大韓航空の個人情報流出 予約番号の範囲と通知対象 ======================== 大韓航空は委託先のシステムで一部顧客の予約番号の流出を確認した。ほかの流出項目は調査中であり、メールを受け取っていないという事実だけでは、流出していないと断定できない。 - 大韓航空の告知で確認された流出項目は一部顧客の予約番号であり、追加の項目は調査中である。 - 大韓航空が事故を認知したのは2026年10月20日午後10時44分である。 - 侵害があったと推定される期間は2023年8月から2026年9月までであり、正確な発生時点は確認中である。 - 大韓航空は確認された対象者にメールで案内しており、追加の確認事項も対象者に通知する方針である。 - 個人情報取扱方針の収集・委託項目は、今回の事故で実際に流出した項目と区別する必要がある。 大韓航空の個人情報流出で確認された項目は、一部顧客の予約番号である。追加の流出項目は調査中だ。確認された対象者にはメールで通知した。メールを受け取っていないという理由だけで、流出していないと断定することはできない。 日時に関する情報は、大韓航空の事案に関する告知と2026年10月23日のニューシスの報道を基準とする。 予約番号の流出はどこまで確認されたのか 大韓航空は、一部顧客の予約番号が流出項目に含まれていたと明らかにした。全顧客の情報が流出したという発表ではない。予約番号以外の項目は、Amadeus IT Groupを通じて確認中だ。 予約番号は、予約を区別するための識別情報である。予約番号の流出と予約記録全体の流出は、同じ意味ではない。氏名や旅券番号まで流出したと判断するには、追加の確認が必要だ。 区分 確認された内容 解釈の限界 予約番号 一部顧客の流出を確認 全顧客に当てはめることはできない 追加の個人情報項目 調査中 項目ごとの流出の有無は断定できない 被害の全体規模 公式告知に具体的な人数の記載なし 対象者数を推定する根拠がない 決済情報 ニューシスは流出に含まれていないと報道 公式告知にある追加項目の調査とは区別が必要 ニューシスの報道は、アシアナ航空も同じ企業での事案を確認したと伝えた。ただし、両航空会社の対象者が同じという意味ではない。個人ごとの流出範囲は、各航空会社の通知内容で区別する必要がある。 発生日と通知日はどう違うのか 事案が発生したと推定される期間と、大韓航空がこれを把握した日は異なる。報道された日付も別の時点である。大韓航空の告知自体には掲載日が表示されていない。 時点の種類 日付または期間 意味 推定侵害期間 2023年8月から2026年9月の間 事案が発生したと推定される範囲 大韓航空が把握した時点 2026年10月20日午後10時44分 Amadeusから正式な通知を受けた時点 ニューシスの報道日 2026年10月23日 事案を報道した日付 公式告知の掲載日 表示なし 報道日や把握した日で代用することはできない 推定侵害期間は、その期間中ずっと流出が続いていたという意味ではない。その間に搭乗した全顧客が対象という意味でもない。正確な発生時点は調査中だ。 委託先への侵害と大韓航空自社システムへの侵害の違い 告知で説明されたアクセス経路は、委託先のシステムアカウントの認証情報である。委託先とは、他社の業務を請け負って処理する企業を指す。Amadeusは航空券の予約・発券に関する業務を請け負う企業だ。 大韓航空の事案に関する告知は、アクセス方法を次の表現で説明している。 アマデウスのシステムアカウントに付与されたログイン認証情報を利用した不正アクセス 引用文書は、大韓航空の「一部顧客の個人情報（予約番号）流出に関するお知らせ」である。 大韓航空は、自社システムとデータベースに侵害の形跡はないと明らかにした。これは、外部の委託先で顧客情報が流出したという説明と矛盾しない。顧客の大韓航空アカウントのパスワードが盗まれたという発表とも読めない。 大韓航空は、事案の把握後、届け出などの安全措置を講じたと明らかにした。Amadeusでは、不正アクセスの遮断とダークウェブの監視を進めていると伝えた。大韓航空は、追加の保護措置と再発防止策も求めた。 メールの受信状況に応じた条件別の整理 大韓航空は、現時点までに個人情報の流出が確認された対象顧客に通知した。