tripla インドネシア子会社への不正アクセス（宿泊予約情報の一部が漏えい）
公表日
tripla株式会社のインドネシアの子会社が運用するサーバが外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、宿泊予約に関する個人情報の一部が漏えいしました。漏えいした件数は、まだ発表されていません。
対象者は？
インドネシアの子会社PT. tripla BookandLink Indonesiaが管理していた宿泊予約に関する情報が対象です。漏えいが確認されたのは、宿泊者氏名、宿泊日、予約ID、宿泊施設名、電話番号、メールアドレス、住所です。クレジットカード情報とログイン情報（メールアドレスとパスワード）は対象外で、流出は確認されていないとされています。
同社は、顧客である全ての宿泊施設に通知と注意喚起を実施済みと説明しています。宿泊者個人への通知方法や確認窓口については、まだ発表されていません。最新の情報は同社のお知らせで確認できます。
何が起きたのか
2025年12月6日（土）、tripla株式会社の子会社PT. tripla BookandLink Indonesiaのサーバへの外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が見つかりました。子会社はすぐにサーバをネットワークから切り離しました。調べたところ、予約情報を管理するシステムに入られた形跡があり、個人情報の一部が外部に漏れたことが分かりました。同社は12月8日に第1報、12月12日に第2報を発表しました。第2報では、一部の予約情報が外部から見られる状態になっていたと説明しています。
なぜ起きたのか・なぜ広がったのか
侵入された経路は、まだ発表されていません。第2報では、外部から見られる状態になっていた画面の削除と、不正に使われたアカウントの無効化を行ったと説明していますが、それらと侵入経路との関係は公表されていません。
いまの状況2025-12-12 時点続報待ち
2025年12月12日時点で、同社は必要な封じ込めの対策を実施済みで、その後の新たな漏えいは確認されていないとしています。顧客の全ての宿泊施設への通知と注意喚起、日本とインドネシアの関係法令に基づく法的対応も実施済みと説明しています。日本本社、台湾、シンガポール、タイなどの他の法人には、本件による影響はないと確認されたとのことです。業績への影響は調査中で、漏えいした件数と侵入の経路は、まだ発表されていません。
企業として考えたいこと
自社の海外子会社が運用するサーバや、外部から見られる画面は、本社が一覧で把握し、異常があればすぐ知らせが届く状態になっているでしょうか。
技術的な要約
tripla株式会社（東証グロース・5136）の連結子会社PT. tripla BookandLink Indonesiaが運用するサーバへの外部からの不正アクセスが、2025年12月6日（土）に発覚した。調査で予約情報を管理するシステムへの不正アクセスの形跡が確認され、宿泊予約に関する個人情報の一部が外部へ漏えいした。漏えいが確認された情報は宿泊者氏名、宿泊日、予約ID、宿泊施設名、電話番号、メールアドレス、住所で、クレジットカード情報とログイン情報は対象外とされる。同社は12月8日に第1報、12月12日に第2報を公表し、ネットワークからの切り離しや不正利用されたアカウントの無効化など必要な封じ込め措置は実施済みで、以降の新たな漏えいは確認されていないとしている。漏えい件数と侵入経路は公表されておらず、業績への影響は精査中とされる。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表では「外部からの不正アクセスにより一部予約情報が外部から閲覧可能な状態になっていた」とされる。侵入経路の詳細は示されていない。対応に「不正利用されたアカウントの無効化」が含まれるが、経路との関係は公表されていない。
- 脆弱性
- CVE 非公表不明脆弱性に関する公表はない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サーバのネットワークからの切り離しが行われたが、業務停止の有無や期間は公表されていない。
- データ
- 確定上限 —確定 —氏名電話メール住所その他漏えいが確認されたのは宿泊者氏名、宿泊日、予約ID、宿泊施設名、電話番号、メールアドレス、住所（「その他」は宿泊日・予約ID・宿泊施設名）。クレジットカード情報およびログイン情報（メールアドレス＋パスワード）は対象外で流出は確認されていない。件数は公表されていない。
