ANA cho biết 37.800 khách hàng có thể bị ảnh hưởng bởi vụ xâm nhập Amadeus, trong đó có 1.700 số hộ chiếu

Thông tin đặt chỗ bị lộ qua nhà cung cấp công nghệ hàng không

All Nippon Airways ngày 30 tháng 10 năm 2026 cho biết thông tin đặt chỗ của khoảng 37.800 khách hàng có thể đã bị lộ sau khi có người truy cập trái phép vào các hệ thống do nhà thầu công nghệ Tây Ban Nha Amadeus IT Group vận hành. Thông tin của khoảng 1.700 khách hàng còn có số hộ chiếu và các dữ liệu cá nhân khác, với dấu hiệu bị truy cập từ bên ngoài hệ thống.

ANA cho biết Amadeus phát hiện vụ truy cập trái phép ngày 24 tháng 9, nhưng hãng hàng không chỉ nhận được báo cáo từ nhà thầu vào ngày 20 tháng 10, tức 26 ngày sau đó. ANA đã đề nghị Amadeus điều tra nguy cơ thông tin của hãng bị lộ sau khi biết tin các hãng hàng không khác sử dụng nhà cung cấp này bị ảnh hưởng vào ngày 16 tháng 10.

Hãng hàng không xác định hai nhóm khách hàng bị ảnh hưởng. Khoảng 36.100 người bị lộ thông tin đặt chỗ cơ bản, gồm tên và chi tiết hành trình. Khoảng 1.700 người có thêm nhiều loại thông tin liên quan, gồm thông tin liên hệ, số hộ chiếu và số hội viên khách hàng thường xuyên. ANA cho biết thông tin thẻ tín dụng và mật khẩu không nằm trong dữ liệu bị ảnh hưởng.

ANA dự kiến bắt đầu liên hệ với các khách hàng bị ảnh hưởng trong tuần đầu tiên của tháng 11. Cảnh báo trước mắt của hãng dành cho hành khách là đề phòng email, cuộc gọi, trang web và quảng cáo trên mạng xã hội đáng ngờ giả mạo Tập đoàn ANA.

Vụ việc ảnh hưởng đến nhiều hơn một hãng hàng không. Japan Airlines và Japan Transocean Air trước đó đã thông báo khoảng 92.000 khách hàng có thể bị ảnh hưởng do hoạt động truy cập trái phép liên quan đến cùng nhà cung cấp này. Các hãng hàng không Nhật Bản khác vẫn đang kiểm tra mức độ ảnh hưởng, trong khi số đặt chỗ của khách hàng Korean Air và Asiana Airlines cũng được cho là đã bị lộ.

Những thông tin nào bị ảnh hưởng?

Nhóm khách hàng bị ảnh hưởng lớn nhất của ANA, khoảng 36.100 người, có năm loại thông tin với dấu hiệu bị truy cập từ bên ngoài: tên, mã đặt chỗ, ngày đi, chặng bay và hạng khoang. Chặng bay là một phần của hành trình, chẳng hạn chuyến bay từ Tokyo đến Sapporo. Hạng khoang cho biết loại hình dịch vụ, như phổ thông hoặc thương gia.

Nhóm nhỏ hơn, khoảng 1.700 khách hàng, có cùng những chi tiết trên bị ảnh hưởng, cùng với địa chỉ email, số điện thoại, số hộ chiếu, quốc tịch, số hội viên khách hàng thường xuyên, tên hãng hàng không, số chuyến bay, số vé và số ghế.

Như vậy, số hộ chiếu nằm trong nhóm thông tin bị ảnh hưởng của khoảng 4,5% trong tổng số 37.800 khách hàng ANA xác định. Khoảng 95,5% còn lại thuộc nhóm chỉ bị ảnh hưởng các trường thông tin đặt chỗ cơ bản.

ANA cho biết có bằng chứng thông tin đặt chỗ đã bị xem từ bên ngoài hệ thống. Trong thông báo, hãng chưa xác nhận liệu thông tin có bị sao chép ra khỏi hệ thống hoặc bị sử dụng sai mục đích sau đó hay không. Mối lo ngại thực tế đối với hành khách là các trường thông tin bị ảnh hưởng có thể liên kết danh tính của một người với một hành trình cụ thể.

