JAL・ANAで旅券番号など流出のおそれ──なぜ今相次ぐのか、スペインは安全なのか

JAL・日本トランスオーシャン航空（JTA）とANAで、パスポート番号を含む予約情報が第三者に参照された形跡が明らかになった。10月30日に確認した両社の発表によると、対象はJAL・JTAが約9万2,000人、ANAが約3万7,800人で、旅券番号など追加の情報が対象に含まれる区分は、それぞれ約2,000人と約1,700人だ。共通の委託先はスペインに本社を置く旅行IT企業アマデウスで、香港のキャセイパシフィックも被害を公表している。日本で漏えい報告が相次いでいることは事実だが、スペインでもデータ侵害や旅券情報の流出のおそれが報告されている。今回の問題は、国境を越える予約基盤への依存と、情報を守る仕組みを併せて見る必要がある。

何が参照されたのか──全員の旅券番号ではない

JAL・JTAの発表は、予約・発券・搭乗手続きなどを統合する旅客サービスシステムの委託先から、10月23日に報告を受けたというものだ。予約記録が外部から参照された形跡がある期間を、2023年8月10日から2026年9月23日としている。

ANAの30日付の発表は、同じ2023年8月10日から2026年9月23日までの間に予約した一部の顧客約3万7,800人を対象とする。両社の公表文では期間の説明の仕方も異なるため、対象期間、攻撃を検知した日、航空会社が連絡を受けた日、公表日を同じものとして扱うことはできない。

この表から、対象者全員の旅券番号が流出したとは読めない。また、航空会社ごとの対象人数には同じ利用者が含まれる可能性があり、足し合わせて重複のない被害者数とすることもできない。各人についてどの情報が対象となったかは、個別の案内で確認する必要がある。

両社はクレジットカード番号とパスワードの漏えいはないとしている。JALは運航への影響もないと説明した。ただし、これらは予約情報の参照がなかったという意味ではない。氏名や旅程、連絡先だけでも、航空会社を装う連絡を本物らしく見せる材料になり得る。

日本だけの侵入ではなく、共通の委託先を介した問題

アマデウスは航空会社向けの予約関連システムを提供する企業だ。ANAの発表は同社の本社をスペインと明記している。日本の航空会社を利用していても、その予約情報を処理するサービスは国境を越えてつながっている。

キャセイパシフィックも30日、アマデウスから28日に連絡を受け、29日に追加情報を受領したと発表した。同社関連では約5万3,000件の予約が影響を受け、多くは予約番号・乗客名・搭乗情報、一部は連絡先や渡航文書番号などが対象になった可能性があるという。これは「予約件数」であり、JAL・ANAの人数と同じ単位で合算できない。

キャセイの説明では、第三者はシステムのアカウントに割り当てられたログイン認証情報を使って予約データにアクセスした。ANAも、問題の認証情報は無効化され、監視が強化されたとの報告を受けたとしている。ここから確認できるのは、認証情報の管理とアクセスの監視が論点になっていることだ。

アマデウス自身も2026年10月の声明で、旅行予約の表示環境に脆弱性があり、一部の予約表示データへアクセスできる状態だったと説明した。同社は修正と監視・検知能力の強化を実施したとしている。ただし、この声明はJAL・ANAを名指ししておらず、認証情報を使った今回のアクセスとの対応関係は、確認した資料だけでは特定できない。

認証情報がどこで、どのように第三者の手に渡ったのか、どの権限で何件を参照できたのかという詳細も分からない。利用者のパスワード管理やAI、特定国の攻撃者を今回の原因だと断定することはできない。

スペインに本社があることも、侵入されたサーバーがスペイン国内にあったことや、被害者の国籍を証明するものではない。今回確認した資料では、スペインの航空会社やスペイン国民の被害範囲までは確定できない。「日本だけが被害に遭った」とも「スペインの顧客は無傷だった」とも断定できない状況だ。

なぜ、いま日本で流出のニュースが続くのか

まず、報告の増加は印象だけではない。個人情報保護委員会が28日に示した資料では、2026年4月1日から10月16日までの不正アクセスによる漏えい等について、対象となった延べ本人数は約2億6,000万人。速報の受付件数は9月が303件、10月は16日までで830件だった。

ただし、これは各月に発生した攻撃の数ではなく、速報を受け付けた件数である。漏えいのおそれも含み、同一事象を委託元と委託先がそれぞれ報告する場合もある。約2億6,000万人も重複を含む延べ人数であり、日本の人口を超える人数の別々の個人が被害に遭ったという意味ではない。金融業・電気通信業などで委任先省庁を経由した報告や、行政機関等の報告は、この資料の対象外だ。

では、攻撃側で何が起きているのか。JPCERT/CCは10月8日に公表し23日に更新した注意喚起で、複数の製品・サービスに被害が出ており、既知の弱点を探す攻撃や、アプリとサーバーをつなぐAPIを経由した不正操作、管理上の不備を狙う攻撃などを挙げた。一般向けのサービスだけでなく、従業員用の管理システムや業務分析ツールも対象になっている。

