JAL・JTAで約9.2万人の予約情報に不正アクセス　パスポート番号も対象、利用者が確認したいこと

JAL・JTAが10月28日に公表

日本航空（JAL）と日本トランスオーシャン航空（JTA）は2026年10月28日、予約・発券や搭乗手続きなどを処理する旅客サービスシステムの提供元であるAmadeus IT Groupから、不正アクセスによって一部の予約情報が外部から参照された形跡があるとの報告を受けたと公表しました。

対象は合計約9万2,000人です。ただし、クレジットカード番号や各種パスワードの漏えいはないとしています。また、現時点で対象情報の不正使用は確認されておらず、運航への影響もありません。

何が起きた？　約2,000人はパスポート番号も対象

JALの公表によると、アマデウス社のシステムで予約記録が外部から参照された形跡が確認された期間は、2023年8月10日から2026年9月23日までです。JAL・JTA便名の予約記録の一部が対象になりました。

約9万人について参照された形跡があるのは、予約番号（PNR）、氏名、搭乗日、搭乗区間、搭乗クラスです。さらに約2,000人については、これらに加えてメールアドレス、電話番号、パスポート番号、国籍、マイレージ番号、航空会社、便名、航空券番号、座席番号なども対象です。合計で約9万2,000人となります。

ここで注意したいのは、「約9万2,000人全員のパスポート番号が漏れた」という話ではないことです。パスポート番号などが対象になったのは約2,000人で、残る約9万人は予約番号や氏名、搭乗情報などが中心です。

一方で、予約番号だけでなく氏名、搭乗日、区間など旅行内容と結び付く情報が参照された形跡があるため、今後届く連絡が本物かどうかを見分ける際には注意が必要です。

何が怖い？　「あなたの便名や搭乗日を知っている」偽連絡

今回の件で一般利用者が特に意識したいのは、漏えいした可能性のある情報を材料にした、もっともらしいフィッシングや不審電話です。

たとえば「○月○日の○○便について確認が必要です」「予約番号○○の払い戻し手続きがあります」といった連絡に、実際の搭乗日や区間、氏名が書かれていれば、本物だと思いやすくなります。しかし、相手が正しい予約情報を知っていること自体は、そのメールや電話がJALからのものだという証明にはなりません。

約2,000人の対象者では、メールアドレスや電話番号に加えてパスポート番号や国籍なども参照された形跡があります。こうした情報を会話の中で示されても、それだけで相手を信用しないことが重要です。

JAL自身も、対象者への個別連絡とあわせて、JALグループを装った不審メール、不審電話、偽サイトへの誘導に注意するよう案内しています。クレジットカード番号やパスワードは今回の漏えい対象ではないため、「今回の漏えい確認のためカード番号やパスワードを入力してください」と求める連絡は特に警戒すべきです。

対象かもしれない人が今確認すること

まず、JAL・JTAからの個別連絡を確認してください。JALは対象となる利用者に今後個別に連絡するとしています。対象期間は「旅行した日」そのものではなく、アマデウスのシステム上で予約記録に外部参照の形跡が確認された期間として2023年8月10日から2026年9月23日が示されています。

心当たりがあっても、メールやSMSに記載されたリンクから急いでログインする必要はありません。普段使っているJALアプリやブックマーク、公式サイトを自分で開いて確認する方が安全です。電話で連絡を受けた場合も、その場で個人情報や認証情報を伝えず、いったん切って公式に掲載された窓口へ自分からかけ直す方法があります。

JALは本件専用の問い合わせ窓口を10月29日から開設すると案内しています。国内向けは0120-25-6050または03-4332-7280で、受付は日本時間10時から17時まで（土日祝日を除く）です。問い合わせる場合は、着信やメールに記載された番号ではなくJAL公式発表で番号を確認してください。

なお、JALの発表ではアマデウス社は必要なセキュリティ対策をすでに完了しており、現時点で情報の不正使用は確認されていません。今回の件だけを理由に、無関係なサービスまで一斉にパスワード変更する必要があるという発表でもありません。

今やることを3つに絞ると

今回の件で重要なのは、「パスポート番号が漏れたかもしれない」という言葉だけで慌てず、自分がどの対象に含まれるのかを公式情報で確認することです。

1. JAL・JTAからの個別連絡を確認する。 約9万人と約2,000人では参照された形跡がある情報の範囲が異なります。

2. 便名や搭乗日を知っているメールでも、そのまま信用しない。 今回は予約番号、氏名、搭乗日、区間などが対象になっているため、実際の旅行情報を使った偽連絡が作られる可能性を考えておきます。確認はメール内リンクではなく、JAL公式アプリや公式サイトから行う方が安全です。

3. カード番号やパスワードを求められたら警戒する。 JALは今回、クレジットカード番号と各種パスワードの漏えいはないと明記しています。今回の事故を理由にこれらの入力を迫る連絡には注意してください。

情報漏えい後の詐欺は、「あなたの本当の情報を知っている」ことで信頼させるのが厄介なところです。今回のように搭乗日や区間まで含まれるケースでは、情報が正しいことと、連絡してきた相手が本物であることを切り分けて考えることが、被害を防ぐポイントになります。