[イーデイリーLEE SEON-WOO 記者] グローバル航空予約システムで発生した個人情報流出事故の被害規模が、少なくとも18万4000件・人に達することが判明しました。一部の乗客については、予約番号やフライト情報に加え、パスポート番号や連絡先などの追加個人情報まで流出している可能性があり、二次被害が懸念されています。
今回の事故は、グローバル航空予約・発券システムを運営するスペインのアマデウス（Amadeus）のシステムで発生しました。外部の者がシステムアカウントのログイン認証情報を利用して、顧客の予約情報に無断でアクセスしたものとみられています。無断アクセスの対象には、2023年8月から今年9月までの予約情報が含まれていると伝えられています。多数の航空会社が共同で利用する外部予約システムのセキュリティ問題が、大規模な顧客情報の流出につながったのです。
事故の事実が明らかになって以降、具体的な被害規模を公表した航空会社は、日本航空（JAL）や全日本空輸（ANA）、キャセイパシフィック、ジンエアーなどです。 日本航空と日本トランスオーシャン航空は、約9万2000人の顧客情報が本件の影響を受けたと明らかにしました。このうち、約2000人のパスポート番号や国籍、メールアドレス、電話番号などの追加個人情報についても、外部からのアクセス痕跡が確認されました。
全日本空輸も、顧客約3万7800人の情報が流出した中で、約1700人についてはパスポート番号や連絡先などが漏洩した可能性があることを明らかにしました。キャセイパシフィックは先月30日、約5万3000件の予約情報に外部からアクセスがあったと発表しました。一部の予約情報には、旅行証明書やマイレージプログラムの会員番号なども含まれていたと、航空会社側は見ています。
国内航空会社の中では、ジンエアが顧客1,454人の個人情報が流出したと発表しました。流出した項目には、氏名、生年月日、電話番号、国籍などが含まれていました。大韓航空とアシアナ航空も先月20日にアマデウスから事故の事実を通報され、23日に顧客へ関連内容を案内しましたが、正確な被害規模は公表しませんでした。
ドイツの航空会社コンドルも、今回の事故により一部の顧客情報が流出したことが明らかになりました。航空業界では、被害規模を公表していない航空会社が複数あることから、実際の被害規模はこれまでに公表された数値を大幅に上回る可能性が高いと見られています。ただし、航空会社ごとに予約件数や被害を受けた顧客数などの集計基準が異なるため、正確な被害規模を確認するには追加の調査が必要であると伝えられています。
アマデウス側は、「現時点で、クレジットカードなどの決済情報が流出したことや、個人情報が犯罪に悪用されたという状況は確認されていない」とし、「事故発生後、関連アカウントの認証情報をリセットし、システムの監視機能を強化した」と明らかにしました。