メールを受信したかどうかだけで、調査結果全体を判断することはできない。追加項目が確認されれば、対象顧客に改めて知らせる方針だ。 状況 判断できる内容 追加で確認する内容 実際に大韓航空の通知メールを受け取った場合 現時点までに確認された通知対象に含まれる メールに記載された本人の流出項目 案内メールを受け取っていない場合 メールを受け取っていないという事実 追加通知の有無と公式告知の変更 出所が不明な案内を受け取った場合 本物の通知かどうかは判断できない 公式サイトと告知の連絡窓口 推定侵害期間に航空便を利用した場合 利用時期のみ確認できる 本人が対象に含まれるかどうか 公式告知には、個人ごとの流出状況を確認できる別途の照会サービスは示されていない。通常の予約照会機能も、流出対象を確認するサービスとはみなせない。本人に関する内容は、個別通知と公式の連絡窓口を通じて確認する必要がある。 個人情報保護方針と事案に関する告知の比較 個人情報保護方針に記載された項目が、すべて流出したわけではない。保護方針は、通常どのような情報をどのような目的で取り扱うかを説明する。事案に関する告知は、特定の事案で確認された侵害範囲を説明する文書だ。 大韓航空の個人情報保護方針は、予約番号などを収集項目として挙げている。また、Amadeusを予約・発券に関する委託先として明記している。この記載だけで、今回の事案の流出範囲を広げて解釈することはできない。 文書 確認する内容 確認できない内容 個人情報保護方針 通常の収集項目、取扱目的、委託関係 今回の事案で実際に流出した項目 事案に関する告知 確認された事案の経緯と調査状況 まだ調査中の項目の最終結果 個別通知 本人に案内された流出内容 他の顧客の被害範囲 保護方針の全項目を、事案の流出項目として扱うのは誤った解釈である。逆に、事案に関する告知にない項目を、すべて安全だと断定してもならない。調査中の項目は、確認された項目とは別にしておく必要がある。 公式案内を読む際によくある誤り 範囲の異なる説明を一つの結論にまとめる誤りを避ける必要がある。特に、一部顧客について確認されたことを全顧客に当てはめてはならない。調査中という表現も、流出の有無が確定したという意味ではない。 よくある解釈 区別すべき事実 予約番号が流出したので、予約情報全体が流出した 予約番号の確認と追加項目の調査は別 自社データベースへの侵害がないので、顧客情報の流出もない 外部の委託先での流出は別に発生し得る メールを受け取っていないので、対象ではない 現時点までに確認された対象者への通知 報道日に事案が発生した 報道日、把握した日、推定侵害期間はそれぞれ異なる 二次被害が確認されていないので、危険もない 被害が未確認であることと、今後の被害の可能性は別 不審な連絡と被害の連絡窓口 大韓航空の個人情報流出に関する案内は、出所が不明な連絡に注意するよう勧告している。告知には、その時点で確認された二次被害の事例はないと記載されている。これは、今後も被害が発生しないという保証ではない。 出所が不明なリンクはクリックしてはならない。 出所が分からない添付ファイルはダウンロードしてはならない。 不審な連絡で個人情報の入力を求められても応じてはならない。 告知で案内された被害の連絡窓口は、大韓航空旅客事業本部である。電話番号は1588-2001だ。メールアドレスはprivacy1a@koreanair.comである。 よくある質問 予約番号だけが流出したと確定したのか 予約番号が含まれていた事実は確認された。予約番号だけが流出したと最終的に確定したわけではない。他の項目は調査中だ。 2023年から2026年までに利用した顧客は全員が対象なのか 利用期間だけで対象を決めることはできない。告知に示された期間は、事案の発生が推定される範囲である。すべての利用客の情報が流出したという発表はない。 大韓航空の会員パスワードも流出したのか 告知は、顧客の会員パスワードの流出を確認したとは明らかにしていない。事案の経緯に登場する認証情報は、Amadeusのシステムアカウントについての説明である。二つのアカウントを同じものと解釈してはならない。 報道と公式告知の説明が異なる場合、何を確認すべきか まず、各文書がどの項目を確定したのかを区別する必要がある。