最終更新：10 月 29 日 14:20（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ ANA を利用した人 ／ パスポート番号が心配な人 ／ JAL・JTA を利用した人 ／ 出張を手配している会社 ／ 技術的な詳細
ひとことで言うと
ANA が予約に使う外部の仕組みに入り込まれ、一部のお客さまの個人情報が見られた形跡がある。だれの・どの情報かは調べている途中（10 月 29 日の発表）
- ANA（全日本空輸）が 10 月 29 日に発表した。予約などの仕組み（旅客サービスシステム）を ANA に提供している Amadeus（アマデウス）社から、ANA 便の予約情報に外から入り込まれたと報告を受けた
- ANA のお客さまの一部の個人情報が「参照された形跡がある」とされている。対象の人や情報の項目は、まだ発表されていない。分かり次第、ANA が対象のお客さまに知らせる
- JAL グループの JTA（日本トランスオーシャン航空）も、前の日の 10 月 28 日に、同じ題名のお知らせを公式サイトに載せている
どうすればいい？
よくある疑問と答え
-
自分は対象？
まだ分かりません。ANA は、詳細が確認でき次第、対象のお客さまに知らせるとしています（全日本空輸の発表）。
→ ANA を利用した人がやること -
どんな情報が見られた？
発表には「一部個人情報」とあるだけです。名前・連絡先・パスポート番号・カード番号のどれが含まれるかは、まだ書かれていません。
→ ANA の発表に書かれていること -
パスポート番号は漏れた？
この記事で読めた航空会社の発表で、パスポート番号にふれたものはありません。不安につけこんで、パスポートの停止をちらつかせる詐欺の電話には気をつけてください。
→ 詐欺の電話の例 -
JAL・JTA を使っていた場合は？
JTA が 10 月 28 日に、同じ題名のお知らせを載せています。本文は JAL の公式サイトにあるので、自分で開いて確かめてください。
→ JAL・JTA のお知らせの状況 -
ANA のアプリやレンタカーの予約が止まったのは、この件のせい？
ANA の 10 月のお知らせでは、止めた理由は「PHP」というプログラミング言語の弱点（脆弱性）への予防措置と書かれています。Amadeus 社の件にはふれていません。
→ ANA の 10 月のほかのお知らせ - 気をつけることは？ 航空会社を名乗る電話やメールで、パスワード・カード番号・パスポートの情報を聞かれても答えないでください。ANA グループの名前を使った詐欺は、この件の前から報告されています（ANA の発表）。
-
会社で出張を手配している場合は？
社員に、公式の発表の確かめ方と、詐欺への注意を知らせておくと安心です。そのまま使える文面の例を下に載せています。
→ 社員への知らせ方の例 -
予約の仕組みを外部に任せている会社は？
自社のサーバーに入られていなくても、預けた先が狙われると、お客さまの情報が巻き込まれることがあります。預けている情報と、事故のときの連絡の受け口を確かめておきます。
→ 外部システムを使う会社の点検表
詳しくは：ANA を利用した人 ／ 社員への知らせ方の例 ／ 外部システムを使う会社の点検表
この記事では、「ANA 情報漏洩」「ANA 不正アクセス」「アマデウス 漏洩」などで調べられている、アマデウス（Amadeus）社の旅客サービスシステムへの不正アクセスについて整理します。もとにしたのは、ANA（全日本空輸）の 10 月 29 日の発表と、JTA の公式サイト、個人情報保護委員会の案内のうち、この記事で読み込めたものだけです。ANA の情報漏洩として報道で伝えられている人数や、JAL の人数・項目は、航空会社の発表で確かめられないため書いていません。
ANA が 10 月 29 日に発表したこと
ANA は 10 月 29 日、ANA グループの企業情報のサイトに「Amadeus社が提供する旅客サービスシステムへの不正アクセスについて」を載せました。Amadeus 社は、スペインに本社がある会社で、ANA に旅客サービスシステムを提供しています（全日本空輸の発表）。旅客サービスシステムは、航空会社が予約などのお客さまの手続きに使う仕組みのことです。
| こと | 発表に書かれていること |
|---|---|
| 知らせてきた会社 | 旅客サービスシステムの提供元の Amadeus IT Group S.A.（本社：スペイン） |