- 波及先
- —
- PT. tripla BookandLink Indonesiaの顧客である全ての宿泊施設に通知・注意喚起を実施済み
- tripla株式会社（日本）と旭海國際科技股份有限公司（台湾）には同様の被害なし
- tripla Singapore Pte. Ltd.、tripla (Thailand) Co., Ltd.を含む他の子会社にも本件に起因する影響なし（第2報）
- 金銭影響
- 業績への影響は精査中で、開示が必要な事象が生じた場合は速やかに公表するとしている。金額は公表されていない。
- サプライチェーン
- 被害は連結子会社のサーバで、日本・台湾・シンガポール・タイ等の他法人への影響は確認されていない。顧客の宿泊施設には通知・注意喚起が実施された。
時系列
- 2025-12-06
- 2025-12-06
- 2025-12-08
- 2025-12-08クレジットカード情報とログイン情報は流出した個人情報に含まれていないことを確認済みと公表。原因特定と被害拡大防止策は実施済みで、これ以上被害が拡大するおそれはないと判断。2
- 2025-12-08業績への影響は精査中、開示が必要な事象が生じれば速やかに公表するとした。今回を「第一報」と位置づけ、変化があれば改めて報告するとした。2
- 2025-12-10第1報についてセキュリティ対策Labが報道。2
- 2025-12-12
- 2025-12-12第2報で、サーバの切り離し、外部から閲覧できる状態だった画面の削除、不正利用されたアカウントの無効化を実施済みと説明。新たな漏えいは確認されていない。1
- 2025-12-12第2報で、顧客の全宿泊施設への通知・注意喚起を実施済み、日本およびインドネシアの関係法令に基づく必要な法的対応は外部専門家と協議のうえ実施済みと説明。シンガポール・タイ等の他子会社にも影響なしと確認。1
- 2025-12-16第2報についてセキュリティ対策Labが報道。1
- 2025-12-22ScanNetSecurityが第1報の内容を報道。3
- 2025-12-26ScanNetSecurityが第2報の内容を報道。4
技術解説
公表された事案の経過 事実
tripla株式会社は2025年12月8日に第1報、12月12日に第2報を公表した。対象は連結子会社PT. tripla BookandLink Indonesiaが運用するサーバで、発覚日は2025年12月6日（土）である。発覚後、子会社側は直ちにネットワークからサーバーを切り離すなどの初動対応を実施した。その後の調査で、予約情報を管理するシステムへの不正アクセスの形跡が確認され、個人情報の一部の漏えいが判明した。第2報では、外部からの不正アクセスにより一部予約情報が外部から閲覧可能な状態になっていたと説明されている。同社は第1報を「第一報」と位置づけ、状況に変化があれば改めて報告するとしている。
漏えいした情報と対象外の情報 事実
漏えいが確認されているのは、宿泊者氏名、宿泊日、予約ID、宿泊施設名、電話番号、メールアドレス、住所である。公表では主に宿泊予約に関する情報とされている。一方、クレジットカード情報およびログイン情報（メールアドレスとパスワード）は今回の不正アクセスの対象外で、流出は確認されていない。第1報では、これらが流出した個人情報に含まれていないことを確認済みとされた。漏えいした件数は、今回参照した公表内容には示されていない。そのため、件数の上限も確定値も、ここからは読み取れない。
封じ込めと関係先への対応 事実
第2報で示された対応は、当該サーバのネットワークからの切り離し、外部から閲覧できる状態だった画面の削除、不正利用されたアカウントの無効化である。必要な封じ込め措置は実施済みで、それ以降の新たな情報漏えいは確認されていないとされる。第1報では、原因の特定は完了し、これ以上被害が拡大するおそれはないと判断していると報じられた。顧客である全ての宿泊施設には通知と注意喚起を実施済みで、日本およびインドネシアの関係法令について、外部専門家と協議のうえ必要な法的対応は実施済みと説明している。
グループ内への影響と業績 事実
