admin
JAPAN AIRLINES × AMADEUS / SECURITY NOTICE
日航及JTA約9.2萬名旅客訂位資料留有外部存取痕跡。 約2,000人另涉及護照號碼； ANA也接獲供應商通知，但影響規模仍待確認。
約90,000人基本訂位資料＋約2,000人較詳細資料。後者已包含於總數。
日航9.2萬旅客資料疑遭外部存取！ 約2,000人涉及護照號碼，ANA也接獲通知： Amadeus遭駭怎麼辦？訂位代碼、假客服與詐騙風險一次看
NOTICE
先確認真正影響什麼。 旅客權益／航班安全／訂位防詐
日本航空（JAL）及日本越洋航空（JTA）於2026年10月28日宣布， 其旅客服務系統供應商Amadeus發生未授權存取， 約92,000名旅客的部分訂位紀錄留有外部存取痕跡。 其中約90,000人涉及訂位代碼、姓名及航程等基本資訊； 另約2,000人還可能涉及電子郵件、電話、護照號碼、國籍及會員資料。 日航表示信用卡號碼與密碼沒有外洩，目前未發現資料遭不當利用， 航班營運也未受到影響。全日空ANA同樣接獲供應商通知， 但仍在查證影響範圍。 日航於10月29日起提供事件專線，並將個別通知受影響顧客。 真正需要留意的，是掌握真實訂位與航程資訊的人， 可能製作更有說服力的假改票、假報到或假客服通知。
日航為何發生9.2萬人資料安全事件？問題出在Amadeus委外系統
2026年10月28日，日本航空與旗下日本越洋航空共同發布旅客資料安全公告。事件發生於提供訂位、開票及登機手續的外部資訊系統供應商Amadeus IT Group, S.A.，不是日航宣布整個官方網站或所有航空作業系統遭到控制。
日航表示，10月23日接獲Amadeus通知，得知部分旅客預約紀錄有遭外部未授權存取的跡象。確認相關範圍後，兩家航空公司於10月28日對外公布約92,000名旅客涉及的資料項目。
官方目前並未公布完整攻擊技術、攻擊者身分與首次存取的確切日期。已知事實是委外系統出現未授權存取跡象，不能逕自寫成JAL內部網站、旅客手機或信用卡支付系統都被攻破。
此為相關訂位資料存在及外部存取痕跡的時間範圍，不代表每位旅客的購票日或搭機日。
航空公司開始掌握受影響的部分旅客服務系統訂位紀錄。
公布兩種資料層級，並說明信用卡、密碼及航班營運未受本次事件影響。
公告日本國內與海外電話、平日受理時間，並規劃個別通知受影響旅客。
日航的9.2萬人，是指9.2萬張機票嗎？
不是。JAL官方公告使用的是約92,000名顧客或旅客的影響規模，不是單純92,000張機票、付款紀錄，也不是已確認發生92,000件詐騙案件。一名旅客可能曾有多筆預約，因此人數、訂位筆數與機票張數不可互換。
2023年至2026年搭過日航的所有人都受影響嗎？
不能這樣推論。官方所列期間是相關訂位資料存在外部存取痕跡的時間範圍，只涉及部分JAL與JTA預約紀錄，並不是這三年間所有搭機旅客的清單。沒有收到通知也不應立刻自行認定「一定安全」或「一定受影響」。
9萬人與2,000人的資料差在哪？護照號碼不是所有旅客都涉及
這次最重要的數字關係，是92,000人分成兩個資料層級：大約90,000人的基本訂位欄位，以及約2,000人另含聯絡方式、護照號碼與其他較詳細欄位。
這些資料已足以讓假冒訊息看起來更像真正的航空通知，但不代表對方必然可以直接更改訂位。
此2,000人已計入92,000人總數，不能再額外加總；官方沒有表示此群體所有人的護照照片也遭閱覽。
護照照片、信用卡號與帳號密碼也遭到外洩嗎？
依日航10月28日公告，信用卡號碼及各類密碼沒有外洩；中央社引述日媒指出護照照片並未列入此次遭閱覽的項目。不過，約2,000人的資料層級確實包含護照號碼。
應把「護照號碼」、「護照照片」與「信用卡、密碼」分開理解。不能因標題提到護照號碼，就自行推論所有旅客的完整護照掃描檔及金融資料也被取得。
約2,000人是不是另外加在9.2萬人之外？
不是。約2,000人已包含在約92,000人之中，不可加成94,000人；這也是本篇圖表刻意分層呈現的原因。
是否能知道有多少台灣旅客受到影響？
目前官方沒有公布按國籍劃分的受影響旅客人數。由於JAL、JTA服務不同國籍的顧客，台灣旅客應留意正式通知，但不能擅自推算受影響台灣人數。