| 起きたこと | ANA 便の予約情報に、第三者から不正アクセスがあった |
| お客さまへの影響 | ANA のお客さまの一部の個人情報が「参照された形跡がある」との報告を受けた |
| いまの対応 | Amadeus 社と緊密に連携して、影響の範囲を特定しているところ |
| これから | 詳細が確認でき次第、対象のお客さまに知らせる |
ANA の発表にまだ書かれていないこと
- だれの情報が対象か 人数・予約の時期・国内線か国際線かは、書かれていません。
- どんな情報が見られたか 名前・連絡先・パスポート番号・カード番号などが含まれるかどうかは、書かれていません。
- どうやって入り込まれたか 入り込まれた経路や期間は、書かれていません。
- ほかの航空会社への影響 ANA の発表は、ANA のお客さまについてのものです。JAL・JTA については、JTA のお知らせの題名までしか確かめられていません。
これまでに出た発表は次のとおりです
| 日付 | できごと |
|---|---|
| 2026 年 10 月 29 日 | ANA が「Amadeus社が提供する旅客サービスシステムへの不正アクセスについて」を発表した。ANA 便の予約情報に不正アクセスがあり、一部のお客さまの個人情報が参照された形跡があると Amadeus 社から報告を受けた |
| 2026 年 10 月 28 日 | JTA が公式サイトの「重要なお知らせ」に、同じ題名のお知らせを載せた。題名のリンク先は JAL の公式サイトのお知らせ |
ANA の続報や、JAL・Amadeus 社の発表を確かめられたら、この表に足していきます。
ANA を利用した人は、ANA からの知らせを待ちつつ、偽の連絡に気をつけてください
ANA の飛行機を予約したり、乗ったりした人に向けた節です。ANA は、詳細が確認でき次第、対象のお客さまに知らせるとしています（全日本空輸の発表）。それまでにできることを並べます（この記事での整理）。
- 続報は、ブックマークや検索から ANA の公式サイトを自分で開いて確かめる。メールや SMS のリンクから開かない
- ANA を名乗る連絡が来て本物か迷ったら、連絡に書かれた電話番号やリンクではなく、公式サイトに書かれた問い合わせ先に自分で連絡する
- ANA マイレージクラブの会員ページなどで、身に覚えのない予約や登録内容の変更がないかを見ておく
- ほかのサービスと同じパスワードを使っているなら、この機会に別々のものに変えておく
ANA は以前から、ANA グループを名乗る詐欺のメールや電話に注意するよう呼びかけています。ANAホールディングス・全日本空輸によると、ANA から予約などの案内のメールを送ることはあっても、不安をあおって手続きを急がせるメールは送らないとしています。係員が暗証番号やパスワードを尋ねることもないとしています。
パスポート番号が心配な人は、詐欺の電話に気をつけてください
「パスポート番号も漏れたのでは」と心配している人に向けた節です。参照された情報の項目は、ANA の発表に書かれていません。パスポートの扱いについての公的機関の案内も、この記事では読み込めていません。
そのうえで、すぐに気をつけられることがあります。ANA は 9 月 11 日付のお知らせで、ANA グループを名乗る詐欺電話に注意するよう呼びかけています。ANAホールディングス・全日本空輸によると、「規約違反」や「航空券の悪質キャンセル」といった作り話で、パスポートやマイナンバーの使用停止をちらつかせ、個人情報を聞き出そうとする電話が報告されています。こうした電話はすぐに切るよう案内しています。
詐欺電話の例
ANA が載せている、実際に報告された言い方（ANA の発表）
「お客様には複数の規約違反記録が確認されています。2時間後にパスポート及びマイナンバーの使用権が一時的に停止される可能性があります」
今回の件のニュースを見たあとに、航空会社やパスポートの窓口を名乗る電話やメールが来ても、その場で番号や情報を伝えないでください。パスポートの扱いで迷ったときは、電話やメールで伝えられた連絡先ではなく、自分で調べた窓口に問い合わせてください（この記事での整理）。
JAL・JTA を利用した人は、JAL の公式サイトのお知らせを自分で開いてください