第1報の時点で、tripla株式会社（日本法人）と旭海國際科技股份有限公司（台湾法人）には同様の被害がないことが確認されていた。第1報の時点では、グループ内の他の子会社やサービスも同じ観点で調査中とされていた。第2報では、tripla Singapore Pte. Ltd.（シンガポール法人）、tripla (Thailand) Co., Ltd.（タイ法人）を含む他の子会社についても、本件に起因する影響がないことを確認したとしている。業績への影響は精査中で、開示が必要な事象が生じた場合は速やかに公表するとされ、金額は示されていない。
公表内容の読み取りと限界 解釈
第1報では原因の特定は完了したとされる。一方で、第2報までの内容には、侵入経路、侵入日、漏えい件数が示されていない。対応に「不正利用されたアカウントの無効化」が含まれることから、アカウントの扱いが論点の一つだった可能性はあるが、侵入経路との関係は公表されておらず、断定はできない。また「外部から閲覧できる状態だった画面」の削除という表現からは、外部に公開された画面の管理も論点だったと考えられるが、これも推測にとどまる。続報でこれらがどこまで示されるかが、今後の評価の分かれ目になる。
対応
- 封じ込め
- 発覚直後にサーバをネットワークから切り離し、外部から閲覧できる状態だった画面の削除、不正利用されたアカウントの無効化を実施。必要な封じ込め措置は実施済みで、以降の新たな漏えいは確認されていないとされる。
- 公表の仕方
- 2025年12月8日に第1報、12月12日に第2報を公表。顧客の全宿泊施設には通知・注意喚起を実施済み。
- 当局対応
- 日本およびインドネシアの関係法令について、外部専門家と協議のうえ必要と判断される法的対応は実施済みと説明（当局名・届出先は公表されていない）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 海外子会社のサーバも、本社と同じ水準で監視・把握する必要がある。今回は子会社運用のサーバで発覚した。 | 海外拠点を含む全サーバ・公開画面の資産台帳を作り、ログ集約（SIEM等）の対象に入れる。認証失敗や異常な大量参照のアラートを本社SOCにも届くよう設定する。 |
| アカウントが不正利用された場合に備え、権限と利用状況を絞っておくことが被害の限定につながる。 | 管理者・運用アカウントに多要素認証を必須とし、最小権限に絞る。使われていないアカウントを定期棚卸しして無効化し、アカウント無効化の手順を即時実行できる形でRunbook化する。 |
| 外部から閲覧可能な画面が残っていると、情報が見える状態になりうる。 | 外部公開している管理画面・予約参照画面を定期的に外部から走査して洗い出す。認証必須とIP制限を標準にし、不要な画面は削除する。公開前のレビューをリリース手順に組み込む。 |
| 子会社での事案が起きたときに、他拠点への影響有無を早く確認できることが重要である。 | グループ共通のインシデント対応手順に、同一構成・同一アカウント体系の他拠点を調べる項目（IOC照合、認証ログ横断検索）を入れる。拠点間のネットワークと認証基盤は分離しておく。 |
| 顧客（宿泊施設）への通知と、複数国の法令対応を並行して進められる体制が要る。 | 通知先リスト、通知文のひな形、国別の届出要件を平時に整備する。外部専門家との連絡先を含め、初動から公表までの時系列の演習を年1回行う。 |
自組織などでの確認項目
- 自社の海外子会社や委託先が運用するサーバのうち、本社のログ監視の対象外になっているものはないか。
- 外部から閲覧できる画面や管理画面の一覧を、最近いつ外部から確認したか。認証なしで見られるものはないか。
- 不正利用が疑われるアカウントを、発見から何分で無効化できるか。その手順と担当者は決まっているか。
未解明点
- 不正アクセスの侵入経路と、侵入が行われた日はいつか。
- 漏えいした個人情報の件数と、影響を受けた宿泊者・宿泊施設の数はどれだけか。
- 「不正利用されたアカウント」はどのようなアカウントで、どう入手された可能性があるのか。
- 業績への影響の有無と、今後の再発防止策の内容はどうなるのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-16報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-10報道本文確認済
- 3ScanNetSecurity2025-12-22報道本文確認済
- 4ScanNetSecurity2025-12-26報道本文確認済
- 5tripla株式会社公式本文確認済