タイの旅行会社で、ファイルサーバに第三者が入り、最大627人分の旅券情報に漏洩のおそれ

何が起きたか

この事故で流出した、または流出したおそれがある情報は、旅券情報（英字氏名、署名欄の名前、性別、生年月日、旅券番号、有効期限）とアレルギー情報。最大627名。2017年、2019〜2020年、2024〜2025年に同社でタイへ出発した客が対象。電話番号、住所、メールアドレス、クレジットカード情報は含まれないと説明です。その後の対応と影響は、検知後にサーバをネットワークから切り離した。2025年12月29日に日本の個人情報保護委員会とJIPDECに報告した。連絡先が分かった客へ順に連絡し、専用の電話とメールの窓口を設けた。海外拠点の対策と本社による監視を強めるとしたです。

原因になったのは「海外子会社のファイルサーバへの第三者の不正アクセス」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

会社の説明では、2025年12月11日にファイルサーバの不正アクセス検知ソフトが警告を出した。外部の専門家を交えた調査で、データの一部が引き出された可能性が分かった。2026年2月24日に最大627人分の旅券情報が含まれると分かり、全ファイルの確認に入った。侵入の経路は公表されていない。

原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。

事故が起きてから公表されるまで

1. 2025年12月11日検知ソフトが警告を出し、サーバをネットワークから切り離す
2. 2025年12月29日日本で取った個人情報が含まれると確認し、個人情報保護委員会に報告する
3. 2026年2月24日最大627人分の旅券情報が含まれると分かる
4. 2026年10月7日全ファイルの確認を終え、公表して客への連絡を始める

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

海外拠点のファイルサーバに、どの個人情報をどこに置いているかの台帳があれば、対象者の特定と公表をもっと早く進められた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 海外拠点や子会社のサーバに、旅券や顧客の情報が置かれているかを確かめる
2. 個人情報のファイルを置く場所を決め、会計記録など他のデータと分けて保存する
3. 海外拠点の検知ソフトの警告が、本社の担当者にも届く設定にする

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• 子会社ファイルサーバへの不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ（株式会社エイチ・アイ・エス）2026.10.07
• 「最大627人分パスポート情報が抜かれた」 HISが公表まで約10カ月もかかった意外な理由（＠IT）2026.10.10