10月下旬、旅行予約に関わる個人情報の流出が相次いで明らかになりました。旅行プラットフォームのマイリアルトリップは25日、権限のない外部からのアクセスで利用者情報が流出したことを確認し、一部の利用者は旅券番号と旅券の有効期限まで含まれていました。ジンエアーは28日に会員1,454人の情報流出を確認し、大韓航空・アシアナ航空は20日、予約・発券システム運営会社のアマデウスから流出の兆候について通知を受けました。

マイリアルトリップとジンエアーは決済情報は流出項目ではないとし、アシアナ航空も決済は別システムのため含まれていないと説明しました。ただし名前・電話番号・メールが流出したため、会社を装ったSMSやメールによる二次被害が起こり得ます。この記事は聯合ニュース・東亜日報・毎日経済の10月23〜29日の報道と、そこに含まれる各社の告知内容をもとに書きました。

ひと目でわかる

何が流出したか：会社別の流出項目

マイリアルトリップでは氏名、メール、携帯電話番号、生年月日、性別、暗号化されたパスワードが流出し、一部の利用者は旅券番号と旅券の有効期限も含まれました。クレジットカードなどの決済手段情報と予約・購入履歴は流出項目ではないとしています。具体的な被害人数と侵入経路は公表されていません。

ジンエアーでは会員情報照会APIへの外部からの異常な攻撃により、ID・氏名・生年月日・性別・国籍・携帯電話番号・メールアドレス・最終ログイン日時が流出しました。パスワード・金融情報・決済履歴は含まれず、現時点で不正利用は確認されていないとしています。

大韓航空・アシアナ航空の件は両社の自社システムではなく、委託先アマデウスのシステムアカウントのログイン情報を使った不正アクセスです。大韓航空の顧客の予約番号が含まれ、アシアナ航空も予約関連情報が流出したとしています。事故は2023年8月から今年9月の間に起きたと推定され、確認時点で流出規模と項目はまだ調査中です。

誰が対象か

マイリアルトリップの利用者、ジンエアーの会員、大韓航空・アシアナ航空で予約したことがある人です。マイリアルトリップは利用者ごとに流出項目が異なる場合があるとして、ホームページで本人の流出の有無と項目を照会できるようにしました。大韓航空・アシアナ航空は顧客に案内メールを送り、流出内容がさらに分かれば改めて知らせる予定です。

アマデウスのシステムを使う航空会社は世界で200社前後あり、今後ほかの流出事例が明らかになったり被害範囲が広がったりする可能性もあると報じられました。

どうするか：確認して変更

まず利用した会社のホームページやアプリの告知で、自分の情報が含まれているか確認しましょう。マイリアルトリップの利用者は、流出照会で旅券番号が含まれたかどうかまで確認できます。各社はパスワードの変更を勧めています。同じパスワードをほかの旅行・ショッピングサイトでも使っているなら、一緒に変えると安心です。

マイリアルトリップは、被害を受けた利用者は損害賠償請求や個人情報紛争調停の申請などの手続きで救済を受けられると案内しました。ジンエアーは個人情報保護委員会に届け出、マイリアルトリップも関係機関に届け出たとしています。

注意：会社名を名乗るSMS・電話

流出した名前・電話番号・メールを悪用した名義盗用、ボイスフィッシング、スミッシングが起こり得ます。各社は出どころの分からないリンクを押したり添付ファイルをダウンロードしたりせず、個人情報の入力要求に応じないよう呼びかけました。予約確認・返金・旅券情報の再確認など旅行日程に絡めたメッセージは、SMS内のリンクではなく公式アプリやホームページに直接入って確認しましょう。

今回確認した報道と告知には、旅券の再発給についての案内はありませんでした。旅券に関して必要な対応は、韓国外交部の旅券案内と各社の続報で確認してください。

出発前チェックリスト