JAL委託先の不正アクセス｜建設業が確認すべき情報管理と対策

社長、協力会社や外部サービスに預けた図面や顧客情報について、誰が管理し、どこまで閲覧できるのか把握していますか？

2026年10月28日、日本航空（JAL）と日本トランスオーシャン航空（JTA）は、旅客サービスシステムの委託先であるアマデウス社のシステムへの不正アクセスについて公表しました。両社によると、予約情報の一部が外部から参照された形跡が確認されています。

今回の事例は航空業界の出来事ですが、外部の会社にシステムや情報管理を任せている点では、建設業にも共通する課題があります。図面共有、現場写真の保存、協力会社とのデータ交換、業務システムの保守など、社外との接点は少なくありません。

この記事の結論

外部委託そのものが危険なのではありません。重要なのは、委託先に何を預け、誰がアクセスでき、事故が起きたときに誰から連絡を受けるのかを把握することです。

今日の確認事項は一つ。「主要な協力会社やクラウドサービスに、どの情報を預けているか説明できますか？」

目次｜JAL委託先事故と建設業の情報管理［開く／閉じる］

JALが公表した委託先システムへの不正アクセス
約9万2,000人分の情報について確認されたこと
確認済みの事実と未公表事項を分ける
建設業でも外部委託先の管理が重要な理由
協力会社との図面共有に潜む課題
クラウドサービスと情報の保管場所
委託先のアカウントとアクセス権限
契約時に決めておきたい責任範囲
委託先で事故が起きた場合の初動
建設業の外部委託リスク比較表
社長向け10項目チェックリスト
対策の進め方と注意点
まとめ｜今日できる一つの行動

1．JALが公表した委託先システムへの不正アクセス

2026年10月28日、JALとJTAは、予約・発券や搭乗手続きなどに利用する旅客サービスシステムの委託先、Amadeus IT Group, S.A.社（アマデウス社）のシステムへの不正アクセスについて発表しました。

両社がアマデウス社から報告を受けたのは10月23日です。報告内容は、同社システムへの不正アクセスによって、JAL・JTAの顧客の予約情報の一部が外部から参照された形跡があったというものです。

ここで重要なのは、JAL・JTAが利用する外部委託先のシステムで問題が発生したことです。自社の業務で使用する情報であっても、その保管や処理を社外のシステムに任せている場合、委託先の事故が自社の顧客対応につながることがあります。

公式発表：JAL｜Amadeus社が提供する旅客サービスシステムへの不正アクセスについて

2．約9万2,000人分の情報について確認されたこと

JAL・JTAの公式発表では、外部から参照された形跡がある予約情報の対象者は、合計約9万2,000人とされています。対象はすべての予約記録ではなく、一部の予約記録です。

対象人数	外部から参照された形跡がある情報
約9万人	予約番号、氏名、搭乗日、搭乗区間、搭乗クラス
約2,000人	上記に加え、メールアドレス、電話番号、パスポート番号、国籍、マイレージ番号、航空券番号、座席番号など
合計約9万2,000人	JAL・JTA便名の予約記録の一部

対象となる予約記録の期間は、2023年8月10日から2026年9月23日までと公表されています。この期間は、事故の発生日を示すものではありません。

また、JAL・JTAは、クレジットカード番号や各種パスワードの漏えいはなく、10月28日時点で対象情報の不正利用も確認されていないと説明しています。本件による運航への影響もないとしています。

3．確認済みの事実と未公表事項を分ける

サイバー事故を経営の参考にするときは、実際に公表された内容と、一般的に考えられるリスクを分ける必要があります。

項目	2026年10月28日時点の状況
委託先システムへの不正アクセス	JAL・JTAが公表
JAL・JTAが報告を受けた日	2026年10月23日
公表日	2026年10月28日
外部から参照された形跡がある予約情報	合計約9万2,000人分
クレジットカード番号・各種パスワードの漏えい	ないと説明
対象情報の不正利用	公表時点で確認されていない
運航への影響	ないと説明
不正アクセスの具体的な発生日時・侵入手口	公式発表で詳細を確認できない

事実関係の注意点

「外部から参照された形跡がある」という公表内容を、「約9万2,000人分すべての情報が外部へ持ち出された」と断定してはいけません。また、JALの運航が停止した、建設業で同じ事故が起きた、といった説明も事実ではありません。

