日本航空と日本トランスオーシャン航空は10月28日、航空券の予約や発券に利用する外部システムが不正アクセスを受け、約9万2000人の利用者情報が第三者に閲覧されたおそれがあると公表した。対象には氏名や予約に関する記録が含まれ、一部ではパスポート番号なども流出した可能性がある。現時点で運航や予約への支障は発生しておらず、情報の悪用による被害も確認されていない。
航空券予約システムへの侵入で個人情報流出が発覚
今回の問題は、日本航空が航空券の予約や発券に使用している旅客サービスシステムで発生した。システムの運営を担当するアマデウスITグループが外部から不正アクセスを受け、保存されていた利用者情報の一部が閲覧された形跡が見つかった。
日本航空は10月23日、システムの運営会社から不正アクセスと個人情報流出の可能性について連絡を受けた。その後、影響が及んだ利用者の範囲や閲覧された情報の内容を確認し、10月28日に事案を公表した。
情報流出の対象となったのは日本航空だけではない。同じ旅客サービスシステムを利用していた日本トランスオーシャン航空の予約記録も含まれており、両社の利用者を合わせて約9万2000人に影響が及んだとされる。
約9万2000人の予約記録が対象となった経緯
対象となる予約記録の期間は、2023年8月10日から2026年9月23日までに及ぶ。この期間に日本航空または日本トランスオーシャン航空の便名で予約された航空券のうち、一部の利用者情報が外部から参照された形跡が確認された。
閲覧されたおそれがある情報には、利用者の氏名、航空券の予約番号、搭乗日、搭乗区間などが含まれる。予約内容と個人を結び付ける情報が対象となっており、単なる利用人数や便の運航状況に関するデータではない。
約9万2000人という人数は、両社の対象期間内の予約記録に基づくものだ。公表された内容では、該当期間のすべての利用者ではなく、外部から閲覧された形跡がある一部の予約情報が対象とされている。
約2000人は旅券番号など追加情報も対象に
影響が確認された利用者のうち、約2000人については、氏名や予約内容以外の個人情報も閲覧されたおそれがある。具体的には、メールアドレス、電話番号、パスポート番号、国籍、マイレージ番号などが含まれる。
これらの情報は、航空券の予約に関する基本情報とは異なり、利用者の連絡先や渡航に関係する内容を含んでいる。約9万2000人全員について同じ種類の情報が閲覧されたわけではなく、情報の範囲には違いがある。
一方、クレジットカード番号については流出していないと説明されている。今回公表された個人情報の範囲には、航空券の決済に使用されたカード番号は含まれていない。
航空便の運航と予約業務に影響は確認されず
日本航空は、不正アクセスが発生したものの、航空機の運航や航空券の予約業務には影響が出ていないと説明した。今回の事案は旅客情報を扱うシステムに関係するものであり、運航停止や予約サービスの中断は報告されていない。
また、10月28日の発表時点では、流出したとされる情報が悪用されたことによる具体的な被害も確認されていない。情報が外部から閲覧された形跡があることと、実際に悪用された被害が確認されていることは区別されている。
同社は今回の事態について、利用者や関係者に謝罪した。予約記録の一部が第三者に閲覧された問題として、対象者数と情報の種類を明らかにしている。
ANAも同一システムの不正アクセスを受け影響確認へ
今回の不正アクセスを巡っては、ANAホールディングスにも関連する動きがある。同社もアマデウスITグループのシステムを利用しており、運営会社から不正アクセスがあったとの連絡を受けた。
ANAホールディングスは、自社の利用者情報が影響を受けているかどうか確認を進めている。日本航空と日本トランスオーシャン航空では約9万2000人の情報が対象となった一方、ANA側については情報流出の有無や規模は明らかになっていない。
航空会社が外部事業者のシステムを利用する中で、今回は複数の航空会社が同じ不正アクセス事案に関係する状況となった。日本航空側では情報流出の対象と内容が公表され、ANA側では引き続き影響の確認が行われている。