全日空ANA也遭駭了嗎？日航9.2萬人不能和ANA直接合併
中央社10月28日報導，全日空ANA同樣接獲Amadeus有關未授權存取的通知，當時正在查證實際影響。這與JAL、JTA已公告的約92,000人不同，不能直接把該數字分配給ANA，或宣稱日本所有主要航空公司資料都已遭取得。
大韓航空、韓亞航空也有相關資料事件？
有。韓亞航空10月23日的官方公告指出，Amadeus系統部分客戶訂位代碼出現外流跡象；依其初步了解，可能涉及系統帳號登入驗證資訊遭未授權使用。韓亞表示未發現自身資料庫遭入侵跡象，其他資料項目仍在查證。
大韓航空亦發布相關通知，但這些公司的旅客人數、資料欄位與供應商鑑識進度不應混為一談。目前不足以確認各家事件完全來自同一個入侵動作，也不應把韓亞的技術說法直接套用為JAL事故最終根因。
Amadeus是什麼？為什麼航空公司委外系統會影響旅客個資？
Amadeus IT Group是全球航空及旅遊業使用的資訊系統供應商。航空公司需要處理座位、訂位、開票、報到及不同系統間的資訊交換，這些作業可能交由專門平台提供服務。
日航公告使用的PSS，是Passenger Service System，即旅客服務系統。它與一般航空公司官網前台不同，可能在實際作業中處理大量訂位與旅客身分資料。
訂位、開票、報到及必要的旅客資料交換
為什麼訂位系統需要姓名、護照及國籍資訊？
國際航空運輸必須確認旅客身分、搭乘航線、票務與入境所需資訊，在特定情況下可能需要護照號碼、國籍與聯絡方式。這些資料有正當業務用途，也因此需要較嚴格的權限管理、存取紀錄與保護措施。
這次屬於什麼資安風險？
本案反映第三方供應商及供應鏈安全風險。旅客即使透過航空公司官方管道購票，資料仍可能依業務需求由外部合作系統處理。供應商如果發生未授權存取，風險可能延伸至多間合作航空公司。
但不能因Amadeus服務多家航空公司，就推論所有使用該系統的公司與所有乘客資料都受到影響。
是否已確定駭客使用什麼漏洞？
截至本篇查核，JAL正式公告沒有公布確切入侵技術、攻擊者身分或惡意程式名稱。韓亞航空對登入憑證的初步描述，不能視為日航事故已確認的唯一技術根因。本案也沒有證據可直接認定涉及WordPress、PHP、SQL Injection或勒索軟體。
訂位代碼PNR外露有多危險？真實姓名加航班日期可能成為詐騙素材
PNR通常指Passenger Name Record（旅客訂位紀錄），航空公司提供的訂位代碼可供旅客查詢相關預約。但不同公司的查詢及修改流程、身分驗證要求並不相同。
因此不能說「只要知道PNR就一定能取消或改票」。更實際的風險是，若有人同時掌握姓名、真實航班日期、航線與訂位代碼，就可能製作看起來非常可信的詐騙通知。
我們已掌握您的搭乘日期與航線。請在15分鐘內點擊連結支付「保留座位費」，否則將取消機票。
危險訊號：催促付款、不明連結、威脅取消機票、要求信用卡或OTP這是依資料組合風險設計的虛構情境，並非已證實此次事件出現的詐騙訊息。
三種最需要留意的假冒通知
聲稱航班取消、座位調整或需支付手續費，要求點擊陌生網址。
利用正確航班日期及姓名，誘導到仿冒頁面輸入證件或帳戶資料。
假冒客服說得出真實航程，再要求轉帳、網銀操作或提供OTP。
對方講得出我的航班日期，為什麼仍可能是詐騙？
知道正確航程，只能證明發訊者掌握相關資訊，不能證明他已獲航空公司授權。應自行進入官方App、手動輸入官方網站網址，或使用正式公告的客服電話查核，避免被逼真的資料內容誤導。
護照號碼疑遭外部存取，台灣旅客需要立即換發護照嗎？
日航公告指出，約2,000名旅客涉及護照號碼等欄位，但未要求全部受影響旅客立即更換護照。僅有護照號碼可能被不當存取，不等於實體護照遺失，也不等於已發生身分冒用。
是否需要換發護照，應根據實際通知、是否發現不當使用、個人風險及護照主管機關的規定評估。台灣護照持有人可使用外交部領事事務局的正式資訊確認相關規定。
先核對JAL公告、查看既有行程，不要在陌生查詢網站輸入護照號碼。
保存通知、向JAL確認受影響欄位，必要時詢問領事事務局是否需要換發。
立即與相關航空公司、主管機關及必要的執法單位聯繫並保存證據。
