【約11.6万件】フィンエアーの予約がAmadeusの情報漏えいの対象に｜カード番号・パスワードは対象外

フィンエアーは2026年11月9日、予約・発券システムを提供するAmadeus（アマデウス）で情報漏えいが起き、フィンエアーの予約約11万6,000件が含まれていたと発表しました。Amadeusはフィンエアーに対し、クレジットカード番号とパスワードはアクセスされていないと伝えています。この記事では、発表の内容と、フィンエアーを利用している人が確認しておきたい点を整理します。

発表の概要：約11.6万件の予約が対象、うち約750件が閲覧された
誰が通知し、どこに問い合わせるか
日本の利用者への影響
注意点：不審なメール・SMS・電話に気をつける
利用者がとるべき対応
考察：予約システムの提供元での漏えいは複数の航空会社に及ぶ
まとめ
関連記事

発表の概要：約11.6万件の予約が対象、うち約750件が閲覧された

Amadeusは、航空会社・ホテル・旅行会社に予約と発券のソフトウェアを提供している企業です。フィンエアーによると、Amadeusから受けた説明は次のとおりです。

項目	フィンエアーの発表内容
漏えいしたデータ	Amadeusが保有する予約データ。複数の航空会社のフライトリストが含まれる
フィンエアーの対象件数	予約約11万6,000件
実際に開かれた予約	約750件。このうち30件は旅行パッケージ「Aurinkomatkat」の予約
不正な活動	Amadeusによると、すでに止められている
アクセスされていない情報	クレジットカード番号などの支払い情報、パスワード（Finnair Plusのパスワードを含む）
フィンエアーのシステム	侵害されていない

開かれた予約のうち、まだ有効なものはごく一部だとしています。フィンエアーは、それらの予約に新しい予約番号を割り当て、第三者が予約にアクセスできないようにしました。

誰が通知し、どこに問い合わせるか

今回漏えいが起きたサービスでは、Amadeusが個人データの管理者（データ管理者）にあたります。そのため、データが含まれていた本人への通知もAmadeusの責任だとフィンエアーは説明しています。Amadeusは、EU一般データ保護規則（GDPR）に基づき、EU加盟国のデータ保護当局に届け出たとのことです。

そのうえでフィンエアーも、閲覧された予約の利用者のうち、Amadeusから連絡先を受け取った人にメールで知らせるとしています。フィンエアーはフィンランドの国家サイバーセキュリティセンターにも連絡しました。

自分のデータが含まれているか：フィンエアーから届くメールで知らされる
Amadeusへの直接の問い合わせ先：dataprotection@amadeus.com

日本の利用者への影響

フィンエアーは日本とヘルシンキを結ぶ路線を運航しており、日本から予約した人やFinnair Plusの会員も今回の対象に含まれている可能性があります。ただし、発表には国や路線ごとの内訳はありません。日本の利用者がどれだけ含まれるかは、発表からは分かりません。

タイ国際航空も11月9日、日本語サイトのお知らせ欄に「Amadeus Reports Unauthorized Access to THAI Passenger Data」という題の告知を掲載しました。ただし、11月10日の確認時点ではページがメンテナンス中で、内容は確認できていません（タイ国際航空の告知ページ）。

注意点：不審なメール・SMS・電話に気をつける

フィンエアーは、不審なメール、SMS、電話に注意し、不審なリンクを開かないよう呼びかけています。メールのリンクから情報を入力するのではなく、フィンエアーの公式サイトやアプリを自分で開いて確認するのが安全です。

利用者がとるべき対応

1. フィンエアーからのメールを確認する

対象の利用者には、フィンエアーからメールが届きます。届いた場合は、送信元とリンク先が公式のものかを確かめてから読みます。

2. 予約番号が変わっていないかを確認する

有効な予約の一部は、フィンエアーが新しい予約番号に変更しています。これから搭乗する予約がある人は、公式サイトやアプリで予約の内容を確認しておくと安心です。

3. 詳しく知りたい場合はAmadeusに問い合わせる

自分のデータの扱いについては、データ管理者であるAmadeus（dataprotection@amadeus.com）に直接問い合わせることができます。

考察：予約システムの提供元での漏えいは複数の航空会社に及ぶ

今回の件では、フィンエアー自身のシステムは侵害されておらず、予約システムの提供元であるAmadeus側で漏えいが起きています。teriablogでは、10月にJAL・JTAやアシアナ航空がAmadeusのシステムへの不正アクセスを公表した件も取り上げました。今回のフィンエアーの件がそれらと同じ事案かどうかは、フィンエアーの発表からは分かりません。筆者は、複数の航空会社が同じ予約システムを使っている以上、利用している航空会社のシステムが侵害されていなくても、予約情報が漏えいの対象になりうる点を意識しておく必要があると考えます。調査は続いているため、続報があれば追記します。