JAL手荷物当日配送サービス予約システムの不正アクセス疑い（最大約2.8万人、のち委託先社員の誤操作とログ改変と判明）
公表日
JALの「手荷物当日配送サービス」の予約システムで、2024年7月10日以降の利用者最大約2万8000人の情報が漏れたおそれがあると発表されましたが、のちに外部への流出はなかったと公表されました。
対象者は？
2024年7月10日以降に「手荷物当日配送サービス」を予約・利用した最大約2万8000人。対象とされた情報は、氏名、メールアドレス、電話番号、JMBお得意様番号、予約便情報、配送情報です。クレジットカード番号とパスワードは含まれていません。
対象のお客さまには、登録のメールアドレスにお詫びと今後の対応の案内が順次送られるとされています。登録アドレスの受信メールを確認してください。
いますぐできること
- 対象に当てはまりそうな場合は、登録のメールアドレスに届くJALからの案内を確認する。
- JALを名乗るメールや電話、リンク付きのメッセージは、内容をすぐに信じず、公式の案内で確認する。
何が起きたのか
2026年2月8日の夕方に、手荷物当日配送サービスの予約でエラーが起きました。9日の朝には空港スタッフから「正常に使えない」と連絡があり、JALは予約機能を止めました。2月10日、JALは第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の痕跡があり、最大約2万8000人の情報が漏れたおそれがあると発表しました。2月17日の続報で、外部からの不正アクセスではなく、システムの保守を任されている会社の社員の誤操作と、その後のアクセス記録の削除・変更が原因だったと公表されました。JALは、お客さま情報の外部への流出はなかったことを確認したとしています。
なぜ起きたのか・なぜ広がったのか
JALの公表によると、保守作業中にその社員がデータを誤って消し、発覚を恐れてアクセス記録を削除・変更したことが原因です。最初の発表では、この記録の状態から第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の痕跡と受け止められていました。第1報の時点でそう判断した詳しい理由は、まだ発表されていません。
いまの状況2026-02-17 時点続報待ち
2026年2月17日時点で、JALは外部への流出はなかったと確認したとしています。停止していたサービスは2月20日午前10時から再開すると発表されました。JALは今後、委託先への管理体制や作業承認フローを強化して再発防止に努めるとしています。委託先の会社名や、金銭的な影響は、まだ発表されていません。
企業として考えたいこと
自社のシステムの保守を委託している会社の作業者が、データやその操作の記録を消したり変えたりできる状態になっていないか、確認できますか。
技術的な要約
JALは2026年2月10日、「手荷物当日配送サービス」の予約システムで第三者による不正アクセスの痕跡が確認され、2024年7月10日以降の利用者最大約2万8000人の個人情報が漏えいした可能性があると発表した。2月8日午後6時18分に予約障害が発生し、9日午前0時40分に不正アクセスの痕跡があり、同日午前9時に空港スタッフの連絡で異常が判明、午前10時20分に予約機能を停止した。2月17日の続報で、原因は外部からの不正アクセスではなく、システム保守運営の委託先社員が作業中にデータを誤消去し、その発覚を恐れてアクセスログの記録を削除・変更したことと公表された。JALは本件に起因する顧客情報の外部流出はなかったことを確認したとしている。サービスは2026年2月20日午前10時に再開され、JALは委託先の管理体制と作業承認フローを強化するとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 内部者公表で確認2月17日の続報で「外部からの不正アクセスではなく、システム保守運営を委託している事業者の社員による誤操作と、その隠蔽を目的としたログの削除・変更が原因」と公表された。委託先社員が維持管理作業中に誤ってデータを消去し、発覚を恐れてアクセスログから該当記録を削除・変更した。第1報では第三者による不正アクセスの痕跡とされていた。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2月9日午前10時20分に予約機能を停止し、安全性確認までサービスを停止した。不正アクセスは当該予約システムでのみ確認され、他のサービスへの影響はないとされた。2月20日午前10時にサービスを再開した。期間：2026-02-09から2026-02-20午前10時の再開まで（日付差で11日）
- データ
- なし上限 28,000確定 0人氏名メール電話会員IDその他第1報では2024年7月10日以降の利用者最大約2万8000人の情報が漏えいした可能性があるとされた。対象項目は氏名、メールアドレス、電話番号、JMB（JALマイレージバンク）お得意様番号、予約便情報（航空会社、便名、利用日、出発・到着空港）、配送情報（預入空港、配送先ホテル、料金、申込日）。クレジットカード番号とパスワードは含まれない。2月17日の続報でJALは外部への流出がなかったことを確認したとしており、records_confirmed は0とした。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- システム保守運営の委託先社員の誤操作とログ改変が原因とされた。委託先の事業者名は facts にない。JALは委託先への管理体制と作業承認フローを強化するとしている。
時系列
技術解説
第1報で公表された内容と初動 事実
JALは2026年2月10日、「手荷物当日配送サービス」（空港から指定ホテルへ手荷物を運ぶサービス）の予約システムで、第三者による不正アクセスの痕跡が確認されたと発表した。アクセスログの調査では、2月8日午後6時18分に予約障害が発生し、9日午前0時40分に不正アクセスが行われた痕跡が確認された。9日午前9時に空港スタッフから正常に利用できないとの連絡があり、午前10時20分に予約機能を停止した。対象は2024年7月10日以降に利用した最大約2万8000人で、外部専門機関と連携して調査が進められた。不正アクセスは同サービスのシステムのみで確認され、ほかのサービスへの影響はないとされた。
