透過航空科技供應商外洩訂位資料
全日空（ANA）於2026年10月30日表示，其西班牙科技承包商Amadeus IT Group的系統遭未經授權存取，約3萬7,800名顧客的訂位資訊可能外洩。其中約1,700名顧客的護照號碼及其他個人資料，也出現在有外部存取跡象的資訊中。
目錄
全日空表示，Amadeus於9月24日偵測到未經授權的存取，但航空公司直到10月20日才收到承包商通報，相隔26天。全日空在10月16日得知其他使用該供應商的航空公司受到影響後，便要求Amadeus調查全日空資料是否也遭存取。
航空公司確認有兩類顧客受到影響。約3萬6,100人的基本訂位資訊，包括姓名與旅程資料，可能外洩；約1,700人則有較多資料涉及其中，包括聯絡資訊、護照號碼與常客會員號碼。全日空表示，信用卡資訊與密碼不在受影響資料之列。
全日空預計於11月第一週開始聯絡受影響顧客。航空公司目前提醒旅客，留意假冒全日空集團名義的可疑電子郵件、電話、網站及社群媒體廣告。
這起事件影響的不只一家航空公司。日本航空與日本越洋航空此前已宣布，約9萬2,000名顧客可能因同一供應商遭未經授權存取而受到影響。其他日本航空業者仍在確認自身受影響程度；韓國航空與韓亞航空顧客的訂位號碼也傳出外洩。
涉及哪些資訊？
全日空受影響人數最多的一組約有3萬6,100人，他們的五類資訊出現外部存取跡象：姓名、訂位號碼、旅遊日期、航段及艙等。航段是旅程中的一段，例如從東京飛往札幌的航班；艙等則指經濟艙或商務艙等旅遊類別。
另一組約1,700名顧客，除了上述資料，也有電子郵件地址、電話號碼、護照號碼、國籍、常客會員號碼、航空公司名稱、航班號碼、機票號碼及座位號碼涉及其中。
因此，全日空確認的3萬7,800名顧客中，約4.5%受影響資料包含護照號碼。其餘約95.5%屬於資料外洩範圍僅限五項基本訂位資訊的一組。
全日空表示，有證據顯示訂位資訊曾從系統外部遭到檢視。該公司公告尚未確認資料是否也曾被複製出系統，或事後遭到不當利用。對旅客而言，實際風險在於這些欄位可能將個人身分與特定旅程連結起來。
哪些訂位落在受影響期間？
全日空確認，部分於2023年8月10日至2026年9月23日期間訂位的顧客受到影響。這次公告涉及三年多期間內的一部分訂位紀錄，而非所有在這些日期訂位的旅客。
受影響期間也被描述為2023年8月10日至2026年9月23日的全日空營運航班。公告的多數詳細說明指出，這是訂位日期涵蓋的期間。顧客應以全日空寄發的個別通知確認自己的訂位是否在受影響範圍內。
受影響紀錄包含旅客安排旅程時提供或產生的資訊。訂位號碼用來識別預訂，機票號碼則用來識別已開立的旅行文件。這些資料可能在最初購票後仍保留於旅客服務系統中，這有助於解釋為何此次外洩涉及可追溯至2023年的訂位紀錄。
事件發現與公告經過
全日空於10月29日首次對外公布此事件，當時仍在調查受影響顧客人數及涉及的資訊。隔天，該公司公布約3萬7,800名顧客可能受到影響，並說明兩類外洩資料。
在對外公告前一個多月，事件已開始發展：
- 2026年9月24日：Amadeus偵測到航空公司訂位資訊遭未經授權存取。全日空表示，當時未收到通報。
- 10月16日：全日空得知其他使用Amadeus的航空公司發生事件，並要求供應商確認全日空航班訂位資訊是否受影響。
- 10月20日：全日空收到Amadeus通報，並向日本個人資訊保護委員會及其他相關機關報告此事。
- 10月29日：全日空公布部分顧客訂位資訊疑似遭外部存取。
- 10月30日：全日空確認約3萬7,800名顧客可能受到影響，並詳述涉及的資訊。
- 11月第一週：全日空預計開始分批聯絡受影響顧客。
從日期可見，全日空在承包商通報前已展開調查。Amadeus於9月24日偵測到事件，全日空在22天後要求供應商確認自身是否受影響；供應商則在接獲要求四天後向全日空通報。
10月20日之後，全日空與Amadeus持續確認顧客資訊。收到全日空通報的日本個人資訊保護委員會，是負責監督個人資訊保護的主管機關。
Amadeus採取的措施
Amadeus提供此次事件涉及的旅客服務系統。航空公司使用這類系統管理訂位、開立機票等業務，因此在一般旅運作業中，顧客資訊會交由專業科技供應商處理。
