多くの航空会社の予約・発券・チェックインを担う旅客サービスシステムを提供するスペインの Amadeus が、同社システム上の予約データに3年以上にわたり不正アクセスがあったと航空各社に通知しました。日本航空によると、不正アクセスの期間は2023年8月10日から2026年9月23日です。Amadeus はキャセイパシフィック航空に対し、第三者がシステム用アカウントに割り当てられたログイン情報を使ってアクセスしたと説明しています。Amadeus はパスワードをリセットし、監視・検知を強化したとしており、データが悪用された形跡は確認されていないとしています。
これまでに公表した航空会社：
- 日本航空（日本トランスオーシャン航空を含む）：約9万2,000人。うち約9万人は予約記録（PNR）番号、氏名、搭乗日、区間、クラス。別の約2,000人はこれに加えてメールアドレス、電話番号、パスポート番号、国籍、マイレージ番号、便名・航空券番号・座席番号も対象です。クレジットカード番号やパスワードは含まれないとしています。
- ANA：同期間に ANA 運航便を予約した約3万7,800人の氏名、予約番号、搭乗日、区間。うち約1,700人はパスポート番号と国籍も流出しました。カード情報やパスワードは含まれないとしています。
- キャセイパシフィック航空：約5万3,000件の予約。大半は予約番号、氏名、フライト情報で、件数非公表の一部では連絡先、旅券番号、マイレージ番号も含まれる可能性があります。決済情報へのアクセスの証拠はないとし、対象者には個別に連絡するとしています。
- 大韓航空とアシアナ航空も影響を認めていますが、件数は未公表です。Paddle Your Own Kanoo はドイツのコンドル航空も挙げています。
全体の被害規模は不明です。各社の数字は「人数」と「予約件数」で数え方が異なるため、単純に合計できません。Amadeus の Altéa には130社以上の航空会社が顧客としており、今後さらに公表が続く可能性があります。
ログイン情報がどう盗まれたかは確認されていません。Paddle Your Own Kanoo は、パスワードリセットという対応からヘルプデスクをだますようなソーシャルエンジニアリングの可能性を指摘していますが、これは同メディアの推測で、Amadeus の調査結果ではありません。旅程と氏名・メールアドレスの組み合わせは本物らしいフィッシングに悪用されやすく、利用者にとって当面の主なリスクです。