Những đặt chỗ nào thuộc khoảng thời gian bị ảnh hưởng?

ANA xác định một số khách hàng đặt chỗ trong khoảng thời gian từ ngày 10 tháng 8 năm 2023 đến ngày 23 tháng 9 năm 2026 là người bị ảnh hưởng. Thông báo của hãng liên quan đến một nhóm đặt chỗ trong khoảng thời gian kéo dài hơn ba năm này, chứ không phải mọi hành khách đặt vé trong những ngày đó.

Khoảng thời gian này cũng được mô tả là áp dụng cho các chuyến bay do ANA khai thác từ ngày 10 tháng 8 năm 2023 đến ngày 23 tháng 9 năm 2026. Phần lớn mô tả chi tiết về thông báo xác định đây là thời gian khách hàng đặt chỗ. Khách hàng nên căn cứ vào thông báo riêng của ANA để biết đặt chỗ của mình có nằm trong diện bị ảnh hưởng hay không.

Hồ sơ bị ảnh hưởng có những thông tin hành khách cung cấp hoặc phát sinh khi sắp xếp chuyến đi. Mã đặt chỗ xác định một lần đặt chỗ, còn số vé xác định giấy tờ đi lại đã được phát hành. Những thông tin này có thể vẫn được lưu trong hệ thống dịch vụ hành khách sau khi mua vé, giúp lý giải vì sao vụ lộ dữ liệu liên quan đến các đặt chỗ từ năm 2023.

Diễn biến phát hiện và công bố vụ việc

ANA lần đầu công khai vụ việc ngày 29 tháng 10, khi hãng vẫn đang điều tra số khách hàng và loại thông tin bị ảnh hưởng. Ngày hôm sau, hãng công bố ước tính có 37.800 khách hàng bị ảnh hưởng và nêu chi tiết hai nhóm dữ liệu bị lộ.

Chuỗi sự kiện bắt đầu hơn một tháng trước các thông báo công khai đó:

• Ngày 24 tháng 9 năm 2026: Amadeus phát hiện hoạt động truy cập trái phép vào thông tin đặt chỗ hàng không. ANA cho biết hãng không nhận được báo cáo vào thời điểm đó.
• Ngày 16 tháng 10: ANA biết về các vụ việc ảnh hưởng đến những hãng hàng không khác sử dụng Amadeus và đề nghị nhà cung cấp kiểm tra thông tin đặt chỗ chuyến bay của ANA.
• Ngày 20 tháng 10: ANA nhận được báo cáo từ Amadeus và báo vụ việc cho Ủy ban Bảo vệ Thông tin Cá nhân Nhật Bản cùng các cơ quan liên quan khác.
• Ngày 29 tháng 10: ANA công bố có dấu hiệu một số thông tin đặt chỗ của khách hàng bị truy cập từ bên ngoài.
• Ngày 30 tháng 10: ANA xác định khoảng 37.800 khách hàng có thể bị ảnh hưởng và nêu chi tiết các thông tin liên quan.
• Tuần đầu tiên của tháng 11: ANA dự kiến bắt đầu liên hệ lần lượt với các khách hàng bị ảnh hưởng.

Mốc thời gian cho thấy ANA đã bắt đầu điều tra trước khi nhà thầu báo cáo vụ việc với hãng. Amadeus phát hiện sự cố ngày 24 tháng 9, còn ANA yêu cầu kiểm tra mức độ ảnh hưởng đến hãng 22 ngày sau đó. Nhà cung cấp báo cáo cho ANA bốn ngày sau yêu cầu này.

ANA và Amadeus tiếp tục kiểm tra thông tin khách hàng sau ngày 20 tháng 10. Ủy ban Bảo vệ Thông tin Cá nhân Nhật Bản, nơi nhận báo cáo của ANA, là cơ quan chịu trách nhiệm giám sát việc bảo vệ thông tin cá nhân.

Amadeus đã làm gì?

