ข้อมูลการจองรั่วไหลผ่านผู้ให้บริการเทคโนโลยีสายการบิน
ออล นิปปอน แอร์เวย์ส (ANA) เปิดเผยเมื่อวันที่ 30 ตุลาคม 2026 ว่า ข้อมูลการจองของลูกค้าราว 37,800 รายอาจรั่วไหล หลังมีผู้เข้าถึงระบบที่ดำเนินการโดย Amadeus IT Group ผู้รับจ้างด้านเทคโนโลยีของสายการบินในสเปนโดยไม่ได้รับอนุญาต นอกจากนี้ ข้อมูลของลูกค้าราว 1,700 ราย ซึ่งรวมถึงหมายเลขหนังสือเดินทางและรายละเอียดส่วนบุคคลอื่น ๆ ยังแสดงสัญญาณว่าถูกเข้าถึงจากภายนอกระบบ
สารบัญ
- ข้อมูลการจองรั่วไหลผ่านผู้ให้บริการเทคโนโลยีสายการบิน
- ข้อมูลใดบ้างที่เกี่ยวข้อง?
- การจองช่วงใดอยู่ในขอบเขตที่ได้รับผลกระทบ?
- ลำดับการตรวจพบและการเปิดเผยข้อมูล
- สิ่งที่ Amadeus ดำเนินการ
- สายการบินอื่นได้รับผลกระทบจากเหตุการณ์ของผู้ให้บริการรายเดียวกัน
- เหตุใด ANA จึงเตือนเรื่องการแอบอ้าง
- การเปิดเผยเหตุการณ์อื่นเพิ่มความกังวลเรื่องความปลอดภัยข้อมูลในญี่ปุ่น
- ประเด็นสำคัญ
ANA ระบุว่า Amadeus ตรวจพบการเข้าถึงโดยไม่ได้รับอนุญาตเมื่อวันที่ 24 กันยายน แต่สายการบินได้รับรายงานจากผู้รับจ้างเมื่อวันที่ 20 ตุลาคม ซึ่งช้ากว่า 26 วัน ANA ขอให้ Amadeus ตรวจสอบว่าข้อมูลของตนได้รับผลกระทบหรือไม่ หลังทราบเมื่อวันที่ 16 ตุลาคมว่าสายการบินอื่นที่ใช้ผู้ให้บริการรายนี้ได้รับผลกระทบ
สายการบินระบุลูกค้าที่ได้รับผลกระทบเป็นสองกลุ่ม กลุ่มแรกประมาณ 36,100 ราย มีข้อมูลการจองพื้นฐานรั่วไหล ซึ่งรวมถึงชื่อและรายละเอียดการเดินทาง ส่วนอีกประมาณ 1,700 รายมีข้อมูลที่เกี่ยวข้องหลากหลายกว่า รวมถึงข้อมูลติดต่อ หมายเลขหนังสือเดินทาง และหมายเลขสมาชิกสะสมไมล์ ANA ระบุว่าข้อมูลบัตรเครดิตและรหัสผ่านไม่ได้อยู่ในข้อมูลที่ได้รับผลกระทบ
ANA มีแผนเริ่มติดต่อลูกค้าที่ได้รับผลกระทบในช่วงสัปดาห์แรกของเดือนพฤศจิกายน คำเตือนเร่งด่วนที่ส่งถึงผู้โดยสารคือให้ระวังอีเมล สายโทรศัพท์ เว็บไซต์ และโฆษณาบนโซเชียลมีเดียที่น่าสงสัย ซึ่งแอบอ้างว่าเป็นกลุ่ม ANA
เหตุการณ์นี้ส่งผลกระทบกว้างกว่าสายการบินแห่งเดียว เจแปนแอร์ไลน์สและเจแปนทรานส์โอเชียนแอร์ได้ประกาศไปก่อนหน้านี้ว่า ลูกค้าราว 92,000 รายอาจได้รับผลกระทบจากการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาตที่เกี่ยวข้องกับผู้ให้บริการรายเดียวกัน สายการบินญี่ปุ่นรายอื่นยังอยู่ระหว่างตรวจสอบผลกระทบ ขณะที่มีรายงานว่าหมายเลขการจองของลูกค้าโคเรียนแอร์และอาเซียนาแอร์ไลน์สก็ถูกเปิดเผยด้วย
ข้อมูลใดบ้างที่เกี่ยวข้อง?
