Amadeus旅客・宿泊予約システムへの不正アクセス（JALなど国内外複数社への波及）
公表日
旅行予約システム大手のAmadeusが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、JALや海外航空会社、ホテルなどで予約者の個人情報が閲覧可能な状態になりました。
対象者は？
2023年8月10日〜2026年9月23日の間にJAL・JTA便の予約記録があった約92,000人（約9万人は氏名や予約番号など、約2,000人はパスポート番号や連絡先などを含む）、およびレゴランド・ジャパン・ホテルなどの対象宿泊者。クレジットカード番号やパスワードは含まれていません。
JAL・JTAおよび各対象ホテル・航空会社から対象顧客へ個別に連絡が行われています。またJAL・JTAでは専用の問い合わせ窓口が開設されています。
いますぐできること
- 航空会社やホテルを装った不審なメールやSMS、電話に注意し、本文中のリンクを安易に開かないようにしてください。
- 心当たりのある予約について不安がある場合は、JAL等の公式窓口や各社の公式サポートに確認してください。
何が起きたのか
航空会社やホテルが広く利用している大手システム企業「Amadeus」の予約環境に対し、外部から不正なアクセスが行われました。これにより、JALグループをはじめとする複数の航空会社やホテルの顧客予約情報が、外部から参照できる状態になっていたことが判明しました。
なぜ起きたのか・なぜ広がったのか
正規のアカウント認証情報が悪用されたことや、予約表示環境におけるシステムの不具合（認証なしで内部情報が取得できる状態）が存在したことが原因として指摘されています。
いまの状況2026-10-29 時点続報待ち
Amadeus社による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。の遮断とシステムの修正が完了しており、ダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。の監視などが進められています。JALや大韓航空などは対象者への連絡や相談窓口の設置を行っており、現時点でクレジットカード情報の漏えいや運航への影響、情報の不正利用は確認されていません。
企業として考えたいこと
自社が利用している外部クラウドサービスに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。があった場合、顧客への影響を迅速に特定し連絡できる体制が整っていますか？
技術的な要約
旅行IT大手のAmadeus IT Groupが提供する旅客・宿泊予約システムにおいて外部からの不正アクセスや脆弱性による情報露出が発生した。影響は日本航空（JAL）や日本トランスオーシャン航空（JTA）の約92,000人をはじめ、大韓航空、アシアナ航空、レゴランド・ジャパン・ホテル、欧州のホテルなどに波及した。アクセス可能期間は航空旅客系で2023年8月10日から2026年9月23日に及び、氏名や予約番号（PNR）のほか、一部でパスポート番号や連絡先が閲覧可能な状態となっていた。クレジットカード番号やパスワードの漏えいは確認されておらず、運航業務への支障も生じていない。Amadeusは不正アクセスの遮断や脆弱性の修正、ダークウェブ監視を実施し、航空各社は対象顧客への連絡や注意喚起を行っている。
攻撃の分類
- 侵入口
- 認証情報窃取・流用報道・研究者大韓航空およびアシアナ航空の公式通知によると、Amadeusシステムのアカウントに割り当てられた有効なログイン認証情報が無断で使用された。またheise onlineの報道ではSpring Bootアプリケーションの認証不要エンドポイント（ヒープダンプ露出）の潜在的脆弱性も指摘されている。
- 脆弱性
- CVE 非公表報道・研究者Spring Boot (旅行予約表示環境)認証不要なエンドポイントを通じてSpring Bootアプリケーションのヒープダンプにアクセス可能となり、内部に含まれる認証トークンや管理者パスワード等によりシステムへアクセスできたとされる。Amadeusは2026年9月21日に認識し修正したと説明。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし JAL等においてフライト運航、予約、チェックイン業務などへの影響は生じていない。
- データ
- おそれ上限 93,557確定 —人氏名メール電話住所生年月日パスポート業務データその他JAL・JTA対象顧客約92,000人（予約番号、氏名、搭乗日、搭乗区間、搭乗クラス。うち約2,000人はメールアドレス、電話番号、パスポート番号、国籍、マイレージ番号等を含む）。レゴランド・ジャパン・ホテル予約1,557件（氏名、メールアドレス、電話番号）。そのほか大韓航空・アシアナ航空（一部PNR）、Maritim Hotels（宿泊客宛8,716通メール）、ドイツ旅行代理店のoffice IDs数百件など。
- 波及先
- 6 社
- 日本航空（JAL）
- 日本トランスオーシャン航空（JTA）
- 大韓航空
- アシアナ航空
- LEGOLAND Japan合同会社（レゴランド・ジャパン・ホテル）
- Maritim Hotels
- 金銭影響
- —
- サプライチェーン
- 旅客サービスシステム（PSS）およびホテル予約プラットフォーム「iHotelier」を提供するAmadeusのシステム侵害により、同社プラットフォームを利用する複数の航空会社やホテル運営会社に顧客データ漏えいの影響が波及した。
時系列
技術解説
委託先予約基盤における長期アクセス痕跡と広範な波及状況 事実