2月17日の続報：原因の訂正 事実
JALは2月17日に続報を発表した。障害と不適切なアクセス形跡の原因は、外部からの不正アクセスではなく、システム保守運営を委託している事業者の社員による誤操作と、その隠蔽を目的としたログの削除・変更だったと公表している。調査の結果、委託先社員が維持管理作業中に誤ってデータを消去し、発覚を恐れてアクセス記録から該当記録を削除・変更していたことが判明した。JALは本件に起因する顧客情報の外部流出はなかったことを確認したとしている。対象の約2万8000人には、登録のメールアドレスにお詫びと今後の対応の案内を順次送付する。
対象情報と人数の読み方 事実
第1報で漏えいのおそれがあるとされた情報は、氏名、メールアドレス、電話番号、JMB（JALマイレージバンク）お得意様番号である。あわせて予約便情報（航空会社、便名、利用日、出発・到着空港）と配送情報（預入空港、配送先ホテル、料金、申込日）も対象に含まれた。クレジットカード番号とパスワードは対象項目に含まれていない。約2万8000人は影響のおそれがある人数の上限であり、流出が確認された人数ではない。続報では外部への流出がなかったことが確認されたと公表されており、流出確定は0件として扱うのが公表内容に沿う。
第1報と続報の食い違いが生じた構造 解釈
第1報の「不正アクセスの痕跡」は、続報では、委託先社員によるログの削除・変更に伴う記録だったと整理されている。ここからは推測になるが、ログが作業者自身によって書き換えられたことで、ログの内容が外部からの侵入に見える状態になり、初期の調査段階では内部起因と外部起因の区別が難しかった可能性がある。公表時点では原因が確定しておらず、慎重に「おそれ」を示して最大人数を公表し、確認後に訂正した流れとも読める。この点は、初報の判断根拠が公表されていないため断定できない。
委託先の保守作業とログの扱いが示すもの 解釈
今回の公表は、外部からの攻撃だけでなく、保守を担う委託先の作業者による誤操作とその記録の書き換えも、インシデントの原因になり得ることを示している。ここからは推測になるが、保守作業者がデータの消去とログの変更の両方を行える状態だったことが、事案の特徴と考えられる。JALが委託先への管理体制と作業承認フローの強化を挙げている点も、この方向の課題を示唆する。ただし、実際の権限設計や監視の状況は公表されていないため、個別の不備を断定するものではない。
対応
- 封じ込め
- 2月9日午前10時20分に予約機能を停止し、安全性が確認されるまでサービスを停止した。外部専門機関と連携して外部への流出の有無を調査し、2月20日午前10時にサービスを再開した。今後は委託先への管理体制や作業承認フローを強化し、再発防止に努めるとしている。
- 公表の仕方
- 2月10日に第三者による不正アクセスの痕跡として第1報を発表した。2月17日に続報で原因を委託先社員の誤操作とログ改変に訂正し、外部流出はなかったと公表した。対象の約2万8000人には登録のメールアドレスへお詫びと今後の対応の案内を順次送付するとしている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 保守作業者がログを変更できると、調査の出発点そのものが揺らぐ | ログを別アカウント管理の集約基盤（SIEM、書き込み専用ストレージ、WORM設定など）へリアルタイム転送し、保守作業者の権限では削除・変更できないようにする。 |
| 外部不正と内部起因は初期段階で区別しにくい | インシデント対応手順に、外部侵入と内部作業起因の両方の仮説を並行して検証する工程を入れ、変更管理記録・作業チケットと突き合わせる。 |
| 委託先の作業は承認と記録の仕組みで統制する | 本番作業は事前承認制とし、特権アクセス管理（PAM）で作業セッションを記録し、作業内容と作業チケットを照合する。 |
| 誤操作を申告しやすい運用が隠蔽の動機を減らす | 誤操作の即時報告を契約や運用ルールに明記し、自己申告を責めない手順を設ける。本番データはバックアップから復旧できる状態にして定期的に復元テストを行う。 |
| 第1報の表現は、確度と未確定部分を分けて示す | 公表文のテンプレートに、確認済みの事実、調査中の事項、原因の見立ての確度を分けて書く欄を設け、続報の予定時期も記載する。 |
自組織などでの確認項目
- 自組織の保守委託先の作業者は、本番データの削除と、その操作ログの削除・変更の両方ができる状態になっていないか。権限の分離を確認できるか。
- 本番システムのアクセスログは、運用担当者が変更できない場所に転送・保管されているか。保管期間と改変検知の仕組みも確認できるか。
- 異常を検知したとき、外部侵入と内部作業起因の両方の可能性を調べる手順があるか。直近の変更作業記録とすぐ突き合わせられるか。
- 誤操作を行った担当者が、すぐ申告できる連絡経路と運用ルールがあるか。申告後の復旧手順は試験されているか。
未解明点
- システム保守運営の委託先事業者名や、誤消去されたデータの内容・範囲、復旧の有無は公表されていない。
- 第1報の時点で第三者による不正アクセスと判断した根拠と、続報で内部起因と判明するまでの調査経過の詳細は公表されていない。
- 委託先社員のログ削除・変更をどのように検知・特定したか、また今後の作業承認フローの具体的な内容は公表されていない。
- 本件に関する金銭的な影響や当局への報告の有無は、渡された出典からは確認できない。
出典
- 1People's Daily Online (Xinhua)2026-02-11報道本文確認済
- 2INTERNET Watch（インプレス）2014-09-25報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-02-13報道本文確認済
- 4セキュリティ対策Lab（合同会社ロケットボーイズ）2026-02-18報道本文確認済
- 5ScanNetSecurity2026-03-09報道本文確認済
- 6Aviation Wire2026-02-10報道本文確認済
- 7Aviation Wire2026-02-17報道本文確認済
- 8