沖縄ツーリスト株式会社は2026年10月21日、同社が運営するサービスで顧客の個人情報が漏えいした可能性を確認したと発表した。10月20日16時30分から、「OTSレンタカー」「OTS HOTEL」など個人情報を扱う5つのサービスの新規予約受付を一時停止している。漏えいの対象となる情報や件数、原因は調査中である。
社外からの指摘を受けて調査
同社の発表によると、社外から個人情報の漏えいに関する問い合わせを受けて初期調査をしたところ、漏えいが発生した可能性があることを確認した。現在は外部の専門家の協力を得て、対象となる情報、影響の範囲、原因などを詳しく調べている。
安全確保のため、10月18日から当該サイトへの外部からのアクセスを遮断しており、個人情報保護委員会への報告を含む必要な対応を進めているという。どのサイトのどの情報が対象かは、発表では示されていない。
新規予約を止めたサービス
10月20日16時30分から新規予約受付を一時停止しているのは、次の5つのサービスである。
- OTSレンタカー
- OTS HOTEL
- OTS ACTIVITIES
- デジタルDMOプラットフォーム
- OTS Club
同時刻までに申し込みが完了している予約は、予約内容どおりに利用できる。これら以外の同社サービスは継続している。同社は、新たな事実が分かり次第、公式サイトで知らせるとしている。
社外からの指摘で漏えいの可能性を知るとき
今回、同社が漏えいの可能性に気づいたきっかけは、社外からの問い合わせだった。自社の監視ではなく、外部からの連絡で異変を知る場合、仮に侵入から発覚までに時間が空けば、その間に情報が持ち出される可能性もある。
観光やレンタカーの予約サイトには、旅行の日程や同行者、連絡先といった情報が集まる。自社のサイトや予約システムで、不審なアクセスやデータの大量の持ち出しを自ら見つけられる仕組みは、被害の拡大を抑えるうえで重要になる。外部から指摘を受けたときに、どの部署が受け付け、どの順で事実確認とサービス停止の判断をするかを決めておくことも、発覚直後の対応を早めるうえで欠かせない。
同じ手口に、自社は備えられていますか？