ลูกค้ากลุ่มใหญ่ที่สุดของ ANA ซึ่งมีประมาณ 36,100 ราย มีข้อมูลห้าประเภทที่แสดงสัญญาณว่าถูกเข้าถึงจากภายนอก ได้แก่ ชื่อ หมายเลขการจอง วันที่เดินทาง ช่วงเที่ยวบิน และชั้นโดยสาร ช่วงเที่ยวบินหมายถึงส่วนหนึ่งของการเดินทาง เช่น เที่ยวบินจากโตเกียวไปซัปโปโร ส่วนชั้นโดยสารระบุประเภทการเดินทาง เช่น ชั้นประหยัดหรือชั้นธุรกิจ
ลูกค้ากลุ่มเล็กกว่าซึ่งมีประมาณ 1,700 ราย มีข้อมูลดังกล่าวชุดเดียวกันเกี่ยวข้องด้วย รวมถึงที่อยู่อีเมล หมายเลขโทรศัพท์ หมายเลขหนังสือเดินทาง สัญชาติ หมายเลขสมาชิกสะสมไมล์ ชื่อสายการบิน หมายเลขเที่ยวบิน หมายเลขตั๋ว และหมายเลขที่นั่ง
ดังนั้น หมายเลขหนังสือเดินทางจึงเป็นหนึ่งในข้อมูลที่ได้รับผลกระทบของลูกค้าราว 4.5% จากทั้งหมด 37,800 รายที่ ANA ระบุ ส่วนอีกประมาณ 95.5% อยู่ในกลุ่มที่ข้อมูลรั่วไหลจำกัดอยู่ที่ข้อมูลการจองพื้นฐานห้ารายการ
ANA ระบุว่าพบหลักฐานว่ามีการดูข้อมูลการจองจากภายนอกระบบ แต่ในประกาศยังไม่ได้ยืนยันว่ามีการคัดลอกข้อมูลออกจากระบบหรือนำไปใช้ในทางที่ผิดหรือไม่ สำหรับผู้โดยสาร ข้อกังวลในทางปฏิบัติคือข้อมูลที่ได้รับผลกระทบอาจเชื่อมโยงตัวตนของบุคคลเข้ากับการเดินทางที่เฉพาะเจาะจง
การจองช่วงใดอยู่ในขอบเขตที่ได้รับผลกระทบ?
ANA ระบุว่าลูกค้าบางรายที่จองระหว่างวันที่ 10 สิงหาคม 2023 ถึง 23 กันยายน 2026 ได้รับผลกระทบ การเปิดเผยข้อมูลครอบคลุมการจองเพียงบางส่วนในช่วงเวลากว่าสามปีดังกล่าว ไม่ใช่ผู้โดยสารทุกคนที่จองในช่วงนั้น
นอกจากนี้ ยังมีการระบุว่าช่วงเวลาดังกล่าวครอบคลุมเที่ยวบินที่ ANA เป็นผู้ให้บริการ ตั้งแต่วันที่ 10 สิงหาคม 2023 ถึง 23 กันยายน 2026 รายละเอียดส่วนใหญ่ของประกาศระบุว่าช่วงเวลาดังกล่าวเป็นช่วงที่มีการจอง ลูกค้าควรตรวจสอบประกาศแจ้งเฉพาะบุคคลจาก ANA เพื่อดูว่าการจองของตนอยู่ในขอบเขตหรือไม่
ข้อมูลที่ได้รับผลกระทบประกอบด้วยข้อมูลที่ผู้โดยสารให้ไว้หรือเกิดขึ้นเมื่อจัดเตรียมการเดินทาง หมายเลขการจองใช้ระบุการจอง ส่วนหมายเลขตั๋วใช้ระบุเอกสารการเดินทางที่ออกให้ รายละเอียดเหล่านี้อาจยังคงอยู่ในระบบบริการผู้โดยสารหลังการซื้อครั้งแรก ซึ่งช่วยอธิบายได้ว่าเหตุใดการเปิดเผยข้อมูลจึงครอบคลุมการจองย้อนหลังไปถึงปี 2023
ลำดับการตรวจพบและการเปิดเผยข้อมูล
ANA เปิดเผยเหตุการณ์นี้ต่อสาธารณะครั้งแรกเมื่อวันที่ 29 ตุลาคม ขณะที่ยังตรวจสอบจำนวนลูกค้าและประเภทข้อมูลที่เกี่ยวข้องอยู่ วันถัดมา สายการบินประกาศตัวเลขประมาณการลูกค้าที่ได้รับผลกระทบ 37,800 ราย พร้อมแจกแจงข้อมูลที่รั่วไหลเป็นสองประเภท
เหตุการณ์เริ่มขึ้นมากกว่าหนึ่งเดือนก่อนการประกาศต่อสาธารณะดังกล่าว:
