旅行大手エイチ・アイ・エス、タイ現地法人のファイルサーバに不正アクセス — 最大627人分のパスポート情報が流出した可能性
| 項目 | 内容 |
|---|---|
| 発生日 | 検知: 2025年12月11日（ファイルサーバの不正アクセス検知ソフトがアラートを発出） |
| 公表日 | 2026年10月7日 |
| 対象組織・業界 | 株式会社エイチ・アイ・エス（HIS／旅行業）のタイ現地法人 H.I.S. TOURS CO., LTD. |
| 影響件数 | 最大627人分（日本で取得した個人情報） |
| 漏えいの可能性がある情報 | パスポート記載のアルファベット氏名、署名、性別、生年月日、旅券番号、有効期限、アレルギー情報。電話番号・住所・メールアドレス・クレジットカード情報は含まれていないと公表されています |
| 攻撃手法 | 第三者によるネットワークへの不正アクセス。侵入経路は公表されていません |
| 情報源 | エイチ・アイ・エス「子会社ファイルサーバへの不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ」（2026年10月7日・his.co.jp）、ITmedia NEWS（2026年10月7日）、徳島新聞（共同通信配信・2026年10月7日） |
旅行大手の株式会社エイチ・アイ・エス（HIS）は2026年10月7日、タイ現地法人のH.I.S. TOURS CO., LTD. がネットワークへの第三者による不正アクセスを受け、ファイルサーバに保存されていた個人情報が流出した可能性があると公表しました。
対象は、2017年、2019〜2020年、2024〜2025年にHISでタイへ出発した顧客の一部で、日本で取得した最大627人分です。漏えいした可能性があるのは、パスポートに記載されたアルファベット氏名、署名、性別、生年月日、旅券番号、有効期限と、アレルギー情報です。電話番号、住所、メールアドレス、クレジットカード情報は含まれていないとしています。
検知から公表まで約10か月を要した理由について、同社は、サーバ内に会計記録など個人情報と無関係なデータが大量にあり、ファイル形式や保存状態もさまざまだったため、データを1件ずつ確認する必要があったと説明しています。個人情報保護委員会とJIPDECには報告済みです。
HISは2022年2月にも、ベトナム現地法人のファイルサーバへの不正アクセスにより、パスポート情報を含む最大1,846人分の個人情報が流出した可能性があると公表しています。
- 2025年12月11日: タイ現地法人のファイルサーバにインストールされている不正アクセス検知ソフトがアラートを発出。第三者による不正アクセスの可能性が高いと判断し、該当サーバをネットワークから切断し、外部からのアクセスを制限
- 2025年12月以降: 外部の専門家を含めた調査を実施。不審なアクセスにより、ファイルサーバのデータの一部が不正に引き出された可能性があると判明
- 2025年12月29日: サーバ内に日本で取得した個人情報の一部が含まれていることを確認
- 2026年2月24日: 調査の結果、サーバ内に最大627人分のパスポート情報などが含まれていたことが判明
- 2026年10月7日: エイチ・アイ・エスが公表
1. 海外拠点のファイルサーバに置く個人情報を、保存場所と保存期間で絞る
Section titled “1. 海外拠点のファイルサーバに置く個人情報を、保存場所と保存期間で絞る”今回の対象には、2017年に出発した顧客の情報も含まれています。旅行手配のために受け取ったパスポート情報が、手配の完了後も現地法人のファイルサーバに残っていたと考えられます。
パスポート情報のように本人確認に使える情報は、保存してよい場所を決め、旅行の終了から一定期間が過ぎたら消す運用にしておくことが有効です。サーバに残っている件数そのものが減るため、侵入を許した場合でも流出し得る範囲が小さくなります。
2. 「どのサーバに誰の情報があるか」を平常時から台帳にしておく
Section titled “2. 「どのサーバに誰の情報があるか」を平常時から台帳にしておく”同社は、会計記録などのデータと混在していたため、対象者の特定に時間がかかったと説明しています。検知から対象者の確定まで約2か月半、公表までは約10か月かかりました。
個人情報を保存するフォルダやサーバを、取得した国・顧客区分・保存期間とあわせて台帳にしておけば、侵害が起きたときに調べる範囲をすぐに絞れます。影響を受けた顧客への連絡と、パスポートの再発行などの注意喚起を早く出せることが、二次被害の抑止につながります。
ヤグラの視点 — 海外拠点のサーバも、本社と同じ監視の内側に置く
Section titled “ヤグラの視点 — 海外拠点のサーバも、本社と同じ監視の内側に置く”今回、異常に気づけたのはファイルサーバに入っていた不正アクセス検知ソフトのアラートでした。一方で、侵入経路や、データが引き出された時期は公表されていません。ファイルサーバからデータが持ち出される前には、通常、どこかでの認証の成功、端末間の移動、普段と違う量のファイル読み出しといった段階があります。どの段階で止められたかを後から確かめるには、サーバ単体のアラートだけでなく、ネットワーク機器・認証基盤・ファイルアクセスのログを並べて見る必要があります。
海外の現地法人は、本社と異なるIT担当者や委託先がシステムを運用していることが多く、ログの保管場所や確認の頻度もばらばらになりがちと考えられます。打ち手は、現地法人のVPN機器・Active Directory・ファイルサーバのログを本社側の1か所に集約し、「普段使われない時間帯の認証成功」や「1アカウントによる大量のファイル読み出し」を本社と同じ基準で監視することです。侵入から横展開の開始までは平均48分という報告もあり、これを拠点ごとの人手で見切ることは困難です。AIによる24時間365日の横断ログ監視で、検知から初動までを数分の単位に縮める体制が支えになります（→ ヤグラ AI SOC）。
- 侵入経路と、データが引き出された時期の公表
- 流出した情報の悪用（なりすましなど）の有無
- タイ現地法人を含む海外拠点の再発防止策の内容
新たな情報が判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-10-07 | 第一報を公開 |
