通过航空技术供应商泄露的预订信息
全日空（ANA）于2026年10月30日表示，约3.78万名客户的预订信息可能遭到泄露。此前，该公司西班牙技术承包商Amadeus IT Group运营的系统遭到未经授权的访问。在显示出被外部访问迹象的信息中，还有约1700名客户的护照号码和其他个人资料。
目录
全日空称，Amadeus于9月24日发现未经授权的访问，但航空公司直到10月20日、即26天后才收到承包商的报告。全日空在10月16日获悉其他使用该供应商的航空公司受到影响后，要求Amadeus调查自身信息是否遭到泄露。
全日空确认了两类受影响客户。约3.61万人的基本预订信息遭到访问，包括姓名和行程信息。约1700人涉及范围更广的信息，包括联系方式、护照号码和常旅客会员号码。全日空称，信用卡信息和密码不在受影响数据之列。
全日空计划于11月第一周开始联系受影响客户。该公司目前提醒乘客警惕冒充全日空集团的可疑电子邮件、电话、网站和社交媒体广告。
此次事件影响的不止一家航空公司。日本航空（JAL）和日本越洋航空（JTA）此前已宣布，约9.2万名客户可能因同一供应商遭遇未经授权访问而受到影响。其他日本航空公司仍在调查自身信息是否受到影响；此外，有报道称，大韩航空和韩亚航空客户的预订号码也遭到泄露。
涉及哪些信息？
全日空受影响人数最多的一组约有3.61万人，其五类信息显示出遭到外部访问的迹象：姓名、预订号码、旅行日期、航段和客舱等级。航段指行程中的一段航程，例如从东京飞往札幌。客舱等级则标明出行类别，例如经济舱或商务舱。
约1700人的较小群体也涉及上述信息，此外还包括电子邮箱地址、电话号码、护照号码、国籍、常旅客会员号码、航空公司名称、航班号、机票号码和座位号。
因此，在全日空确认的3.78万名客户中，约4.5%的客户所涉信息包括护照号码。其余约95.5%属于信息仅限于五项基本预订资料的群体。
全日空表示，有证据显示预订信息曾从系统外部被查看。该公司在公告中尚未确认这些信息是否也被复制出系统，或之后遭到滥用。对乘客而言，实际风险在于，这些信息可能将个人身份与具体行程关联起来。
哪些预订属于受影响时段？
全日空确认，部分在2023年8月10日至2026年9月23日期间进行预订的客户受到影响。此次披露涉及这三年多时间内的一部分预订记录，并非所有在该时段订票的乘客都受到影响。
全日空还将受影响时段描述为2023年8月10日至2026年9月23日的全日空执飞航班。公告的大多数详细说明将该时段界定为预订日期范围。客户应以全日空发给个人的通知为准，确认自己的预订是否在受影响范围内。
受影响记录包含乘客在安排旅行时提供或生成的信息。预订号码用于识别预订，机票号码则用于识别已签发的旅行凭证。首次购票后，这些信息可能仍保存在旅客服务系统中，这有助于解释为何此次泄露涉及可追溯至2023年的预订记录。
事件发现与披露时间线
全日空于10月29日首次公开披露此事，当时仍在调查受影响客户人数及涉及的信息。次日，该公司公布了约3.78万名受影响客户的估算人数，并说明了两类遭访问的数据。
公开公告前一个多月，事件调查已开始：
- 2026年9月24日：Amadeus发现航空公司预订信息遭到未经授权访问。全日空称，当时并未收到相关报告。
- 10月16日：全日空获悉使用Amadeus的其他航空公司发生类似事件，并要求供应商检查全日空的航班预订信息。
- 10月20日：全日空收到Amadeus的报告，并向日本个人信息保护委员会及其他相关机构报告此事。
- 10月29日：全日空披露部分客户预订信息显示出遭外部访问的迹象。
- 10月30日：全日空确认约3.78万名客户可能受到影响，并详细说明涉及的信息。
- 11月第一周：全日空计划分批开始联系受影响客户。
从时间线可以看出，全日空在承包商向航空公司报告之前就已展开调查。Amadeus于9月24日发现事件，全日空在22天后要求检查自身信息是否受到影响。随后，供应商在收到该请求四天后向全日空报告。
10月20日之后，全日空和Amadeus继续核查客户信息。收到全日空报告的日本个人信息保护委员会，是负责监督个人信息保护工作的主管机构。
Amadeus采取的措施