- 24 กันยายน 2026: Amadeus ตรวจพบการเข้าถึงข้อมูลการจองสายการบินโดยไม่ได้รับอนุญาต ANA ระบุว่าในขณะนั้นยังไม่ได้รับรายงาน
- 16 ตุลาคม: ANA ทราบเหตุการณ์ที่กระทบสายการบินอื่นซึ่งใช้ Amadeus และขอให้ผู้ให้บริการตรวจสอบข้อมูลการจองเที่ยวบินของ ANA
- 20 ตุลาคม: ANA ได้รับรายงานจาก Amadeus และรายงานเรื่องนี้ต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่นและหน่วยงานที่เกี่ยวข้องอื่น ๆ
- 29 ตุลาคม: ANA เปิดเผยว่าพบสัญญาณว่าข้อมูลการจองของลูกค้าบางรายถูกเข้าถึงจากภายนอก
- 30 ตุลาคม: ANA ระบุลูกค้าที่อาจได้รับผลกระทบประมาณ 37,800 ราย พร้อมแจกแจงข้อมูลที่เกี่ยวข้อง
- สัปดาห์แรกของเดือนพฤศจิกายน: ANA มีแผนเริ่มติดต่อลูกค้าที่ได้รับผลกระทบเป็นระยะ
ลำดับวันดังกล่าวแสดงให้เห็นว่า ANA เริ่มตรวจสอบก่อนที่ผู้รับจ้างจะรายงานเหตุการณ์ต่อสายการบิน Amadeus ตรวจพบเหตุเมื่อวันที่ 24 กันยายน และ ANA ขอให้ตรวจสอบว่าข้อมูลของตนได้รับผลกระทบหรือไม่ในอีก 22 วันต่อมา จากนั้นผู้ให้บริการรายงานเรื่องนี้ต่อ ANA สี่วันหลังได้รับคำขอ
ANA และ Amadeus ยังคงตรวจสอบข้อมูลลูกค้าหลังวันที่ 20 ตุลาคม คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น ซึ่งได้รับรายงานจาก ANA เป็นหน่วยงานที่มีหน้าที่กำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล
สิ่งที่ Amadeus ดำเนินการ
Amadeus เป็นผู้ให้บริการระบบบริการผู้โดยสารที่เกี่ยวข้องกับเหตุการณ์นี้ สายการบินใช้ระบบประเภทดังกล่าวจัดการงานต่าง ๆ รวมถึงการจองและการออกตั๋ว โดยข้อมูลลูกค้าจะอยู่กับผู้ให้บริการเทคโนโลยีเฉพาะทางซึ่งเป็นส่วนหนึ่งของการดำเนินงานตามปกติของธุรกิจการเดินทาง
ANA ระบุว่าได้ยืนยันกับ Amadeus แล้วว่า ข้อมูลรับรองที่เกี่ยวข้องกับการเข้าถึงโดยไม่ได้รับอนุญาตถูกปิดใช้งาน และมีการเพิ่มความเข้มงวดในการติดตามตรวจสอบ ข้อมูลรับรองคือข้อมูลระบุตัวตนดิจิทัลหรือรายละเอียดการเข้าถึงที่อนุญาตให้บุคคลหรือระบบเข้าใช้บริการ การปิดใช้งานข้อมูลเหล่านี้ทำให้ไม่สามารถใช้รายละเอียดการเข้าถึงชุดนั้นต่อไปได้
Amadeus ยังระบุว่าไม่พบหลักฐานความเสียหายจากแรนซัมแวร์ การแก้ไขหรือลบข้อมูล และไม่มีการหยุดชะงักของบริการที่บริษัทให้บริการ แรนซัมแวร์คือซอฟต์แวร์ประสงค์ร้ายที่ใช้ล็อกข้อมูลหรือระบบเพื่อเรียกเงินค่าไถ่ ในกรณีนี้ มาตรการตอบสนองที่ ANA ระบุเน้นไปที่การเข้าถึงบันทึกลูกค้าโดยไม่ได้รับอนุญาต และการยกเลิกข้อมูลรับรองการเข้าถึงที่เกี่ยวข้อง