JAL・JTA の飛行機を使った人に向けた節です。10 月 28 日に、沖縄の航空会社 JTA（日本トランスオーシャン航空）の公式サイトのトップページに、「重要なお知らせ」が 1 つ加わりました。題名は「Amadeus社が提供する旅客サービスシステムへの不正アクセスについて」で、ANA の発表と同じ題名です（JTA の発表）。
題名をクリックすると、JAL（日本航空）の公式サイトのお知らせのページが開く作りになっています。このページは、この記事を書くときに読み込めませんでした。JAL・JTA のお客さまのだれが・どの情報が対象かは、この記事では確かめられていません。
| 会社 | 分かったこと |
|---|---|
| ANA | 10 月 29 日に発表。予約情報への不正アクセスと、一部の個人情報が参照された形跡（くわしくは上の節） |
| JTA | 10 月 28 日に、公式サイトの「重要なお知らせ」と「お知らせ」に題名を載せた |
| JAL | お知らせの本文は JAL の公式サイトにあるが、この記事を書くときに読み込めず、中身を確かめられていない |
| Amadeus 社 | 会社の発表のページは、この記事を書くときに読み込めず、中身を確かめられていない |
JAL・JTA を使った人も、やることは ANA を利用した人と同じです。ブックマークや検索から JAL・JTA の公式サイトを自分で開き、お知らせの本文で、対象の時期と情報を確かめてください。
出張で飛行機を手配している会社は、社員への知らせ方を決めておきます
出張で ANA・JAL・JTA を使う会社の総務の人に向けた整理です。社員の予約が対象かどうかは、会社からは分からないことが多く、航空会社から社員本人に連絡が届くこともあります。慌てて推測で知らせるより、確かめ方と詐欺への注意を先に伝えておくと安心です（この記事での整理）。
- 会社の名前で予約した出張があるなら、使った予約の窓口（航空会社のサイト・旅行会社・出張手配のサービス）を確かめる
- 旅行会社や出張手配のサービスを使っているなら、その窓口に影響の有無と今後の連絡の流れを聞き、答えを記録しておく
- 公式の発表の確かめ方と、航空会社を名乗る電話・メールへの注意を、社員に知らせる
ひな形
社員への知らせ方の例（この記事での整理）
10 月 29 日、ANA（全日本空輸）が、Amadeus 社が提供する旅客サービスシステムへの不正アクセスについて発表しました。ANA 便の予約情報が対象で、一部のお客さまの個人情報が参照された形跡があるとのことです。対象の人へは、詳細が分かり次第 ANA から知らせが届くとされています。JAL グループの JTA も、10 月 28 日に同じ題名のお知らせを出しています。続報は、ブックマークや検索から各社の公式サイトを自分で開いて確かめてください。会社の出張で利用した予約について航空会社から連絡が届いた人は、総務まで知らせてください。航空会社やパスポートの窓口を名乗り、パスポートの停止などを理由に個人情報やお金を求める電話やメールには応じず、電話はすぐに切り、メールは開かずに削除してください。
続報で対象の時期や情報が分かったら、文面を見直してください。社員の予約が対象だと分かった場合は、この例ではなく、航空会社や旅行会社からの案内に沿って知らせます。
ANA の 10 月のほかのお知らせは、この件とは別の話です
ANA の公式サイトでは、10 月にサービスを止めたお知らせも出ています。どちらも理由は PHP の脆弱性への予防措置と書かれていて、Amadeus 社の件にはふれていません。
| お知らせ | 書かれていること |
|---|---|
| 10 月 28 日 ANAトラベラーズレンタカーの一時停止 | 「PHP」の脆弱性への予防措置として、ANAトラベラーズレンタカーの新しい予約を一時止めている。システムの対応が終わり次第、再開する予定（ANA X の発表） |
| 10 月 23 日 一時止めていたサービスの復旧 | 10 月 21 日 21 時 20 分から、PHP の脆弱性への事前の予防措置として、ANA Pocket アプリなどを一時止めていた。修正と安全の確認ができたので、10 月 23 日 20 時 40 分に復旧した（全日本空輸の発表） |
| 10 月 13 日 宿泊施設を装った不審なメッセージ | 一部の国内の宿泊施設が使う外部の予約管理システムで、不正アクセスがあったと報告を受けた。ANA X の管理システムからの情報の漏えいは確認されていない。メッセージアプリなどで届く不審な連絡に注意（ANA X の発表） |