報道の決済情報に関する説明と、告知の追加項目の調査を区別する必要がある。本人に当てはまる内容は、個別通知と続報の告知で確認する必要がある。 FAQ Q. 今回の事故で漏えいが確認された項目は何か A. 대한항공のお知らせで確認された項目は、一部の顧客の予約番号だ。追加の漏えい項目はAmadeusを通じて確認中だ。 Q. 案内メールを受け取っていなければ、漏えいの対象ではないのか A. メールを受け取っていないという事実だけでは、漏えいしていないとは断定できない。대한항공はこれまでに確認された対象者に案内しており、追加で確認された場合は対象者に通知する方針だ。 Q. 2026年10月23日に漏えい事故が発生したのか A. 2026年10月23日は뉴시스の報道日だ。대한항공が認知したのは2026年10月20日午後10時44分だ。事故は2023年8月から2026年9月の間に発生したと推定される。 Q. 대한항공自体のデータベースも侵害されたのか A. 대한항공は、自社のシステムとデータベースが侵害された形跡はないと明らかにした。お知らせは、外部委託先であるAmadeusのシステムで発生した事故について説明している。 Q. 決済情報も漏えいしたのか A. 2026年10月23日、뉴시스は決済情報が漏えいに含まれていないと報じた。대한항공のお知らせは、予約番号以外の項目を確認中だと説明している。両文書で確認されている範囲を区別する必要がある。 Q. 漏えい対象かどうかを確認する専用サイトはあるか A. 確認した대한항공の事故に関するお知らせには、専用の照会サービスは示されていない。通常の予約照会機能を、漏えい対象かどうかを確認するサービスとして案内してはならない。 Q. 個人情報の取り扱い方針にある項目は、すべて漏えいした情報なのか A. 取り扱い方針は、通常の個人情報の取り扱い範囲を説明する文書だ。その一覧を、今回の事故で実際に漏えいした項目と解釈することはできない。 Q. 今回の事故で被害が生じた場合、どこに連絡すればよいか A. お知らせでは、連絡窓口として대한항공の旅客事業本部を案内している。電話番号は1588-2001だ。メールアドレスはprivacy1a@koreanair.comだ。 Sources - 大韓航空 - 一部のお客様の個人情報（予約番号）流出のお知らせ: https://www.koreanair.com/contents/footer/customer-support/notice/2026/amadeus - ニューシス - 大韓航空・アシアナで個人情報流出… IT協力会社がハッキング被害: https://mobile.newsis.com/view/NISX20261023_0003839294 - 大韓航空 - 個人情報の取り扱い方針: https://www.koreanair.com/contents/footer/terms-and-policies/privacy-policy Images - 空港の待合席でスーツケースを隣に置き、スマートフォンを確認する男性。窓の外には航空機が見える。: https://injoys.com/rails/active_storage/blobs/proxy/eyJfcmFpbHMiOnsiZGF0YSI6MzI0MDcsInB1ciI6ImJsb2JfaWQifX0=--c6509be7518021d15540b4e29defb2b9f233991e/ai-390f053c.webp - 自宅で衣類の入ったスーツケースを開き、その横に座って携帯電話で話す中年女性: https://injoys.com/rails/active_storage/blobs/proxy/eyJfcmFpbHMiOnsiZGF0YSI6MzI0MTMsInB1ciI6ImJsb2JfaWQifX0=--d6422af70412e015e8a5815174b2bf3a9df7e712/ai-2fc90173.webp --- Category: ニュース Source: https://injoys.com/ja/articles/korean-air-data-breach-booking-number-notice License: cc_by Translation-Status: reviewed