ハウステンボスへのサイバー攻撃 — 顧客約149万人・従業員家族マイナンバー含む個人情報流出の可能性
| 項目 | 内容 |
|---|---|
| 発生日 | 2025年8月29日（検知日） |
| 対象組織・業界 | ハウステンボス（観光／テーマパーク運営） |
| 攻撃手法 | リモートアクセス機器経由で第三者がネットワークに侵入、サーバ・PCのファイルを暗号化 |
| 情報源 | Security NEXT（2025年12月15日） |
テーマパーク「ハウステンボス」を運営するハウステンボスは、2025年12月15日、サイバー攻撃により大規模な個人情報流出の可能性があることを公表しました。リモートアクセス機器を経由して第三者がネットワークに侵入し、サーバやパソコンのファイルを暗号化していたことが判明しています。
流出の可能性がある個人情報は以下の規模と種別です:
- 顧客約149万9300人: 氏名、住所、電話番号、生年月日、性別、メールアドレス
- 取引先関係者約9400人: 氏名、住所、電話番号、社名、メールアドレス、マイナンバー
- 役員・従業員・家族約3万7300人: 氏名、住所、電話番号、生年月日、性別、メールアドレス、マイナンバー、健康診断結果、障害関連情報
対象者数の規模（合計約154万人超）と、マイナンバー・健康情報・要配慮個人情報が含まれる点で、severity: critical に位置付けられる事案です。
- 2025年8月29日: システム侵害を検知
- 調査の過程で、リモートアクセス機器経由の第三者侵入とファイル暗号化を確認
- 2025年12月15日: 公表。外部協力のもと対応継続、二次被害は現時点で未確認
侵入経路は「リモートアクセス機器を経由」と明示されています。使用されていたリモートアクセス機器の具体的な製品・脆弱性、認証情報窃取の有無、ランサムウェアの種類は公表されていません。
考えられる原因（推測）: リモートアクセス機器（VPNアプライアンス・SSL-VPN・RDPゲートウェイ等）経由の侵害は、(a) 機器の既知脆弱性（未パッチ）の悪用、(b) 認証情報のリスト型攻撃、(c) 多要素認証未整備のアカウント、が典型的です。テーマパーク運営会社は本社・現地拠点・宿泊施設・チケット販売システムなど、複数拠点をリモートアクセスで統合する運用が一般的で、この経路が初期侵入点になりやすい構造です。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 検知から公表まで約3ヶ月半の意味
Section titled “1. 検知から公表まで約3ヶ月半の意味”検知（8/29）から公表（12/15）まで約3ヶ月半。この期間は、対象者154万人超・マイナンバー含む要配慮個人情報の被害範囲確定、対象者への通知準備、関係当局（個人情報保護委員会）への報告、税務・社会保険関連の対応を並行して進めた結果と推測されます。マイナンバー流出は、個人情報保護法・マイナンバー法の両方に基づく対応が必要で、通常の個人情報流出より通知・報告義務のハードルが高くなります。
2. 「リモートアクセス機器経由」という侵入経路の再発性
Section titled “2. 「リモートアクセス機器経由」という侵入経路の再発性”本件の侵入経路として明示された「リモートアクセス機器」は、近年のランサム被害で最も頻繁に観測される初期侵入点の一つです。同種の被害を防ぐためには、(a) リモートアクセス機器の脆弱性パッチの即時適用、(b) 全アカウントへの多要素認証必須化、(c) アクセス元IP・端末認証によるゼロトラスト化、(d) リモートアクセス経由の異常認証・異常データ転送の継続監視、が最低限の対策になります。
3. 情報種別の機微性
Section titled “3. 情報種別の機微性”本件で特に重い意味を持つのは、取引先関係者・役員・従業員・家族のマイナンバー流出、および従業員・家族の健康診断結果・障害関連情報です。マイナンバーは個人を一意に紐付ける識別子で、他の流出情報と組み合わせれば税務・社会保険関連の詐欺に利用され得ます。健康診断結果・障害関連情報は要配慮個人情報で、二次利用リスクが特に高いカテゴリです。
ヤグラの視点 — 説明責任のログ、マイナンバー・要配慮個人情報を扱う組織の宿命
Section titled “ヤグラの視点 — 説明責任のログ、マイナンバー・要配慮個人情報を扱う組織の宿命”マイナンバーおよび要配慮個人情報を扱う組織は、平時から「説明責任のログ」を残す設計が求められます。個人情報保護法・マイナンバー法・関連ガイドラインは、これらの情報の取扱いについて、アクセス制御・監査ログ・利用目的の限定を明確に求めており、インシデント発生時にはこれらのログをもとに「誰が・いつ・どのデータに・何をしたか」を追跡できることが期待されます。
154万人超・マイナンバー含む流出の場合、対象者への通知・当局への報告・監督官庁からの報告徴求命令など、複数の説明ルートが並行して動きます。ここで「ログが揃っていない」と、被害範囲の確定に何ヶ月もかかり、対象者への通知が遅れ、結果として説明責任のダメージが拡大します。侵害検知から公表まで3ヶ月半を要した本件の期間は、この「範囲確定にかかる時間」を反映している可能性があります。
複数サーバ・複数拠点・複数の情報カテゴリにまたがる侵害では、認証ログ・ファイルアクセスログ・データベース監査ログ・アウトバウンド通信ログを横断で相関しないと、影響範囲は確定しません。ヤグラの AI SOC は、100+の連携先ログを集約・相関し、規制対応で必要な「誰が・いつ・どのデータに触れたか」を短時間で説明可能な状態にする運用基盤を提供します。マイナンバー・要配慮個人情報を扱う組織にとって、これは事後対応の速度だけでなく、平時からの説明責任の設計の一部です。
同社は外部協力のもと対応を継続しており、対象者への個別通知、二次被害の監視、リモートアクセス経路の抜本的な見直しが続きます。マイナンバー流出については、個人情報保護委員会からの報告徴求命令・行政指導の可能性があり、対応の透明性が問われる局面が続きます。
| 日時 | 内容 |
|---|---|
| 2026-07-30 | 初稿公開（2025年12月15日公表・アーカイブ整理） |