護照照片沒有被閱覽，是否就完全不用擔心？
也不能這樣說。護照號碼若與姓名、國籍、聯絡方式及航班資訊結合，仍可能提高假冒通知或社交工程的可信度。但單憑這些資料，也不能推論對方必定能通過所有金融、移民或航空公司身分驗證。
護照疑遭資料存取，與實體護照遺失相同嗎？
不同。外交部領事事務局對實體護照遺失有特定補發程序及證明要求。一般資料疑遭外部存取，不應自行等同證件遺失；是否申請換發，應依自身狀況與主管機關說明判斷。
日航航班會取消嗎？已買的機票、會員密碼需要重新處理嗎？
日本航空10月28日公告明確指出，本次資安事件沒有影響航班營運。Amadeus已完成必要的安全處置，目前亦未發現涉及資料遭不當使用。
依JAL 2026／10／28官方公告：本次事件未造成航班營運影響。
原本訂好的機票需要重新購買嗎？
依目前公告，沒有要求旅客全面重新買票。若航班與電子機票紀錄正常，可透過JAL官方網站或App確認。若突然收到要求重新付款的訊息，應先核實，而不是因為擔心機票失效就立即付款。
所有JAL會員密碼都要更換嗎？
日航明確指出此次沒有各類密碼外洩，不能因此宣稱全體會員帳密遭竊。但若原本使用重複密碼、曾在陌生網站輸入資訊，或觀察到異常登入，仍應循官方管道檢查帳戶並更新密碼。
台灣旅客需要停止購買日航機票嗎？
目前沒有足夠證據支持所有旅客必須停止購票。日航表示供應商已採取必要安全措施、航班營運未受影響。旅客可以正常評估行程需求，同時留意官方後續通知與防詐提醒。
日航10月29日開設專線！台灣旅客怎麼確認自己是否受影響？
JAL與JTA宣布，將向受影響旅客個別聯繫，並自10月29日起設立本次Amadeus資料事件的專用諮詢窗口。旅客不需要透過不明第三方網站輸入護照或信用卡資料來查詢。
日本採UTC+9、台灣採UTC+8，日本比台灣快1小時。國際電話可能有通話費用；電話及服務時間如有後續調整，應以最新官方公告為準。
日航會主動通知受影響旅客嗎？
會。日航公告表示將逐一聯絡涉及顧客，提供必要協助及假冒訊息防範提醒，但沒有保證所有通知在10月29日當天全部發送完畢。
沒有收到通知，就一定不在9.2萬人之內嗎？
不能直接判定。個別通知可能分批完成，旅客原先的聯絡資料也可能變更。若對既有預約特別擔心，可透過官方專線確認，不應信任聲稱可直接查詢「外洩完整名單」的陌生連結。
旅客現在該做哪6件事？避免資料事件演變成二次詐騙
對一般赴日旅客來說，比起猜測攻擊者身分，更重要的是確認現有訂位狀況、留意正式通知，並避免把密碼、OTP或信用卡資訊交給假冒航空客服。
如果已經點進假航空公司網站怎麼辦？
應依實際操作處理。若只是打開網站、沒有提供資料，先停止操作並觀察裝置異常。若輸入過帳密，從真正官方網站修改密碼，並檢查其他共用密碼的帳號；若曾輸入信用卡、金融資料或OTP，應立即聯絡相關金融機構並保存證據。
在台灣遇到疑似詐騙，可撥打165反詐騙諮詢專線。請勿從可疑郵件中的電話按鈕直接撥打「客服」，應自行查找正式聯絡資料。
從JAL到韓國航空公司：跨國訂位系統資安為什麼特別重要？
國際航空公司可能同時透過官方網站、App、旅行社、航空聯盟及系統供應商處理預約。這使訂票與轉機更便利，也讓旅客資料可能在多個具有業務關係的系統之間流動。
Amadeus事件凸顯第三方供應商的權限管理、多因素驗證、異常存取偵測、資料保存政策及通報程序的重要性。但目前不能由此推定Amadeus所有安全措施都未建立，更不能直接宣稱各家航空公司負有相同法律責任。
航空公司已經委外，就完全沒有旅客個資責任嗎？
不能直接這樣認定。委外供應商可能負責系統與資料處理，但航空公司仍須依適用法律、契約及自身角色管理資料保護和通知程序。最後的權責分配需要具體契約、鑑識與司法管轄條件才能判斷。
本次事件與10月28日中選會個資事件有何差別？
| 比較項目 | 中選會候選人個資事件 | JAL／Amadeus事件 |
|---|---|---|
| 主要問題 | 背景查詢資料錯誤含非公開欄位 | 第三方系統有未授權存取跡象 |
| 影響資訊 | 主要涉及候選人身分證字號 | 訂位、航程、部分護照及聯絡資料 |
| 外部存取情況 | 仍需查核實際取得範圍 | 日航已說明發現外部存取痕跡 |