มาตรการดังกล่าวจัดการเรื่องการเข้าถึงและการติดตามตรวจสอบที่ผู้ให้บริการ ส่วน ANA มีหน้าที่คู่ขนานในการระบุตัวบุคคลที่ข้อมูลเกี่ยวข้อง และแจ้งให้ทราบว่ารายละเอียดใดได้รับผลกระทบ
สายการบินอื่นได้รับผลกระทบจากเหตุการณ์ของผู้ให้บริการรายเดียวกัน
เจแปนแอร์ไลน์สและเจแปนทรานส์โอเชียนแอร์ประกาศเมื่อวันที่ 28 ตุลาคมว่า ข้อมูลการจองของลูกค้าราว 92,000 รายแสดงสัญญาณว่าถูกเข้าถึงจากภายนอกผ่าน Amadeus ลูกค้าราว 2,000 รายในจำนวนนี้อาจมีหมายเลขหนังสือเดินทางและรายละเอียดอื่น ๆ รั่วไหลด้วย ทั้งสองสายการบินได้รับรายงานจาก Amadeus เมื่อวันที่ 23 ตุลาคม
ลูกค้า 92,000 รายที่ JAL และ JTA ระบุมีจำนวนราว 2.4 เท่าของตัวเลข 37,800 รายของ ANA ในกลุ่ม JAL และ JTA มีข้อมูลหมายเลขหนังสือเดินทางและรายละเอียดเพิ่มเติมอื่น ๆ ที่เกี่ยวข้องประมาณ 2.2% เทียบกับราว 4.5% ในกลุ่มของ ANA
แอร์โด โซลาซีดแอร์ และสตาร์ฟลายเออร์ ซึ่งใช้ระบบ Amadeus ผ่าน ANA ระบุว่า ANA แจ้งเมื่อวันที่ 29 ตุลาคมว่าพบสัญญาณว่าข้อมูลส่วนบุคคลถูกเข้าถึงจากภายนอก ทั้งสามสายการบินกำลังร่วมมือกับ ANA เพื่อประเมินขอบเขตผลกระทบ นอกจากนี้ หมายเลขการจองของลูกค้าโคเรียนแอร์และอาเซียนาแอร์ไลน์สก็ถูกเปิดเผยด้วย ทำให้เหตุการณ์นี้ขยายวงเกินกว่าญี่ปุ่น
JAL และ JTA ระบุว่ายืนยันแล้วว่าไม่มีการนำข้อมูลที่ได้รับผลกระทบไปใช้ในทางที่ผิด และไม่มีผลกระทบต่อการปฏิบัติการเที่ยวบิน ผู้ให้บริการรายเดียวกันเป็นจุดเสี่ยงร่วมของสายการบินต่าง ๆ ขณะที่แต่ละสายการบินต้องระบุลูกค้าของตนเองที่ได้รับผลกระทบและจัดการการแจ้งเตือน
เหตุใด ANA จึงเตือนเรื่องการแอบอ้าง
ANA เตือนลูกค้าให้ระวังข้อความและสายโทรศัพท์ที่แอบอ้างว่าเป็นตัวแทนของกลุ่มสายการบิน ข้อมูลการจองอาจทำให้ความพยายามหลอกลวงดูน่าเชื่อถือขึ้น เพราะผู้โทรหรือผู้ส่งอีเมลอาจรู้วันที่เดินทาง จุดหมาย หรือหมายเลขเที่ยวบินจริง
ตัวอย่างเช่น ข้อความหลอกลวงอาจอ้างว่าต้องชำระเงินด่วนสำหรับการจองจริง หรือผู้โดยสารต้องกรอกรายละเอียดทางการเงินเพื่อขอรับเงินคืน ฟิชชิงคือการแอบอ้างเป็นองค์กรที่น่าเชื่อถือเพื่อโน้มน้าวให้ผู้อื่นเปิดเผยข้อมูลหรือเข้าเว็บไซต์หลอกลวง
ผู้โดยสารที่ได้รับข้อความเกี่ยวกับการจองโดยไม่คาดคิดสามารถตรวจสอบผ่านเว็บไซต์หรือแอป ANA ที่ใช้เป็นประจำ แทนการกดลิงก์หรือโทรไปยังหมายเลขที่อยู่ในข้อความ ควรระมัดระวังเป็นพิเศษเมื่อมีการขอรหัสผ่าน รหัสยืนยัน ข้อมูลบัตร หรือภาพหนังสือเดินทางผ่านช่องทางที่ติดต่อมาโดยไม่ได้ร้องขอ
