旅行大手のエイチ・アイ・エス（HIS）は2026年10月7日、タイの現地法人H.I.S. TOURS CO., LTD.のネットワークが第三者による不正アクセスを受け、同社を利用してタイに出発した顧客のうち最大627人分のパスポート情報が流出した可能性があると発表した。不正アクセスが検知されたのは2025年12月11日で、パスポート情報が含まれていることは2026年2月24日に判明していた。公表まで時間を要した理由について、同社はサーバー内の全ファイルの確認に時間がかかったためと説明している。
検知ソフトのアラートで発覚、ファイルサーバーのデータが持ち出された可能性
HISの発表によると、2025年12月11日、タイ法人のファイルサーバーに導入していた不正アクセス検知ソフトがアラートを出した。同社は第三者による不正アクセスの可能性が高いと判断し、該当サーバーをネットワークから切り離し、外部からのアクセスを制限した。外部の専門家を交えた調査の結果、不審なアクセスによってファイルサーバー内のデータの一部が不正に引き出された可能性があることが分かった。
同社は2025年12月29日、サーバー内に日本で取得した個人情報の一部が含まれていることを確認し、個人情報保護委員会と、認定個人情報保護団体である日本情報経済社会推進協会（JIPDEC）に報告している。
流出の可能性があるのは氏名・生年月日・旅券番号など
流出した可能性があるのは、最大627人分のパスポート情報（アルファベット表記の氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限）と、アレルギー情報である。電話番号、住所、メールアドレス、クレジットカード情報などは含まれていないという。
対象は、2017年、2019年〜2020年、2024年〜2025年にHISを利用してタイへ出発した顧客である。同社は10月7日夜に発表を更新し、より具体的な範囲を示した。個人旅行では2024年11月に日本を出発してバンコクのプルマンホテルに宿泊し、チェンマイのコムローイ祭りに参加した顧客、団体旅行では上記の期間にタイへ出発した顧客が該当する。連絡先が分かる顧客には順次個別に連絡し、連絡先の特定が難しい人にも注意を促すため、Webサイトで公表したとしている。
公表まで時間がかかった理由は手作業での精査
HISは、2026年2月24日に最大627人分のパスポート情報が含まれていると分かった時点で、当該サーバーに保存された全ファイルを確認することを決めた。しかし、サーバーには会計記録など個人情報と無関係のデータが大量に混在し、ファイル形式や保存状態もまちまちだったため、機械的な処理や検索ができなかったという。正確を期すために手作業を含めて一つずつ精査・照合する必要があり、対象データの特定と連絡先の抽出に相当の時間を要したと説明している。
再発防止策として、同社は海外拠点のセキュリティ強化と、本社によるシステム監視体制の厳格化を挙げている。
海外拠点のファイルサーバーは「何が入っているか」から管理を
今回の事案は、海外の現地法人という本社の目が届きにくい拠点で起きた。不正アクセスの検知と遮断は当日のうちに行われていたが、そこから「誰のどの情報が漏れた可能性があるか」を確定させるまでに長い時間がかかっている。特定に時間を要した理由として同社が挙げたのは、個人情報と無関係の業務データが1台のファイルサーバーに大量に混在していたことである。
パスポート情報は、氏名・生年月日・旅券番号がそろうため、なりすましや偽造書類の作成などに悪用されるおそれがある。対象となりうる顧客は、HISを名乗る連絡であっても、不審なメールや電話でパスポートの再提示や個人情報の入力を求められた場合は、同社の特設窓口など正規の連絡先に確認するのが安全である。
企業側にとっての教訓は、侵入を防ぐ・検知する対策に加えて、侵入された後に「影響範囲を素早く特定できる状態」を平時から作っておくことである。どのサーバーにどの種類の個人情報があるのかを把握し、不要になったデータを残さないこと、そして海外拠点やグループ会社の端末・サーバーも本社と同じ水準で監視し、不審な動きの記録を追えるようにしておくことが、被害の把握と顧客への説明を早めることにつながる。
同じ手口に、自社は備えられていますか？