大韓航空の個人情報流出 予約番号の範囲と通知対象

大韓航空の個人情報流出で確認された項目は、一部顧客の予約番号である。追加の流出項目は調査中だ。確認された対象者にはメールで通知した。メールを受け取っていないという理由だけで、流出していないと断定することはできない。

日時に関する情報は、大韓航空の事案に関する告知と2026年10月23日のニューシスの報道を基準とする。

予約番号の流出はどこまで確認されたのか

大韓航空は、一部顧客の予約番号が流出項目に含まれていたと明らかにした。全顧客の情報が流出したという発表ではない。予約番号以外の項目は、Amadeus IT Groupを通じて確認中だ。

予約番号は、予約を区別するための識別情報である。予約番号の流出と予約記録全体の流出は、同じ意味ではない。氏名や旅券番号まで流出したと判断するには、追加の確認が必要だ。

ニューシスの報道は、アシアナ航空も同じ企業での事案を確認したと伝えた。ただし、両航空会社の対象者が同じという意味ではない。個人ごとの流出範囲は、各航空会社の通知内容で区別する必要がある。

発生日と通知日はどう違うのか

事案が発生したと推定される期間と、大韓航空がこれを把握した日は異なる。報道された日付も別の時点である。大韓航空の告知自体には掲載日が表示されていない。

推定侵害期間は、その期間中ずっと流出が続いていたという意味ではない。その間に搭乗した全顧客が対象という意味でもない。正確な発生時点は調査中だ。

委託先への侵害と大韓航空自社システムへの侵害の違い

告知で説明されたアクセス経路は、委託先のシステムアカウントの認証情報である。委託先とは、他社の業務を請け負って処理する企業を指す。Amadeusは航空券の予約・発券に関する業務を請け負う企業だ。

大韓航空の事案に関する告知は、アクセス方法を次の表現で説明している。

アマデウスのシステムアカウントに付与されたログイン認証情報を利用した不正アクセス

引用文書は、大韓航空の「一部顧客の個人情報（予約番号）流出に関するお知らせ」である。

大韓航空は、自社システムとデータベースに侵害の形跡はないと明らかにした。これは、外部の委託先で顧客情報が流出したという説明と矛盾しない。顧客の大韓航空アカウントのパスワードが盗まれたという発表とも読めない。

大韓航空は、事案の把握後、届け出などの安全措置を講じたと明らかにした。Amadeusでは、不正アクセスの遮断とダークウェブの監視を進めていると伝えた。大韓航空は、追加の保護措置と再発防止策も求めた。

メールの受信状況に応じた条件別の整理

大韓航空は、現時点までに個人情報の流出が確認された対象顧客に通知した。メールを受信したかどうかだけで、調査結果全体を判断することはできない。追加項目が確認されれば、対象顧客に改めて知らせる方針だ。

公式告知には、個人ごとの流出状況を確認できる別途の照会サービスは示されていない。通常の予約照会機能も、流出対象を確認するサービスとはみなせない。本人に関する内容は、個別通知と公式の連絡窓口を通じて確認する必要がある。

個人情報保護方針と事案に関する告知の比較

個人情報保護方針に記載された項目が、すべて流出したわけではない。保護方針は、通常どのような情報をどのような目的で取り扱うかを説明する。事案に関する告知は、特定の事案で確認された侵害範囲を説明する文書だ。

大韓航空の個人情報保護方針は、予約番号などを収集項目として挙げている。また、Amadeusを予約・発券に関する委託先として明記している。この記載だけで、今回の事案の流出範囲を広げて解釈することはできない。

保護方針の全項目を、事案の流出項目として扱うのは誤った解釈である。逆に、事案に関する告知にない項目を、すべて安全だと断定してもならない。調査中の項目は、確認された項目とは別にしておく必要がある。

公式案内を読む際によくある誤り

範囲の異なる説明を一つの結論にまとめる誤りを避ける必要がある。特に、一部顧客について確認されたことを全顧客に当てはめてはならない。調査中という表現も、流出の有無が確定したという意味ではない。

不審な連絡と被害の連絡窓口

大韓航空の個人情報流出に関する案内は、出所が不明な連絡に注意するよう勧告している。告知には、その時点で確認された二次被害の事例はないと記載されている。これは、今後も被害が発生しないという保証ではない。

• 出所が不明なリンクはクリックしてはならない。
• 出所が分からない添付ファイルはダウンロードしてはならない。
• 不審な連絡で個人情報の入力を求められても応じてはならない。

告知で案内された被害の連絡窓口は、大韓航空旅客事業本部である。電話番号は1588-2001だ。メールアドレスは[email protected]である。

よくある質問

予約番号だけが流出したと確定したのか

予約番号が含まれていた事実は確認された。予約番号だけが流出したと最終的に確定したわけではない。他の項目は調査中だ。

2023年から2026年までに利用した顧客は全員が対象なのか

利用期間だけで対象を決めることはできない。告知に示された期間は、事案の発生が推定される範囲である。すべての利用客の情報が流出したという発表はない。

大韓航空の会員パスワードも流出したのか

告知は、顧客の会員パスワードの流出を確認したとは明らかにしていない。事案の経緯に登場する認証情報は、Amadeusのシステムアカウントについての説明である。二つのアカウントを同じものと解釈してはならない。

報道と公式告知の説明が異なる場合、何を確認すべきか

まず、各文書がどの項目を確定したのかを区別する必要がある。報道の決済情報に関する説明と、告知の追加項目の調査を区別する必要がある。本人に当てはまる内容は、個別通知と続報の告知で確認する必要がある。