全日本空輸（ANA）は10月30日、旅客サービスシステムの提供を受けているAmadeus IT Group S.A.（本社・スペイン）のシステムに第三者からの不正アクセスがあり、ANAの顧客の予約情報の一部が参照された形跡があると公表した。対象は2023年8月10日から2026年9月23日までにANAで予約した一部の顧客、約3万7800人。うち約1700人は、氏名や予約番号に加えてパスポート番号、メールアドレス、電話番号なども参照された形跡がある。クレジットカード情報とパスワードは含まれていない。
Amadeus社から報告、カード情報とパスワードは含まれず
ANAによると、Amadeus社から「同社のシステムに第三者からの不正アクセスがあり、当社のお客様の予約情報の一部が参照された形跡がある」との報告を受けた。ANA自身のシステムではなく、予約や搭乗の手続きに使うシステムを提供する外部の会社が不正アクセスを受けた形だ。
ANAの公表文は、参照された情報にクレジットカード情報とパスワードは含まれないとしている。今回の件に該当する認証情報はすでに無効化され、監視体制も強化されたとAmadeus社から報告を受けたという。ANAが公表文で使っているのは「参照された形跡」という表現で、情報が外部へ持ち出されたかどうかや、悪用された事実の有無には触れていない。Amadeus社がいつ不正アクセスに気づき、いつANAへ報告したのかも、公表文には書かれていない。
ANAは「多大なるご迷惑とご心配をおかけいたします」と謝罪した。対象の顧客には同社から順次連絡するとしている。問い合わせは、国内線予約、国際線予約、ANAマイレージクラブそれぞれの窓口で受け付ける。
約1700人は旅券番号や連絡先まで
参照された形跡のある情報は、対象者によって範囲が2つに分かれる。約3万6100人は、氏名、予約番号、搭乗日、搭乗区間、搭乗クラスの5項目。残る約1700人は、これらに加えてメールアドレス、電話番号、パスポート番号、国籍、マイレージ番号、航空会社、便名、航空券番号、座席番号などが含まれる。
| 対象者 | 参照された形跡のある情報 |
|---|---|
| 約3万6100人 | 氏名、予約番号、搭乗日、搭乗区間、搭乗クラス |
| 約1700人 | 上記に加え、メールアドレス、電話番号、パスポート番号、国籍、マイレージ番号、航空会社、便名、航空券番号、座席番号など |
対象期間は2023年8月10日から2026年9月23日までの約3年1か月にわたる。この期間にANAで予約した人すべてではなく、その「一部」が対象だとANAは説明している。どの路線や予約経路の顧客が含まれるのか、期間の始まりが2023年8月10日になった理由は、公表文には示されていない。
国際線の予約・搭乗システムを2011年に委ねる
Amadeus社は、航空会社に予約や搭乗手続きのシステムを提供する会社だ。ANAは2011年5月30日の発表で、同社と国際線予約システムに関する契約を5月19日に結んだと明らかにした。2015年度下期の導入を目標に、国際線の予約・搭乗システムを「アマデウス社が保有・管理するシステム」に移すとしていた。
それまでANAは、1988年から国際線予約システム「able-I」を自社で持ち、開発と強化を続けてきた。当時の発表は、移行の狙いとして、自社保有をやめて外部に任せることで、利用の頻度、つまり旅客需要の変動に応じてシステムの費用を変えられるようになる点を挙げ、年間10億円以上のIT費用の削減を見込んだ。利用者の利便性については、スターアライアンス加盟社などとシステムを共通にすることで、運航に乱れが出た場合でも他の航空会社の便を自動で予約するなど、旅程を速やかに組み直せるようになると説明していた。自動化で係員の業務を簡素にし、接客をより円滑にすることも挙げていた。
予約・搭乗の仕組みを外部の会社のシステムに置くと、自社で一から開発し保守する負担は減る。一方で、今回のように提供元のシステムが攻撃を受けると、航空会社自身の設備に問題が無くても顧客の情報に影響が出る。ANAは今回、提供元からの報告を受けて対象者や項目を公表した。
法律が定める委員会への報告と本人への通知
個人情報保護法は、事業者が扱う個人データの漏えいなどが生じ、個人の権利や利益を害する恐れが大きい場合に、事業者に個人情報保護委員会への報告と本人への通知を義務付けている（第26条）。
委員会によると、報告が必要になるのは、要配慮個人情報が含まれる場合、財産的被害が生じる恐れがある場合、不正の目的をもって行われた恐れがある行為による場合、本人の数が1,000人を超える場合などだ。委員会は、外部からの不正アクセスでデータが盗まれた場合を、不正の目的による漏えいの例に挙げている。第26条には、データの取り扱いを他の事業者から任された事業者が、任せた側の事業者へ事態を通知した場合の規定もある。その場合、任された側は委員会への報告と本人への通知を免れる。
報告は2段階になっている。施行規則第8条によると、事業者は事態を知った後「速やかに」、その時点で把握している事項を報告し、事態を知った日から30日以内に改めて報告しなければならない。不正の目的による漏えいの場合、この期限は60日以内になる。ANAの公表文は、委員会への報告の有無には触れていない。
同社を装う連絡に注意
ANAは対象の顧客に対し、同社グループを装った不審なメール、電話、ウェブサイト、SNS上の広告などに注意するよう呼びかけている。今回参照された形跡のある情報には、予約番号や搭乗日、便名といった、実際の旅程に結び付く項目が含まれる。
情報処理推進機構（IPA）は、メールアドレスや電話番号、氏名などが漏えいすると、それらがリスト化されて闇サイトなどで売られ、詐欺を狙った偽のメールやSMS、電話に使われる恐れがあると注意を促している。偽のメールの文面に本人の氏名が書かれている場合も考えられるとして、突然届くメールやSMS内のリンクを開かないよう求めている（IPA、個人情報が漏れた人向けに対処手順 免許証画像は信用情報機関へ申告を）。
旅行に関わる会社の不正アクセスはこの数日で続いている。旅行会社のクラブツーリズムは10月31日、サーバーの一部に外部から不正アクセスがあり、ネット会員の情報約432万件が流出した可能性があると発表した。同社はパスポート情報やクレジットカード情報は含まれないとしている（クラブツーリズムに不正アクセス、ネット会員約432万件が漏えいの恐れ 生年月日や緊急連絡先も）。