การแจ้งลูกค้าเป็นรายบุคคลตามแผนของ ANA จะช่วยให้ผู้ได้รับผลกระทบมีข้อมูลสำหรับดำเนินการได้ชัดเจนกว่าการอ้างอิงช่วงเวลาการจองในภาพรวมเพียงอย่างเดียว สำหรับลูกค้ากลุ่มประมาณ 1,700 ราย ความเสี่ยงครอบคลุมข้อมูลติดต่อและข้อมูลระบุตัวตน รวมถึงกำหนดการเดินทาง ส่วนข้อมูลที่รั่วไหลของกลุ่มใหญ่กว่ายังคงเชื่อมโยงชื่อบุคคลเข้ากับการเดินทางได้
การเปิดเผยเหตุการณ์อื่นเพิ่มความกังวลเรื่องความปลอดภัยข้อมูลในญี่ปุ่น
กระทรวงการต่างประเทศญี่ปุ่นระบุเมื่อวันที่ 30 ตุลาคมว่า การเข้าถึงโดยไม่ได้รับอนุญาตอาจทำให้บันทึกข้อมูลราว 3,600 รายการ ซึ่งมีข้อมูลส่วนบุคคลรวมถึงชื่อและที่อยู่อีเมลรั่วไหล ในจำนวนนี้ประมาณ 900 รายการเป็นของบุคคลภายนอกกระทรวง สภาพแวดล้อมที่ได้รับผลกระทบคือเครือข่ายที่เชื่อมต่อกับระบบภายนอก กระทรวงระบุว่าไม่พบการเข้าถึงโดยไม่ได้รับอนุญาตในเครือข่ายปิดอีกแห่งซึ่งใช้จัดการข้อมูลลับระดับสูง
เรียวฮิน เคคาคุ ผู้ดำเนินธุรกิจมูจิ เปิดเผยว่า บันทึกข้อมูลลูกค้าสูงสุด 27.26 ล้านรายการอาจรั่วไหลจากการเข้าถึงแอปทางการโดยไม่ได้รับอนุญาต ข้อมูลที่อาจได้รับผลกระทบรวมถึงที่อยู่อีเมล วันเกิด และเพศ รวมถึงข้อมูลของผู้ที่ยกเลิกการใช้แอปไปแล้ว ชื่อและข้อมูลบัตรเครดิตไม่ได้อยู่ในข้อมูลที่ได้รับผลกระทบ
มูจิระบุว่ายืนยันแล้วว่าไม่มีการนำข้อมูลไปใช้ในทางที่ผิด จะติดต่อลูกค้าที่ได้รับผลกระทบเป็นรายบุคคล และยังให้บริการแอปกับร้านค้าออนไลน์ตามปกติ บริษัทยังเตือนลูกค้าไม่ให้กดลิงก์ในอีเมลที่น่าสงสัย เหตุการณ์ที่เปิดเผยโดยสายการบิน กระทรวง และธุรกิจค้าปลีกเกี่ยวข้องกับข้อมูลและบริการต่างกัน แต่ผู้ได้รับผลกระทบในทุกกรณียังคงต้องการคำแจ้งที่ชัดเจนว่าข้อมูลส่วนบุคคลใดบ้างรั่วไหล
ประเด็นสำคัญ
- ANA ระบุว่าลูกค้าราว 37,800 รายอาจมีข้อมูลการจองรั่วไหลจากการเข้าถึง Amadeus โดยไม่ได้รับอนุญาต
- ลูกค้าราว 36,100 รายมีข้อมูลการจองพื้นฐานเกี่ยวข้อง ส่วนอีกราว 1,700 รายมีหมายเลขหนังสือเดินทาง ข้อมูลติดต่อ และรายละเอียดอื่น ๆ เกี่ยวข้องด้วย
- ANA ระบุว่าข้อมูลบัตรเครดิตและรหัสผ่านไม่ได้อยู่ในข้อมูลที่ได้รับผลกระทบ
- Amadeus ตรวจพบเหตุการณ์เมื่อวันที่ 24 กันยายน 2026 ANA ได้รับรายงานเมื่อวันที่ 20 ตุลาคม และแจกแจงข้อมูลลูกค้าที่ได้รับผลกระทบเมื่อวันที่ 30 ตุลาคม
- Amadeus ปิดใช้งานข้อมูลรับรองที่เกี่ยวข้องและเพิ่มความเข้มงวดในการติดตามตรวจสอบ โดยระบุว่าไม่มีบริการหยุดชะงัก
- ANA มีแผนเริ่มแจ้งลูกค้าเป็นรายบุคคลในสัปดาห์แรกของเดือนพฤศจิกายน และกำลังเตือนให้ระวังความพยายามแอบอ้าง
- JAL และ JTA ระบุลูกค้าที่ได้รับผลกระทบแยกกันราว 92,000 ราย ขณะที่สายการบินอื่นกำลังตรวจสอบผลกระทบ