Amadeus cung cấp hệ thống dịch vụ hành khách liên quan đến vụ việc. Các hãng hàng không sử dụng những hệ thống như vậy để quản lý các chức năng gồm đặt chỗ và phát hành vé, qua đó lưu trữ thông tin khách hàng tại một nhà cung cấp công nghệ chuyên biệt trong hoạt động đi lại thông thường.

ANA cho biết đã xác nhận với Amadeus rằng các thông tin xác thực liên quan đến hoạt động truy cập trái phép đã bị vô hiệu hóa và việc giám sát được tăng cường. Thông tin xác thực là các mã định danh kỹ thuật số hoặc chi tiết truy cập cho phép một người hay hệ thống sử dụng dịch vụ. Vô hiệu hóa các thông tin này sẽ ngăn việc tiếp tục sử dụng chính những thông tin truy cập đó.

Amadeus cũng cho biết không có bằng chứng về thiệt hại do mã độc tống tiền, việc dữ liệu bị sửa đổi hoặc xóa, hay gián đoạn dịch vụ do hãng cung cấp. Mã độc tống tiền là phần mềm độc hại được dùng để khóa thông tin hoặc hệ thống và đòi tiền chuộc. Trong trường hợp này, biện pháp ứng phó mà ANA mô tả tập trung vào hoạt động truy cập trái phép hồ sơ khách hàng và việc vô hiệu hóa các thông tin truy cập liên quan.

Các biện pháp này xử lý việc truy cập và giám sát tại nhà cung cấp. Song song đó, ANA cần xác định những người có thông tin bị ảnh hưởng và thông báo cho họ biết những chi tiết nào đã bị lộ.

Các hãng hàng không khác cũng gặp sự cố liên quan đến cùng nhà cung cấp

Japan Airlines và Japan Transocean Air ngày 28 tháng 10 thông báo thông tin đặt chỗ của khoảng 92.000 khách hàng có dấu hiệu bị truy cập từ bên ngoài thông qua Amadeus. Khoảng 2.000 khách hàng trong số đó cũng có thể bị lộ số hộ chiếu và các chi tiết khác. Hai hãng nhận được báo cáo từ Amadeus ngày 23 tháng 10.

Số 92.000 khách hàng mà JAL và JTA xác định cao gấp khoảng 2,4 lần con số 37.800 của ANA. Số hộ chiếu và các thông tin bổ sung khác liên quan đến khoảng 2,2% nhóm khách hàng của JAL và JTA, so với khoảng 4,5% nhóm khách hàng của ANA.

Air Do, Solaseed Air và StarFlyer, các hãng sử dụng hệ thống Amadeus thông qua ANA, cho biết ANA đã thông báo với họ ngày 29 tháng 10 rằng thông tin cá nhân có dấu hiệu bị truy cập từ bên ngoài. Các hãng đang phối hợp với ANA để xác định phạm vi ảnh hưởng. Số đặt chỗ của khách hàng Korean Air và Asiana Airlines cũng bị lộ, khiến vụ việc lan rộng ra ngoài Nhật Bản.

JAL và JTA cho biết đã xác nhận thông tin bị ảnh hưởng chưa bị sử dụng sai mục đích và hoạt động khai thác chuyến bay không bị ảnh hưởng. Việc nhiều hãng cùng sử dụng một nhà cung cấp tạo ra một điểm rủi ro chung, trong khi từng hãng phải xác định khách hàng của mình bị ảnh hưởng và xử lý việc thông báo.

Vì sao ANA cảnh báo về hành vi mạo danh?

ANA khuyến cáo khách hàng cảnh giác với tin nhắn và cuộc gọi giả danh tập đoàn hàng không này. Thông tin đặt chỗ có thể khiến một vụ lừa đảo trở nên thuyết phục hơn, vì người gọi hoặc người gửi email có thể biết ngày đi, điểm đến hoặc số chuyến bay có thật.

Chẳng hạn, một tin nhắn gian lận có thể nói rằng đặt chỗ thật cần được thanh toán gấp hoặc hành khách phải nhập thông tin tài chính để được hoàn tiền. Lừa đảo giả mạo là hành vi mạo danh một tổ chức đáng tin cậy để thuyết phục người khác tiết lộ thông tin hoặc truy cập một trang web giả mạo.

