日本航空は2026年10月28日、予約・発券・搭乗手続きのシステムを委託しているAmadeusで不正アクセスがあったと発表しました。約9万2,000人分の予約情報が見られた形跡があり、そのうち約2,000人分にはパスポート番号も含まれます。同じシステムを使う大韓航空とアシアナ航空も、予約情報の流出を発表しています。
しかし、どこから、どうやって入られたのかは公表されていません。委託先から情報が漏洩するとき、原因はどこにあり、委託元の会社は何を対策すればよいのでしょうか？
原因は、委託先システムのアカウントのログイン情報が使われたこと
原因として公表されているのは、Amadeusのシステムのアカウントに割り当てられたログイン情報が使われたことです。大韓航空とアシアナ航空がこう説明しており、自社の社内ネットワークやデータベースには入られていないとしています（電子新聞、10月23日）。委託先のシステムに、正規のアカウントで入られたのが今回の構図です。
公表・報道されていることと、されていないことは、以下のとおりです。
| 項目 | 公表・報道されていること |
|---|---|
| 入られた場所 | Amadeusのシステム。大韓航空・アシアナ航空は、自社のネットワークやデータベースへの侵入はないと説明 |
| 入り口 | Amadeusのシステムのアカウントに割り当てられたログイン情報 |
| 誰のアカウントか | 公表されていない |
| ログイン情報が盗まれた経路 | 公表されていない |
| 攻撃者と接続元 | 公表されていない |
| 見られた予約記録 | 2023年8月10日から2026年9月23日までに記録があった予約（日本航空） |
| 委託元が知った日 | 大韓航空は10月20日、日本航空は10月23日に、Amadeusから報告を受けた |
日本航空の発表は、手口に触れていません。クレジットカード番号とパスワードは漏れておらず、Amadeusは対策を済ませたとしています。
ログイン情報は、マルウェアやフィッシングなど複数の経路で盗まれる
では、そのログイン情報はどうやって盗まれたのでしょうか。経路は公表されていないため、ここからは考えられる可能性です。パスワードが簡単だったとは限らず、パスワードの強さと関係なく盗まれる経路もあります。
- マルウェア：社員や取引先のパソコンに入ったインフォスティーラー（パスワードを盗むことに特化したマルウェア）が、ブラウザに保存されたパスワードや、ログインした後の状態を盗む
- フィッシング：偽のログイン画面にパスワードを入力させる
- 使い回し：別のサービスで漏れたパスワードを、同じ人が使い回していた
- 簡単なパスワード：短い、初期設定のままなどの理由で推測される
- 委託先の設定不備：パスワードが、外から見える場所に置かれていた
委託先の設定不備には、近い報道があります。ドイツのheise onlineは10月13日、Amadeusの予約表示のシステムに認証なしで外から開けるデータがあり、その中に管理者のパスワードなどが入っていたと報じました。Amadeusは9月21日に脆弱性を把握し、修正したと答えています。ただし、今回の不正アクセスとつながっているかは確認されていません。
マルウェアで盗まれたログイン情報で入られた前例がある
マルウェアの可能性は、仮の話にとどまりません。2024年には、データ保管サービスのSnowflakeを使っていた企業で、同じ形の被害が起きました。調査したMandiantの報告（2024年6月10日）によると、約165の組織に影響のおそれがあり、Snowflake自体のシステムは破られていませんでした。
- 使われたのは、利用企業のアカウントのログイン情報
- ログイン情報の多くは、インフォスティーラーで盗まれていた。感染したのはSnowflakeの管理外のパソコンで、個人のパソコンが多かった
- 使われたアカウントの少なくとも79.7%は、以前にログイン情報が漏れていた
- 入られたアカウントは、多要素認証を求めていなかった
- 最長で4年、パスワードが変えられていなかった
