日本航空（JAL）は、世界的なテクノロジー企業であるAmadeusが管理する旅客サービスシステム（Passenger Service System）の脆弱性の結果として、約92,000人の顧客の機密データが露呈するセキュリティ侵害を受けたことを発表しました。このインシデントは、航空業界において外部のテクノロジーサービスプロバイダーへの依存に関連するセキュリティリスクを示す指標となっています。
侵害の詳細
公式発表によると、Amadeusは2026年10月23日、日本航空に対し、2023年8月10日から2026年9月23日までの長期にわたってシステムへの不正アクセスが継続していたことを通知しました。流出したデータは顧客によって異なり、以下が含まれていました。
- 約90,000人の顧客：予約番号（PNR）、氏名、搭乗日、旅程、座席クラスへのアクセスが行われました。
- 約2,000人の顧客：メールアドレス、電話番号、パスポート番号、国籍、マイレージ会員番号に加え、フライトや座席の詳細を含む追加データが危険にさらされました。
日本航空は、クレジットカード番号やパスワードは侵害されたデータに含まれておらず、現時点では流出した情報が悪用された証拠はないと強調しました。
技術的影響の範囲
このインシデントは日本航空だけに限定されるものではなく、Amadeusは世界の航空業界の主要な技術サプライヤーであり、400社以上の航空会社や数百万のホテルにサービスを提供しています。全日本空輸（ANA）、アシアナ航空、大韓航空を含む他の航空会社も、旅行予約表示環境におけるこのセキュリティ脆弱性の影響を受けたことを確認しています。
このニュースが重要な理由
この侵害は、ソフトウェアサプライチェーンセキュリティ（Software Supply Chain Security）における根本的な課題を浮き彫りにしています。航空のような重要な産業が単一の集中型テクノロジープラットフォームに依存している場合、そのプラットフォームの脆弱性は即座に国境や企業を越えた脅威へと変化します。Amadeusは脆弱性が修正されたと発表しましたが、侵害の期間が3年以上と長期に及んだことは、デジタル予約環境における監視および侵入検知システムの有効性に疑問を投げかけ、数百万人の旅行者のデータへのアクセス権を持つテクノロジーサービスプロバイダーのサイバーセキュリティプロトコルの見直しの必要性を強調しています。