技術的な詳細（システム担当者向け）
ここからは、予約・会員・問い合わせなどの仕組みを外部のサービスに任せている会社の担当者・エンジニア向けです。まず、取得できた一次情報から読み取れる技術的な点を並べます。
| 観点 | 分かったこと |
|---|---|
| 対象のシステム | Amadeus IT Group S.A.（本社：スペイン）が航空会社に提供する旅客サービスシステム。航空会社の外の会社が提供するシステム |
| 対象のデータ | ANA 便の予約情報。そのうちお客さまの一部の個人情報に、参照された形跡がある（ANA の発表） |
| 発表の言葉 | 「参照された形跡」。データが外へ持ち出されたかどうか、何件・どの項目かは、発表に書かれていない |
| 検知と報告の流れ | システムの提供元の Amadeus 社から ANA へ報告があった。ANA は Amadeus 社と連携して、影響の範囲を特定している |
| 公表のしかた | ANA は ANA グループの企業情報のサイトのプレスリリースとして発表。JTA はトップページの「重要なお知らせ」に題名を載せ、本文は JAL の公式サイトにリンクしている |
| 確かめられていないこと | 侵入の経路・使われた認証情報や脆弱性・不正アクセスの期間・対象のデータ項目（予約記録のどの欄か・旅券番号を含むか）・人数・ほかの航空会社への影響・Amadeus 社の説明 |
この記事での整理です。この種の事故では、自社のサーバーやネットワークに入り込まれていなくても、外部のサービスに預けたお客さまのデータが対象になります。自社の侵入の検知や、自社のサーバーの更新だけでは防げません。今回も、異常を知らせてきたのはシステムの提供元でした。預ける項目を減らすこと、委託先のアカウントを守ること、委託先から事故の知らせを確実に受け取ることが、自社でできる対策になります。
法令の面も確かめておきます。個人情報保護委員会によると、不正の目的をもって行われたおそれがある行為による個人データの漏えい等（又はそのおそれ）は、報告が義務付けられています。例には「個人データを格納しているサーバー等において、外部からの不正アクセスによりデータが窃取された場合」が挙がっています。この場合の報告の期限は、発覚日から 60 日以内です。発覚したら、まずは速やかに報告するよう案内しています。報告の記入例には「委託先事例」も用意されています。
予約などの外部システムを使う会社が、点検しておきたいこと
予約・会員・ネットショップ・問い合わせの管理を、外部のサービスに任せている中小企業は少なくありません。任せた先で事故が起きたとき、お客さまに説明するのは自社になることもあります。次の点を確かめておくと、いざというときに慌てずにすみます（この記事での整理）。
| 点検すること | 中身 |
|---|---|
| 預けている情報を一覧にする | 予約・会員・問い合わせ・決済など、外部のサービスごとに、預けているお客さまの情報（名前・連絡先・生年月日・身分証の番号など）を書き出す |
| 預ける項目を減らす | 身分証の番号や生年月日など、その業務で本当に要る項目かを見直す。要らない項目は入力欄から外す |
| 終わった予約のデータを消す | 保存しておく期間を決め、期間が過ぎたデータを消せるか（消してもらえるか）を確かめる |
| 管理画面のアカウントを守る | 共有の ID をやめて一人ひとりに ID を発行する。多要素認証と接続元の制限を設定し、退職した人や取引が終わった会社の ID を消す |
| 事故の知らせの受け口を決める | 委託先からの事故の連絡が、だれに届くかを確かめる。担当者が休みでも届く宛先にし、委託先の緊急の連絡先も控えておく |
| 契約の中身を確かめる | 事故のときに、いつまでに知らせてもらえるか。対象の一覧やアクセスの記録（ログ）を出してもらえるか。さらに別の会社に任せていないか（再委託） |
| 報告と知らせ方を用意する | 個人情報保護委員会への報告が要るかの判断と期限、お客さまへのお知らせのひな形、問い合わせの窓口を、事故の前に決めておく |
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、使っている外部のサービスの事故の情報を追い、仕組みの更新や安全対策を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