Hành khách nhận được tin nhắn bất ngờ về đặt chỗ có thể kiểm tra qua trang web hoặc ứng dụng ANA thường dùng thay vì nhấp vào liên kết hoặc gọi số điện thoại có trong tin nhắn. Cần đặc biệt thận trọng với các yêu cầu cung cấp mật khẩu, mã xác minh, thông tin thẻ hoặc ảnh hộ chiếu khi chúng được gửi qua một kênh liên hệ không mong đợi.

Thông báo riêng mà ANA dự kiến gửi sẽ giúp khách hàng bị ảnh hưởng biết cách xử lý cụ thể hơn so với chỉ dựa vào khoảng thời gian đặt chỗ rộng. Với khoảng 1.700 người trong nhóm nhỏ hơn, mối lo ngại bao gồm cả thông tin liên hệ và danh tính, bên cạnh lịch trình. Với nhóm đông hơn, thông tin bị lộ vẫn liên kết tên của hành khách với một hành trình.

Các vụ công bố khác làm gia tăng lo ngại về an ninh dữ liệu tại Nhật Bản

Bộ Ngoại giao Nhật Bản cũng cho biết ngày 30 tháng 10 rằng khoảng 3.600 hồ sơ có chứa thông tin cá nhân, gồm tên và địa chỉ email, có thể đã bị lộ do truy cập trái phép. Khoảng 900 hồ sơ thuộc về những người bên ngoài bộ. Môi trường bị ảnh hưởng là một mạng kết nối với các hệ thống bên ngoài; bộ cho biết đã xác nhận không có truy cập trái phép vào một mạng riêng biệt, khép kín, xử lý thông tin mật ở mức cao.

Ryohin Keikaku, đơn vị điều hành Muji, công bố có thể có tới 27,26 triệu hồ sơ khách hàng bị lộ do truy cập trái phép vào ứng dụng chính thức. Các trường thông tin có thể bị ảnh hưởng gồm địa chỉ email, ngày sinh và giới tính, kể cả thông tin liên quan đến những người đã ngừng sử dụng ứng dụng. Tên và thông tin thẻ tín dụng không nằm trong dữ liệu bị ảnh hưởng.

Muji cho biết đã xác nhận thông tin chưa bị sử dụng sai mục đích, sẽ liên hệ riêng với các khách hàng bị ảnh hưởng và tiếp tục vận hành ứng dụng cùng cửa hàng trực tuyến bình thường. Công ty cũng cảnh báo khách hàng không nhấp vào liên kết trong email đáng ngờ. Các vụ việc liên quan đến hãng hàng không, bộ và nhà bán lẻ có những loại thông tin và dịch vụ khác nhau, nhưng trong mỗi trường hợp, người bị ảnh hưởng đều cần được thông báo chính xác những dữ liệu cá nhân nào đã bị lộ.

Điểm chính

• ANA xác định khoảng 37.800 khách hàng có thông tin đặt chỗ có thể đã bị lộ do truy cập trái phép tại Amadeus.
• Thông tin đặt chỗ cơ bản của khoảng 36.100 khách hàng bị ảnh hưởng; khoảng 1.700 người còn bị ảnh hưởng thêm các thông tin như số hộ chiếu và thông tin liên hệ.
• ANA cho biết thông tin thẻ tín dụng và mật khẩu không nằm trong dữ liệu bị ảnh hưởng.
• Amadeus phát hiện vụ việc ngày 24 tháng 9 năm 2026. ANA nhận được báo cáo ngày 20 tháng 10 và nêu chi tiết những khách hàng bị ảnh hưởng ngày 30 tháng 10.
• Amadeus đã vô hiệu hóa các thông tin xác thực liên quan và tăng cường giám sát. Nhà cung cấp cho biết dịch vụ không bị gián đoạn.
• ANA dự kiến bắt đầu gửi thông báo riêng trong tuần đầu tiên của tháng 11 và đang cảnh báo về các hành vi mạo danh.
• JAL và JTA xác định riêng khoảng 92.000 khách hàng bị ảnh hưởng, trong khi các hãng hàng không khác đang kiểm tra mức độ ảnh hưởng.