- 許可したネットワークからしか入れなくする設定も使われていなかった
委託先のシステムが無事でも、委託元の側のアカウントの管理が甘いと、そこから入られます。
原因の可能性ごとに、委託元が打てる対策は決まっている
原因が公表されていなくても、経路ごとに対策を決められます。原因の可能性と対策を組みにすると、以下のとおりです。
| 原因の可能性 | 何が起きるか | 委託元の対策 |
|---|---|---|
| マルウェア | 社員や取引先のパソコンから、パスワードとログインした後の状態が盗まれる | ブラウザにパスワードを保存させない。私物のパソコンで委託先のシステムに入らせない。端末のウイルス対策を入れる。ログイン状態の有効時間を短くする |
| フィッシング | 偽のログイン画面にパスワードを入力させられる | 多要素認証を入れる。可能なら、偽サイトでは使えない方式（物理的な認証キーなど）にする |
| 使い回し | 別のサービスで漏れたパスワードで入られる | 使い回しを禁止し、委託先のシステム専用のパスワードにする |
| 簡単なパスワード | 推測で入られる | 長さと複雑さを決め、初期パスワードのまま使わせない |
| 委託先の設定不備 | 外から見える場所にパスワードが置かれている | 委託先に脆弱性診断の結果を出してもらう |
どの経路でも効くのは、アカウントを減らし、入れる場所を絞り、普段と違うログインに気づくこと
経路ごとの対策の前に優先するのは、どの経路で盗まれても被害を小さくする対策です。盗まれたログイン情報が使われても、入れるアカウントと入れる場所が少なく、すぐに気づければ、被害は広がりません。
- 委託先のシステムに入れる自社のアカウント（社員、取引先、退職した人）を一覧にし、使っていないものを止める
- 入れる場所を、自社のネットワークや決めた端末に絞る
- 普段と違う場所や時間からのログインを、委託先に知らせてもらう
- 自社のデータがいつ誰に見られたかの記録を受け取れるか、異常を何日以内に知らせるかを、契約に入れる
多要素認証は入れたうえで、それだけに頼らないことも大切です。ソフトバンクの辻伸弘氏は、インフォスティーラーはログインした後の状態（セッションクッキー）も盗むため、多要素認証を済ませた状態のまま入られると指摘しています（＠IT、2026年5月）。
委託先が持っているデータの量も、被害の大きさを左右します。日本航空の件では、約3年分の予約記録が見られました。委託先が自社の顧客データを何年分持っているかを確かめ、保存期間を契約で決めておくと、入られたときに見られる範囲が狭くなります。
よくある疑問
Q：多要素認証を入れていれば、委託先のアカウントは守れますか？
A：パスワードだけが盗まれた場合は守れます。ただ、インフォスティーラーのようにログインした後の状態まで盗むマルウェアには効きません。端末の対策と、普段と違うログインの監視を組み合わせる必要があります。
Q：大手の委託先なら、セキュリティは任せてよいですか？
A：委託先のシステムが無事でも、アカウントの管理が甘いと入られます。Snowflakeの件では、入られたアカウントの多くが多要素認証を求めておらず、パスワードも長期間変えられていませんでした。アカウントの管理は、委託元の側でも確かめる必要があります。
Q：原因が公表されるまで、対策を待つべきですか？
A：待つ必要はありません。ログイン情報が使われたことまで分かっていれば、アカウントの整理、入れる場所の制限、ログインの監視といった、どの経路でも効く対策を先に打てます。
委託先で漏れても、顧客への説明は委託元が負う
対策を委託先任せにできない理由は、法律にもあります。個人情報保護法第25条は、個人データの取扱いを委託する会社に、委託先を必要かつ適切に監督するよう求めています（個人情報保護委員会のガイドライン（通則編））。日本航空の件でも、発表と問い合わせ窓口を出したのは日本航空でした。顧客は委託先の名前を知らないまま、自分が選んだ会社に説明を求めます。
まずは、委託先のシステムに入れる自社のアカウントを一覧にするところから、始めてみてはいかがでしょうか。