4．建設業でも外部委託先の管理が重要な理由

建設業では、元請会社、下請会社、協力会社、設計事務所、設備会社、システム保守会社など、多くの事業者が関係します。工事を円滑に進めるため、図面や工程表、現場写真、見積情報などを社外と共有することも一般的です。

しかし、情報を共有した後に、どの会社が保管しているのか、誰が閲覧できるのか、いつ削除されるのかまで確認できていない場合があります。これは情報漏えいだけでなく、情報の更新ミスや業務停止時の対応にも関係します。

IPAも、ビジネスパートナーや委託先を含めたサプライチェーン全体の状況把握と対策を重要な経営課題として示しています。IPA｜指示9 ビジネスパートナーや委託先等を含めた対策

5．協力会社との図面共有に潜む課題

建設業で最初に確認したいのは、図面や設計資料の共有方法です。メール添付、クラウドの共有フォルダー、ファイル転送サービスなど、複数の方法が混在している会社もあります。

例えば、工事が終了した後も共有リンクが有効なままだったり、別の現場の担当者まで資料を閲覧できたりすると、必要以上の情報が広がる可能性があります。古い図面が残っている場合は、誤った版を使う業務上の問題にもつながります。

確認したい3つの点

共有している図面や資料の種類を把握しているか
協力会社ごとに閲覧・編集できる範囲を分けているか
工事終了後のアクセス停止とデータの取扱いを決めているか

現場でできる確認

最近完了した工事を一つ選び、当時使用した図面共有フォルダーが今も開ける状態になっていないか、担当者に確認してみましょう。

6．クラウドサービスと情報の保管場所

クラウドサービスは、離れた現場や協力会社との情報共有を便利にします。一方、利用するサービスが増えるほど、どこに何の情報が保存されているのか把握しにくくなることがあります。

現場写真は写真管理サービス、図面は共有クラウド、見積情報は別の業務システムというように、情報が複数の場所に分散している場合があります。委託先の障害やアカウントの問題が起きたとき、どの業務に影響するのかを説明できる状態が理想です。

まずは、重要なサービスの名称、管理担当者、保存している情報、契約先、障害時の連絡先を一覧にまとめることをおすすめします。詳細な技術資料を作る前に、経営者が全体像を把握することが大切です。

7．委託先のアカウントとアクセス権限

外部委託先にアカウントを発行するときは、必要な情報だけにアクセスできる設定が基本です。会社全体の共有フォルダーにアクセスできる権限を与えると、業務に不要な情報まで閲覧できる可能性があります。

また、協力会社の担当者が交代したとき、古いアカウントが残っていないか確認する必要があります。契約終了後もアカウントが有効なままになっていないか、定期的に見直すことが重要です。

実務での対策

利用者ごとに個別のアカウントを発行する
必要なフォルダーや機能だけを許可する
重要なサービスでは多要素認証を利用する
担当者の交代・退職・契約終了時に権限を見直す
アクセス記録を必要な期間保存する

8．契約時に決めておきたい責任範囲

外部委託先の管理では、技術的な設定だけでなく、契約上の取り決めも重要です。委託先に事故が起きた場合、誰が調査し、いつまでに報告し、どのように情報を共有するのかを決めておく必要があります。

IPAは、委託先などとの契約で、サイバーセキュリティリスクへの対応に関する役割と責任範囲を明確にすることを勧めています。これは大企業だけの課題ではなく、協力会社との関係が多い中小建設会社でも参考になります。

確認したい契約事項

預ける情報の範囲と利用目的
再委託する場合の条件
情報を閲覧できる担当者の管理
事故や不正アクセスを認識した場合の報告方法
契約終了後のデータ返却・削除
必要な調査への協力範囲

注意

契約書に項目を書くだけで、事故を完全に防げるわけではありません。実際の運用が契約内容と一致しているか、担当部署と委託先で定期的に確認することが必要です。

9．委託先で事故が起きた場合の初動

委託先から不正アクセスやシステム障害の連絡があった場合、自社への影響をできるだけ早く確認することが重要です。最初から被害の全容が分かるとは限らないため、確認できた事実と調査中の事項を分けて記録します。

最初に確認したい内容

どのサービスやシステムで問題が起きたのか
自社が預けた情報が対象に含まれる可能性はあるか
現在もサービスを利用できるか
アクセス権限の停止や変更が必要か
次の報告予定と連絡担当者は誰か