| 已確認不當利用？ | 尚待調查 | 日航表示目前未發現 |
| 後續重點 | 欄位過濾、委外驗收、當事人通知 | 供應商鑑識、旅客通知與假客服防範 |
兩起事件的共同點是資料保護的重要性，但本次JAL事件不應被誤寫成前端CSS隱藏欄位、WordPress外掛或SQL Injection的同類事故。
FAQ｜日航9.2萬人資料、護照號碼、ANA與Amadeus事件12大問題
Q1日本航空真的有9.2萬人個資外洩嗎？+
JAL及JTA公告約92,000名旅客部分預約紀錄有外部存取跡象，但不代表已確認所有資料都被惡意利用。
Q2日航個資事件哪一天公布？+
2026年10月28日公布；日航與JTA於10月23日接獲供應商Amadeus通知。
Q3日航哪個系統受到未授權存取？+
由Amadeus提供、涉及預約、開票與登機手續的旅客服務系統PSS。
Q4所有9.2萬名旅客的護照號碼都涉及嗎？+
不是。約90,000人主要涉及基本訂位及航程資訊，另約2,000人有護照號碼、聯絡方式等詳細資料的存取跡象。
Q5信用卡號碼與密碼有沒有外洩？+
JAL官方明確表示，此次事件沒有信用卡號碼或各類密碼外洩。
Q6日航飛機會因此停飛嗎？+
JAL10月28日聲明本次事故沒有影響航班營運。
Q7ANA全日空也受影響嗎？+
ANA也接獲Amadeus通知，但截至10月28日公開報導，仍在確認具體影響，不能套用JAL的92,000人數字。
Q82023年以來搭過日航就一定受影響？+
不是。官方期間是相關系統訂位資料存在外部存取痕跡的期間，不是所有購票日、搭機日或全部乘客。
Q9護照號碼疑遭存取，需要立即換護照嗎？+
JAL沒有要求所有受影響旅客立即換發。可先確認個別通知，並依風險及護照主管機關規定評估。
Q10怎麼知道自己是不是受影響旅客？+
JAL表示將個別通知涉及顧客，並自10月29日起提供事件專線。請勿透過陌生網站輸入完整護照號碼查詢。
Q11日航事件專線從台灣怎麼打？+
海外電話為+81-3-4332-7280，受理時間是日本平日10:00至17:00，相當於台灣09:00至16:00，日本國定假日不受理。
Q12為什麼訂位代碼外露可能增加詐騙風險？+
訂位代碼搭配真實姓名與航程，可能讓假改票、假報到及假客服訊息更具可信度。旅客應自行使用正式航空公司管道確認。
結論：日航9.2萬人資料事件，最需要防範的是冒用真實航程的詐騙
2026年10月28日，JAL及JTA正式公開Amadeus旅客服務系統遭未授權存取的事件。約92,000名旅客部分預約資料有外部存取跡象，其中約2,000人還涉及護照號碼、聯絡方式與其他較敏感的資訊。
這對台灣赴日旅客具有實際意義：即使沒有信用卡號碼或密碼外洩，真實訂位代碼、姓名及航班資料仍可能讓假冒航空公司的訊息更難辨認。
護照不必因猜測立刻重辦。
每一封改票通知，都要向官方核實。 不明連結不點擊、密碼與OTP不提供、必要時使用JAL正式專線。
日航目前表示供應商已完成必要安全處置、未確認資料遭不當使用，航班營運亦未受影響。旅客不必因此假設所有訂位失效或會員帳號遭入侵，但應留意個別通知、保護帳戶及避免透過陌生付款連結操作。
真正值得追蹤的是Amadeus的後續調查、ANA及其他航空公司是否公布更多資訊，以及受影響旅客是否取得充分通知與協助。
新聞來源與事實查核
主要一手依據：90,000／2,000／92,000人分類、資料期間、信用卡與密碼未外洩、航班未受影響及官方專線。
交叉核對資料期間不是訂票或搭機日期、供應商通報與受影響範圍。
交叉確認ANA接獲通知、護照照片與已知資料影響的區別。
確認韓亞另行公告的系統帳號與預約資料疑慮，避免當作JAL已確認的技術根因。
跨國航空公司通報背景，影響人數與實際關聯需個別查核。
區分護照號碼疑遭外部存取、實體護照遺失及正式證件處理程序。
約92,000人為JAL與JTA合計，其中約2,000人已計入總數，不包含尚未確認的ANA人數。資料涉及期間不是所有旅客的購票或搭機日期。外部存取痕跡不等於已確認所有資料遭不當利用；確切攻擊技術、攻擊者身分及跨國最終範圍仍有待正式調查。本文所有虛構票卡、假郵件與流程圖均為編輯示意，未使用真實旅客資料。
