全日空（ANA）委託的全球資訊服務業者系統發生遭存取事件，導致近 3.8 萬名預訂航班的旅客個人資料面臨外洩風險。官方調查確認，部分受影響名單中包含護照號碼、聯絡電話及電子機票資訊，目前已針對違規憑證進行處置。
系統漏洞波及近 3.8 萬名乘客資料
本次資安事件受波及的資料範圍，主要集中在 2023 年 8 月 10 日至 2026 年 9 月 23 日期間曾向全日空進行訂位的部分旅客，總計約 3 萬 7,800 人。經全面清查，其中約 3 萬 6,100 名旅客遭讀取的內容以基礎訂位資訊為主，包含搭乘者姓名、訂位代碼、預訂搭機日期、航班航線以及艙等選擇。
另外約有 1,700 名旅客資料外洩風險較高，暴露資訊除了上述基礎資料外，還延伸至電子郵件地址、聯絡電話、護照號碼、國籍、常客哩程會員編號、電子機票號碼及劃位座號等細節。業者特別強調，本次事故並未包含乘客的金流信用卡號碼或登入帳戶密碼，相關系統服務與航班運作均維持正常，未有運作中斷情事。
供應商通報延遲與日本航空業集體受害
調查過程顯示，負責提供系統維護的西班牙科技公司 Amadeus 早於 9 月 24 日即偵測到異常存取痕跡，但全日空最初並未獲得第一時間通知。直到 10 月 16 日全日空獲悉業界其他航空公司出現資安疑慮後，主動發函查詢，供應商才進一步確定該公司的資料庫亦遭到瀏覽。業者隨後向主管機關日本個人資訊保護委員會進行通報，並即刻停用遭洩漏的驗證帳戶。
事實上，此波資安衝擊範圍並不限於全日空。同屬日本航空業的日本航空（JAL）先前也發布聲明指出，因同一委外訂位系統受駭，估計有高達 9 萬 2,000 名旅客資料遭受波及，當中包含約 2,000 名乘客的護照細節。此外，包括日本越洋航空（JTA）、AIRDO、Solaseed Air 以及星悅航空（StarFlyer）等採用該技術平台的航企，亦正同步確認受影響層面。業者已陸續展開受影響旅客的通知作業，並呼籲乘客切勿輕信冒名發出的詐騙郵件或釣魚訊息。
產業觀察
現代航空公司為營運效率與國際聯程便利性，普遍採用全球大型資訊供應商所開發的旅客服務系統（Passenger Service System, PSS）。然而，這種高度集中化的供應鏈模式，一旦供應商端出現維安漏洞，極易引發連鎖效應，造成多家航空公司同時面臨巨量資料外洩。這凸顯了航企在資安防護策略上，不能僅著重於自家防火牆與終端防禦，更必須建立強大的供應鏈資安風險管理機制。
對一般旅客而言，雖然信用卡與密碼等財務憑證在此次事故中並未流出，但包含姓名、航班資訊與護照號碼的組合，極易成為社交工程詐騙的素材。不法分子可能利用精準的搭機紀錄進行冒名聯繫，提高詐騙成功率。因此，旅客在收到任何聲稱來自航空公司關於變更行程、確認會員身分或求償退款的通知時，務必提高警覺，透過官方管道進行二次驗證。
背景知識
總部位於西班牙的 Amadeus IT Group 是全球規模最大的旅遊科技與訂位系統供應商之一，與全球數百家航空公司、旅行社及飯店系統深厚結合。航空業所使用的旅客服務系統核心功能包含航班訂位（Reservation）、票務處理（Ticketing）以及離港控制（Departure Control），掌控了乘客從訂位到登機的全流程數據。
在航空作業中，系統會為每組訂位產生稱為「旅客訂位紀錄」（Passenger Name Record, PNR）的資料檔案。PNR 不僅記載乘客的基本聯絡方式，在跨國航線中更必須依法傳遞國籍、護照號碼等出入境查驗資訊。正因為 PNR 集中了高度完整的個人隱私與行程軌跡，這類跨國訂位系統平台向來是網路滲透與商業情報搜集的重點目標。
常見問題
全日空本次個資外洩事件是否有涉及信用卡或密碼資訊？
根據全日空公布的調查結果，本次事件僅影響訂位代碼、姓名與護照號碼等個人紀錄，並未包含信用卡號碼及帳戶密碼。
哪些時間段訂位的旅客可能受到本次事件影響？
受影響對象為 2023 年 8 月 10 日至 2026 年 9 月 23 日期間，曾透過全日空預訂航班的部分旅客。
除了全日空之外，還有哪些航空公司受到這次 Amadeus 系統漏洞影響？
包括日本航空（JAL）、日本越洋航空（JTA），以及 AIRDO、Solaseed Air、星悅航空（StarFlyer）等多家日本航企均受到波及或正在確認影響範圍。