建設業では、図面を確認できなくなるだけでも工程に影響する可能性があります。現場責任者、情報システム担当者、経営者の間で、どの業務を優先して継続するかを共有しておきましょう。

なお、今回のJAL・JTAの事例では、公式発表で運航への影響はないと説明されています。建設業で想定される業務停止リスクは、今回の事故で実際に発生した事実ではなく、一般的な備えとしての説明です。

10．建設業の外部委託リスク比較表

外部委託先の管理を見直す際は、委託業務ごとに預ける情報と、問題が起きた場合の影響を整理すると分かりやすくなります。

委託先・サービス	預ける情報の例	確認したい管理項目
図面共有クラウド	設計図、施工図、仕様書	閲覧権限、共有リンク、版管理
協力会社	工程表、現場情報、作業資料	担当者の権限、契約終了後の削除
現場写真管理サービス	施工写真、現場名、位置情報など	保存先、公開範囲、バックアップ
システム保守会社	システム設定、接続情報など	遠隔接続、操作記録、緊急連絡
経理・労務クラウド	取引情報、従業員情報など	利用者権限、認証、事故通知

すべての委託先を同じ厳しさで管理する必要があるとは限りません。扱う情報の重要性、業務への影響、外部接続の有無などを考慮して優先順位を決めることが現実的です。

11．社長向け10項目チェックリスト

自社の外部委託先について、次の10項目を確認してみてください。分からない項目があれば、担当者と一緒に整理するところから始めましょう。

外部委託先の情報管理チェックリスト

重要な外部委託先やクラウドサービスを一覧にしている
各委託先に預けている情報を把握している
図面や現場資料の保存場所が分かる
協力会社のアクセス権限を必要な範囲に限定している
担当者の交代や退職時にアカウントを停止している
共有リンクの公開範囲と有効期限を確認している
再委託の有無や条件を確認している
事故発生時の連絡先と報告方法が決まっている
委託先の障害時に業務を継続する手順がある
契約終了後の情報返却・削除を確認している

10項目すべてが整っていなくても、まず重要な委託先を一社選んで確認するだけで、改善すべき点が見えてくることがあります。

12．対策の進め方と注意点

外部委託先の管理を改善するには、いきなりすべての契約やシステムを見直すより、重要な情報を扱う委託先から優先的に確認する方法が考えられます。

最初の1週間で進めたいこと

まず、会社で利用している主要なクラウドサービスと協力会社を洗い出します。次に、預けている情報と管理担当者を整理し、事故時の連絡先が分かるか確認します。

次に進めたいこと

アクセス権限の見直し、不要なアカウントの停止、共有リンクの整理など、比較的取り組みやすい項目から改善します。契約書や運用ルールの見直しが必要な場合は、関係部署や専門家と相談して進めましょう。

IPAの「サイバーセキュリティ経営ガイドライン」に関連する実践資料では、リスクのある委託先を特定し、その対策状況を把握することが最初のステップとして示されています。

IPA｜委託先を含めたサプライチェーンの状況把握と対策

重要な考え方

委託先に対策を任せているからといって、自社で確認する必要がなくなるわけではありません。一方で、委託先に過大な要求を一方的に押し付けるのではなく、情報の重要性や事業規模に応じて役割を整理することが大切です。

13．まとめ｜今日できる一つの行動

JAL・JTAが2026年10月28日に公表した事例では、委託先アマデウス社のシステムへの不正アクセスによって、予約情報の一部が外部から参照された形跡が確認されました。これは、外部委託先の情報管理が自社の顧客対応にも関係することを考えるきっかけになります。

建設業でも、図面、現場写真、工程表、取引先情報などを社外の会社やクラウドサービスに預ける機会があります。大切なのは、外部委託を避けることではなく、預ける情報、アクセス権限、事故時の連絡体制を把握することです。

今日の一つの行動

主要な協力会社かクラウドサービスを一つ選び、「何の情報を預けているか」「誰がアクセスできるか」「事故の連絡先は誰か」の3点を担当者に確認してください。

この3点が分かるだけでも、次に見直すべき管理項目を整理しやすくなります。

公式一次情報

※本記事は2026年10月29日時点の公表情報に基づきます。JAL・JTAの事故で確認された事実と、建設業における一般的なリスク・対策を区別して記載しています。