Amadeus提供了此次事件涉及的旅客服务系统。航空公司利用此类系统管理预订、出票等业务，因此在日常旅行运营中，客户信息会交由专业技术供应商处理。
全日空称，已向Amadeus确认，与未经授权访问有关的凭证已停用，监控也已加强。凭证是允许个人或系统访问服务的数字标识或访问信息。停用凭证后，相关访问信息便无法继续使用。
Amadeus还表示，没有证据显示发生了勒索软件造成的损害、数据篡改或删除，也没有服务中断。勒索软件是一种恶意软件，会锁定信息或系统并索要赎金。全日空描述的应对措施，重点是处理客户记录遭未经授权访问的问题，并停用相关访问凭证。
这些措施针对的是供应商的访问管理和监控。全日空还需要确认哪些人的信息受到影响，并告知他们涉及哪些资料。
其他航空公司也受到同一供应商事件影响
日本航空和日本越洋航空于10月28日宣布，约9.2万名客户的预订信息显示出经由Amadeus遭外部访问的迹象。其中约2000名客户的护照号码和其他资料也可能遭到泄露。两家航空公司于10月23日收到Amadeus的报告。
日本航空和日本越洋航空确认的9.2万名客户，约为全日空3.78万人的2.4倍。两家航空公司受影响客户中，约2.2%涉及护照号码和其他额外资料；全日空受影响客户中，这一比例约为4.5%。
通过全日空使用Amadeus系统的Air Do、Solaseed Air和StarFlyer表示，全日空于10月29日通知它们，个人信息显示出遭外部访问的迹象。它们正与全日空合作确定影响范围。大韩航空和韩亚航空客户的预订号码也遭到泄露，使事件影响范围延伸至日本以外。
日本航空和日本越洋航空称，已确认受影响信息未遭滥用，航班运营也未受影响。多家航空公司共用同一供应商，形成了共同的风险点；与此同时，各航空公司仍需分别确认受影响客户并处理通知事宜。
全日空为何提醒乘客警惕冒充行为
全日空提醒客户警惕谎称代表该航空集团的短信和电话。预订信息可能让诈骗更具迷惑性，因为来电者或邮件发件人可能掌握真实的旅行日期、目的地或航班号。
例如，诈骗信息可能声称真实预订需要紧急付款，或声称退款要求乘客填写财务信息。网络钓鱼是指冒充可信机构，诱使他人泄露信息或访问欺诈网站的行为。
如果乘客收到有关预订的意外信息，可以通过平时使用的全日空网站或应用程序核实，而不要点击信息中的链接或拨打其中的电话号码。通过未经请求的联系索要密码、验证码、银行卡信息或护照照片时，尤其需要谨慎。
全日空计划发送的个别通知，将比笼统的预订时段更有助于受影响客户采取行动。对于约1700人这一群体，风险涉及联系方式和身份信息以及行程资料。对于人数更多的群体，泄露的信息仍可将姓名与具体行程关联起来。
其他披露加剧日本对数据安全的担忧
日本外务省也于10月30日表示，约3600条包含个人信息的记录可能因未经授权访问而泄露，其中包括姓名和电子邮箱地址。约900条记录属于外务省以外人员。受影响的是一个与外部系统相连的网络；外务省称，已确认用于处理高度机密信息的另一独立封闭网络没有遭到未经授权访问。
无印良品运营商良品计画披露，其官方应用程序可能因遭到未经授权访问而导致最多2726万条客户记录泄露。可能受影响的信息包括电子邮箱地址、出生日期和性别，也包括与已注销应用程序账户的用户相关的信息。姓名和信用卡信息不在受影响数据之列。
无印良品称，已确认信息未遭滥用，将逐一联系受影响客户，并继续正常运营应用程序和网上商店。该公司还提醒客户不要点击可疑电子邮件中的链接。航空公司、政府部门和零售企业披露的事件涉及不同信息和服务，但受影响者都需要收到准确通知，了解哪些个人资料遭到泄露。
要点
- 全日空确认，约3.78万名客户的预订信息可能因Amadeus遭未经授权访问而泄露。
- 约3.61万名客户涉及基本预订信息；约1700人的护照号码、联系方式和其他信息也可能遭到泄露。
- 全日空称，信用卡信息和密码不在受影响数据之列。
- Amadeus于2026年9月24日发现事件。全日空于10月20日收到报告，并于10月30日公布受影响客户信息。
- Amadeus已停用相关凭证并加强监控，称服务没有中断。
- 全日空计划于11月第一周开始逐一通知受影响客户，并提醒他们警惕冒充行为。
- 日本航空和日本越洋航空另确认约9.2万名客户受到影响，其他航空公司仍在调查自身信息是否受到影响。