同機関の15日の調査報告は、調べた攻撃元サーバーで、AIを利用した脆弱性の探索やAPIへの攻撃を確認したとしている。日本以外の地域向けのサービスへの攻撃も確認された。攻撃者が自動化を取り入れ、複数の入口を探しているという具体的な観測だ。ただし、これが日本の漏えい増加全体をどれだけ説明するかは示されておらず、今回のアマデウス事案の手口と確認されたわけでもない。

もう一つは委託先を介した被害の広がりだ。IPAの「情報セキュリティ10大脅威2026」でも、組織向けの2位にサプライチェーンや委託先を狙った攻撃が入っている。これは被害件数の順位ではなく、専門家らによる審議・投票で選ぶ脅威の順位である。一つの共通サービスの問題が、複数の利用企業の発表として表面化し得る構造には注意が必要だ。

さらに、発覚・調査・連絡・公表には時差がある。今回も、10月に公表されたからといって、対象となったすべてのアクセスが10月に始まったわけではない。日本で相次ぐ報告の背景には、実際の攻撃被害に加え、共通の委託先への依存や、公表時点と発生時点の違いがある。ただし、それぞれの寄与率や、すべてを結ぶ単一の原因は確認できていない。

スペインでも旅券情報の流出のおそれが報告されている

スペインのエア・ヨーロッパについて、Europa Pressは2024年3月22日、同社が顧客に送ったメールを確認したうえで、個人情報が盗まれた可能性のある別の侵入が見つかったと報じた。対象として挙げられたのは氏名、スペインの身分証DNIまたは旅券、住所、生年月日、電話、メール、国籍、会員情報などだ。

これは2026年のJAL・ANAと同一の事件ではない。また、スペインの航空会社の顧客というだけで、全員がスペイン国民だったとはいえない。ただ、スペインの航空会社でも、旅券情報が盗まれた可能性を顧客に通知した事例がある。同じ種類のリスクと無縁だと考えることはできない。

現在の状況も楽観できない。スペインのデータ保護当局AEPDは10月20日、2026年1〜6月の個人データ侵害の通知が3,027件となり、前年同期の1,271件から138％増えたと発表した。1〜8月では4,556件、前年同期比163％増としている。

AEPDは、単一のデータ処理委託先で起きた事案が、複数の企業のデータ侵害につながった例を挙げた。ホテルと予約管理ソフトの提供事業者に関する通知も増加に寄与し、顧客情報や予約情報が不正に参照され、詐欺に使われる可能性があると指摘している。予約を支える共通サービスから利用企業へ影響が広がる問題は、スペインにもある。

ただし、AEPDのデータ侵害通知は不正アクセスだけに限定した統計ではなく、日本の委員会の資料とは対象・期間・集計方法が違う。3,027件と日本の報告数を並べ、どちらが何倍安全かと計算することはできない。ここから確実にいえるのは、スペインでも多数の侵害が通知され、増加しているということだ。

GDPRがあるのに、なぜ防げないのか

スペインにはEUの一般データ保護規則、GDPRが適用される。組織に安全管理と説明責任を求め、データ侵害が起きた際の当局への報告や本人への連絡を義務付ける制度だ。ただし、法律の存在だけで、不正アクセスや人為的なミスがなくなるわけではない。

重要なのは、当局への報告と、本人への連絡、一般向けの公表は別だという点である。「EUでは72時間以内に全員へ公表、日本では60日間黙っていてよい」という比較は誤りになる。日本の60日は対象となる事態の確報期限であり、最初の報告を待てる期間ではない。

また、今回の各社の公表日だけから、報告義務に違反したかどうかは判断できない。いつ、どの主体が、どの程度の事実を認識し、どの当局へ何を報告したかが必要になる。本社所在地だけで適用法や監督当局のすべてを決めつけることもできない。

利用者が確認することと、企業に求められる説明

利用者は、航空会社からの個別案内で、自分が対象か、予約情報だけなのか、旅券番号なども対象なのかを確認したい。JALは対象者へ予約時のメールアドレス宛に連絡済みとし、ANAは対象者へ個別に連絡するとしている。確認は、届いたメッセージのリンクだけに頼らず、普段使う公式アプリや自分で開いた公式サイトから行うことが大切だ。

香港のサイバーセキュリティ対応機関HKCERTも30日の解説で、実際の氏名や注文・旅程情報を使う連絡は、説得力の高い詐欺に転用され得ると警告した。名前や搭乗予定を知っていることだけでは、連絡してきた相手が本物だと証明できない。返金や本人確認を理由に追加の情報や支払いを求められた場合も、公式の窓口で確認する必要がある。

パスワードの使い回しを避け、多要素認証を利用することは、自分のアカウントの保護に役立つ。しかし、今回のような委託先側でのデータ参照を、利用者の設定変更だけで防げるわけではない。漏えい済みの情報を、パスワード変更で回収できるわけでもない。

企業側には、誰がどの情報へアクセスできたのか、認証情報をどう失効させたのか、不審な参照をいつ検知したのか、委託元への連絡をどう速めるのかという説明が求められる。JPCERT/CCが挙げる権限の最小化、監視、不要な公開機能の停止、保存期限や利用目的を終えたデータの削除は、こうした被害を小さくするための具体的な点検項目になる。