JAL/JTA、ANA 与国泰披露 Amadeus 预订数据遭未授权访问
Amadeus 预订数据访问涉及约 92,000 名 JAL/JTA 客户及 37,800 名 ANA 客户，其中约 1,700 名 ANA 客户还可能涉及额外字段。国泰报告约 53,000 笔预订，统计单位不同。不能将这些数字相加为去重后的总人数。
- 披露时间
- 2026年10月28日
- 更新于 2026年11月1日
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- Amadeus 中部分 JAL/JTA、ANA 与国泰预订记录；个人受影响情况以各航空公司通告为准
- 航空 · 第三方 · 数据暴露
- 在野利用
- 不适用
- 已确认未授权访问；未披露具体软件漏洞。
发生了什么
JAL/JTA 确认的总数分为两组：约 90,000 名客户涉及预订编号、姓名、搭乘日期、航段及舱位；另约 2,000 名还涉及邮箱、电话、护照号、国籍、常旅客编号、航空公司、航班及机票号、座位等字段。不能将其说成 92,000 份护照记录。个人数据暴露规模支持 L4。Amadeus 已完成安全措施；JAL/JTA 通告未披露根因，也不能据此认定访问仍在持续。
国泰于 10 月 28 日获知事件，10 月 29 日收到细节。其通告称，2023 年 8 月至 2026 年 9 月期间，有人使用 Amadeus 系统账户凭据访问记录。多数受影响预订涉及预订编号、乘客姓名和航班信息；较小一部分可能涉及联系方式、旅行证件或常旅客编号。没有证据显示支付信息被访问或数据遭滥用。Amadeus 已重置密码并加强监控。国泰自身系统及运营未受影响。这是对既有供应商事件范围的扩充，不能据此认定所有使用 Amadeus 的航空公司均受影响。
11 月 1 日补充： ANA 的 10 月 30 日通告涉及约 37,800 名客户，预订期间为 2023 年 8 月 10 日至 2026 年 9 月 23 日。约 36,100 名客户可能涉及姓名、预订编号、行程日期、航段及舱位；约 1,700 名还可能涉及联系方式、护照、国籍、常旅客、航班、机票或座位详情。ANA 排除信用卡号及账号密码，称被攻破的认证凭据已撤销、监控已加强，并计划逐一联系客户。各航空公司的统计应分别看待：预订笔数不是人数，不同客户群之间是否重叠也未知。
案发时间线
2026年10月23日
Amadeus 通知 JAL/JTA
2026年10月28日
JAL 与 JTA 公布影响范围
2026年10月30日
国泰披露范围；JAL/JTA 确认已发送邮件，咨询窗口已开放
2026年10月30日
ANA 公布约 37,800 名客户的更新范围
2026年10月29日（计划）
JAL/JTA 咨询窗口原定开放日期
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- JAL/JTA 官方披露一手来源10 月 28 日首次披露；10 月 30 日修订确认已发送个别邮件，咨询窗口已开放。
- 国泰关于 Amadeus 的官方披露一手来源10 月 30 日：约 53,000 笔预订、系统账户凭据被用于访问、处置及客户通知。
- ANA 关于 Amadeus 范围的官方更新一手来源10 月 30 日通告列出两组客户、计划逐一联系，以及撤销被攻破的认证凭据。