本件では、航空・旅行IT大手であるAmadeus IT Groupが運用する旅客サービスシステム（PSS）および宿泊予約プラットフォーム「iHotelier」において不正アクセスや情報露出が確認された。アクセスが可能だった期間は2023年8月10日から2026年9月23日までと3年以上に及ぶ。影響は日本航空（JAL）および日本トランスオーシャン航空（JTA）の対象顧客約92,000人に及び、約90,000人分の予約基本情報（氏名、予約番号、搭乗日、搭乗区間、クラス）に加え、約2,000人分ではパスポート番号、国籍、連絡先、マイレージ番号などが閲覧可能な状態となっていた。さらに韓国の大韓航空やアシアナ航空で一部予約番号の露出が判明したほか、全日本空輸（ANA）にも通知が届き確認が進められた。ホテル分野でもレゴランド・ジャパン・ホテルで1,557件、欧州のMaritim Hotelsなどで宿泊予約データの侵害が確認された。一方で、クレジットカード番号やパスワードの漏えいは確認されておらず、運航や予約業務への直接的な支障も発生していない。
不正アクセスの手口と指摘された脆弱性の内容 事実
攻撃の手口について、大韓航空およびアシアナ航空の公表では、Amadeusシステムのアカウントに割り当てられた有効なログイン認証情報が無断で使用されたと説明されている。これに対し両航空会社は社内データベースへの侵入痕跡はないとしている。また報道機関（heise online）では、Amadeusの旅行予約表示環境において、認証不要なエンドポイントを通じてSpring Bootアプリケーションのヒープダンプにアクセス可能な状態が存在したことが報じられた。このメモリダンプ内に管理者パスワードや認証トークンが含まれており、広範なシステムへのアクセスが可能であったと指摘されている。Amadeusは2026年9月21日に潜在的脆弱性を認識して修正を実施したと回答しており、不正アクセスの遮断やダークウェブの監視、監視・検知メカニズムの強化などの是正措置を進めている。
基幹SaaS依存における長期潜入検知とインシデント共有の課題 解釈
世界130社以上の航空会社や多数の宿泊施設が同一の予約プラットフォームを共有する業界構造において、基盤提供元のアカウント侵害や設定不備は複数企業への大規模な連鎖被害を招く。本件では外部アクセスが可能な状態が約3年間にわたり継続しており、SaaS事業者側における正規認証情報を悪用した活動の検知や、公開エンドポイントの構成管理における監査の難しさが浮き彫りとなった。また、事業者が事象を認識してから委託元企業へ通知し、各社が顧客へ公表するまでにタイムラグが生じた。受託事業者におけるログ監査の厳格化や異常行動検知の仕組みに加え、テナント間の影響分離、インシデント発生時の迅速な情報開示プロトコルを契約レベルで整備しておくことが極めて重要である。
対応
- 封じ込め
- Amadeusは不正アクセスを遮断し、脆弱性の修正を実施した。さらに監視および検知メカニズムの強化とダークウェブの監視を開始した。
- 公表の仕方
- 波及先となった航空各社およびホテルがそれぞれ公表を実施。JAL・JTAは2026年10月28日に公表し対象顧客へ個別連絡および専用窓口を開設。大韓航空・アシアナ航空は10月23日に公表し対象者へメール案内を実施。LEGOLAND Japanは9月25日に公表した。
- 当局対応
- 韓国の管轄政府当局（個人情報保護委員会: PIPC等の調査対象検討）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 正規アカウントの悪用を検知するため、ログイン挙動の継続的監視と多要素認証を徹底する | 管理者およびシステムアカウントに対してFIDO2等のフィッシング耐性のある多要素認証（MFA）を必須化し、通常と異なる接続元IP、時間帯、アクセス頻度を検知してセッションを即時失効させる条件付きアクセスポリシーとUEBAを導入する。 |
| 公開Webアプリケーションにおける不要なデバッグエンドポイントや露出を遮断する | Spring Boot Actuatorなどの運用管理エンドポイントを外部ネットワークへ公開しないようリバースプロキシやWAFで厳格にブロックし、ビルドパイプラインで静的解析や設定検査を自動実行してヒープダンプ等の機微情報エンドポイントが無効化されていることを確認する。 |
| 外部委託先（SaaS・プラットフォーム提供元）とのインシデント通知基準とSLAを明確化する | クラウドサービス事業者との契約において、不正アクセスの兆候検知から一定時間以内（例: 24時間〜48時間以内）に利用企業へ一次報告を行う義務と、侵害されたログデータの提供手順を明記する。 |
| 予約情報流出に伴う標的型フィッシング等の二次被害に対する監視と顧客連絡を迅速化する | 氏名や旅行日程、連絡先が流出した場合に備え、自社を騙る不審メールやSMSの出現をモニタリングするとともに、公式窓口の設置と対象顧客向けの詳細な注意喚起テンプレートを事前に整備しておく。 |
自組織などでの確認項目
- {Amadeusのような外部予約・基幹SaaS}のアカウントにおいて、多要素認証（MFA）の設定漏れや共有アカウントの利用が存在しないかを点検できているか？
- {自社の公開Webアプリケーション}において、Spring Boot Actuatorや管理用エンドポイント、ヒープダンプ等の機微情報が認証なしでインターネットから参照可能な状態になっていないか？
- {業務委託先やクラウド事業者}でセキュリティインシデントが発生した際、何日以内にどのような形式で自社へ通知・調査データ提供がなされるか契約条項を確認しているか？
未解明点
- 大韓航空等が言及した「有効なログイン認証情報」の流出経路（フィッシング、認証情報の使い回し、あるいは報道されたヒープダンプからの窃取など）の正確な原因は何か。
- 2023年8月から約3年間にわたり外部アクセスが可能だった期間において、実際にどれだけの量の予約情報が外部へダウンロード・悪用されたのかの確定調査結果。
出典
- 1CyPro2026-10-28研究者本文確認済
- 2TRAICY Global2026-10-27報道本文確認済
- 3TRAICY Global2026-10-28報道本文確認済
- 4朝日新聞報道本文確認済
- 5piyolog2026-10-28研究者本文確認済
- 6セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-28報道本文確認済
- 7セキュリティ対策Lab2026-09-26報道本文確認済
- 8heise online2026-10-13報道本文確認済
- 9
- 10Travel Extra2026-09-25報道本文確認済