全日空表示，已向Amadeus確認，與未經授權存取相關的憑證已停用，監控措施也已加強。憑證是讓個人或系統得以登入服務的數位識別資料或存取資訊。停用憑證後，便無法繼續使用這些特定存取資訊。
Amadeus另表示，沒有證據顯示發生勒索軟體造成的損害、資料遭竄改或刪除，也沒有服務中斷。勒索軟體是一種會鎖定資訊或系統並要求付款的惡意軟體。全日空說明的處理措施，主要針對未經授權存取顧客紀錄及停用相關存取憑證。
這些措施著重於供應商端的存取管理與監控。全日空也同步確認哪些人受影響，並告知他們涉及哪些資料。
其他航空公司也受到同一供應商事件影響
日本航空與日本越洋航空於10月28日宣布，約9萬2,000名顧客的訂位資訊出現透過Amadeus遭外部存取的跡象。其中約2,000名顧客的護照號碼及其他資料也可能外洩。兩家航空公司於10月23日收到Amadeus通報。
日本航空與日本越洋航空確認的9萬2,000名顧客，約為全日空3萬7,800人數字的2.4倍。日本航空與日本越洋航空受影響顧客中，約2.2%涉及護照號碼及其他額外資料；全日空則約為4.5%。
透過全日空使用Amadeus系統的Air Do、Solaseed Air及StarFlyer表示，10月29日接獲全日空通知，其個人資訊出現外部存取跡象。這些航空公司正與全日空合作確認影響範圍。韓國航空與韓亞航空顧客的訂位號碼也遭外洩，使事件影響範圍擴及日本以外地區。
日本航空與日本越洋航空表示，已確認受影響資訊未遭不當利用，航班營運也未受影響。多家航空公司共用同一供應商，形成共同的暴露風險；各航空公司則必須分別確認自身受影響顧客並處理通知事宜。
全日空為何提醒旅客留意冒名詐騙
全日空已提醒顧客留意假冒航空集團名義的訊息與電話。訂位資訊可能讓詐騙更具說服力，因為來電者或電子郵件寄件者可能知道真實的旅遊日期、目的地或航班號碼。
例如，詐騙訊息可能聲稱旅客的真實訂位需要立即付款，或退款必須先輸入財務資料。網路釣魚是冒充可信任機構，誘使他人提供資訊或造訪詐騙網站的手法。
旅客收到意料之外的訂位相關訊息時，可透過平常使用的全日空網站或應用程式確認，不要點擊訊息中的連結或撥打其中的電話號碼。若透過未經要求的聯絡方式收到索取密碼、驗證碼、信用卡資料或護照影像的要求，應特別提高警覺。
全日空預計寄發的個別通知，將比僅參考大致訂位期間更能協助受影響顧客採取適當行動。對約1,700人的那一組而言，風險涉及聯絡與身分資料，以及旅程資訊；對人數較多的那一組而言，外洩資訊仍能將姓名與旅程連結起來。
其他事件加深日本對資料安全的關注
日本外務省也於10月30日表示，未經授權的存取可能導致約3,600筆含有個人資訊的紀錄外洩，其中包括姓名與電子郵件地址。約900筆紀錄屬於外務省以外人士。受影響環境是連接外部系統的網路；外務省表示，已確認另一個處理高度機密資訊的封閉網路未遭未經授權存取。
無印良品營運商良品計畫公司揭露，官方應用程式遭未經授權存取，最多可能有2,726萬筆顧客紀錄外洩。可能受影響欄位包括電子郵件地址、出生日期及性別，也包含已取消使用應用程式者的相關資訊。姓名與信用卡資訊不在受影響資料之列。
無印良品表示，已確認資料未遭不當利用，將逐一聯絡受影響顧客，應用程式與線上商店目前仍正常營運。該公司也提醒顧客不要點擊可疑電子郵件中的連結。航空公司、外務省與零售業者的事件涉及不同資訊與服務，但受影響者都需要收到明確通知，了解哪些個人資料遭到外洩。
重點整理
- 全日空確認，約3萬7,800名顧客的訂位資訊可能因Amadeus遭未經授權存取而外洩。
- 約3萬6,100名顧客涉及基本訂位資料；另約1,700人的護照號碼、聯絡資訊及其他資料也涉及其中。
- 全日空表示，信用卡資訊與密碼不在受影響資料之列。
- Amadeus於2026年9月24日偵測到事件。全日空於10月20日收到通報，並於10月30日公布受影響顧客資訊。
- Amadeus已停用相關憑證並加強監控，並表示服務未曾中斷。
- 全日空預計於11月第一週開始逐一通知顧客，並提醒留意冒名詐騙。
- 日本航空與日本越洋航空另確認約9萬2,000名顧客受影響；其他航空公司仍在確認自身受影響程度。
