアクセスは確認されていないとしています（企業ページ：レゴランド・ジャパン）

会社の対応

• 日本航空は、クレジットカード番号・パスワードの漏えいや不正な使用は確認されておらず、運航への影響もないとしています
• 全日本空輸は、該当する認証情報を無効にしたとしています
• 各社とも、予約の情報を使った不審なメール・電話への注意を呼びかけています

この事例から中小企業が学べること

• 予約・発券などを外部のシステムに任せていても、事故は自社の客への連絡と説明につながる。委託先にどの情報を何年分置いているかを把握しておく
• 古い予約の情報を長く残さない。今回は約3年分の予約が対象になりました
• 委託先から報告を受けたときの、件数の確認・客への案内・問い合わせ窓口の用意の手順を決めておく
• 予約番号や搭乗日などを知っている相手からの連絡でも、本物とは限らないことを客に伝えておく