エイチ・アイ・エスのタイ現地法人ファイルサーバへの不正アクセス（パスポート情報最大627名分の流出可能性）
公表日
旅行会社エイチ・アイ・エス（HIS）のタイの現地法人のサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、最大627人分のパスポート情報とアレルギーの情報が引き出されたおそれがあります。
対象者は？
2017年、2019〜2020年、2024〜2025年にHISの団体旅行でタイへ出発した方と、2024年11月に日本を出発してバンコクのプルマンホテルに泊まり、チェンマイのコムローイ祭りに参加した個人旅行の方です。最大627人で、流出が確定した人数は示されていません。パスポートの情報（ローマ字の氏名、署名欄の名前、性別、生年月日、旅券番号、有効期限）とアレルギーの情報が対象です。電話番号・住所・メールアドレス・クレジットカード情報は含まれません。
連絡先が分かった方には、会社から順次個別に連絡するとされています。連絡先が分からない方のために公式のお知らせが出ていて、お客様向けの特設窓口も設けられています。
いますぐできること
- HISや旅行会社を名乗るメール・電話で、パスポートの情報や支払いを求められても応じない。気になるときは公式サイトの窓口に自分から問い合わせる
- パスポートの情報を使った身に覚えのない申込みや契約の連絡がないか気をつける
何が起きたのか
2025年12月11日、HISのタイの現地法人のファイルサーバーで、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を見張るソフトが警報を出しました。会社はすぐにサーバーをネットワークから切り離しました。外部の専門家が調べたところ、2026年2月24日に、サーバーの中に日本のお客様のパスポートの情報などが含まれていることが分かりました。データの一部が引き出された可能性があるとして、すべてのファイルを確認し終えた10月7日に公表しました。
なぜ起きたのか・なぜ広がったのか
どこから、どのように入られたかは、まだ公表されていません。公表まで約10か月かかった理由について会社は、サーバーの中に会計の記録など個人情報と関係のないデータが大量に混ざっていて、手作業での確認に時間がかかったためと説明しています。対象には、2017年に出発した旅行のお客様の情報も含まれていました。
いまの状況2026-10-07 時点
個人情報保護委員会などには、2025年12月29日に報告しています。再発防止として、海外の拠点のセキュリティを強め、本社がシステムを見張る体制を厳しくするとしています。侵入の手口や、実際に引き出された情報の範囲は発表されていません。
企業として考えたいこと
海外の拠点や取引先に渡したお客様の情報は、どこに、いつまで保存されているでしょうか。本社から見えない場所に古い情報が残っていないかを確認しましょう。
技術的な要約
エイチ・アイ・エスのタイ法人H.I.S. TOURS CO., LTD.のファイルサーバが第三者による不正アクセスを受け、2025年12月11日に検知ソフトのアラートでサーバをネットワークから切断した。外部専門家の調査で2026年2月24日に最大627名分のパスポート情報（英字氏名、署名欄の名前、性別、生年月日、旅券番号、有効期限）とアレルギー情報が含まれると判明し、データの一部が不正に引き出された可能性があるとして、全ファイルの確認完了を受けて2026年10月7日に公表した。個人情報保護委員会とJIPDECには2025年12月29日に報告済みで、検知から公表まで約10か月を要した。
攻撃の分類
- 侵入口
- 不明公式発表は『第三者による不正アクセス』とのみ記載し、侵入経路・攻撃手法（ランサムウェアの有無を含む）は不明。ファイルサーバにインストールされていた不正アクセス検知ソフトのアラートで発覚した。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 該当ファイルサーバをネットワークから切断し外部アクセスを制限。旅行業務の停止は公表されていない
- データ
- おそれ上限 627確定 —人パスポート氏名性別生年月日健康情報その他（署名欄の名前）最大627名。パスポート情報（アルファベット氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限）とアレルギー情報。『データの一部が不正に引き出された可能性がある』との表現で流出は確定していない。電話番号・住所・メールアドレス・クレジットカード情報は含まれない。対象は2017年、2019〜2020年、2024〜2025年にHISを利用してタイへ出発した団体旅行客と、2024年11月に日本を出発しバンコクのプルマンホテルに宿泊しチェンマイのコムローイ祭りに参加した個人旅行客（10/7 19:30追記）。アレルギー情報は健康情報として計上
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 被害はHISグループの海外現地法人。日本で取得した顧客の個人情報が現地法人のファイルサーバに保管されていた
時系列
- 2025-12-11
- 2025-12-29
- 2026-02-24
- 2026-10-07
- 2026-10-07 19:30対象者の範囲（個人旅行・団体旅行の内訳）を追記1
技術解説
検知から公表まで約10か月：理由と評価 解釈
HISは公表が遅れた理由を、サーバ内に会計記録など個人情報と無関係のデータが大量に混在し、形式や保存状態もさまざまで機械的な検索ができず、手作業を含む精査・照合に時間を要したためと説明している。個人情報保護委員会への報告は検知から18日後の2025年12月29日に行われており、パスポート情報の存在は2026年2月24日に判明していたが、本人向けの公表は全ファイル確認後の10月7日まで待たれた。パスポート情報を含むと判明した段階で一次的な注意喚起を行う選択肢もあり得た（解釈）。
現地法人に残っていた古い個人情報 解釈
対象には2017年に出発した団体旅行客が含まれ、約8年前のパスポート情報が現地法人のファイルサーバに残っていた。旅行業では手配のため現地法人・ホテル・現地手配会社へ旅券情報を共有するが、共有先での保存期間や保存形式を本社が把握・統制できていなかったことがうかがえる。再発防止策として、HISは海外拠点のセキュリティ強化と本社によるシステムモニタリング体制の厳格化を挙げている。
対応
- 封じ込め
- 2025/12/11のアラート受信後、該当ファイルサーバをネットワークから切断し外部からのアクセスを制限。外部専門家による調査を実施。再発防止として海外拠点のセキュリティ強化と本社によるシステムモニタリング体制の厳格化。
- 公表の仕方
- 2026/10/7にホームページで公表（同日19:30に対象範囲を追記）。連絡先が特定できた対象者へ順次個別連絡、特定困難な対象者向けに公表で注意喚起。お客様特設窓口を設置。
- 当局対応
- 個人情報保護委員会：2025-12-29に報告
- JIPDEC（認定個人情報保護団体）：2025-12-29に報告
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 現地法人のファイルサーバに、旅券情報が業務終了後も長期間（2017年分から）残っていた | 旅券情報など高機微データの保存期間をツアー終了後○日などと規程化し、海外拠点を含むファイルサーバを定期的にDLP/PIIスキャンして期限超過ファイルを自動削除・隔離する |
| 会計記録などと個人情報が混在し、漏えい範囲の特定に約10か月かかった | 個人情報を含むファイルは専用の保管場所（アクセス制御・アクセスログ付き）に分離し、平時からデータマップ（どこに誰の何があるか）を維持する。インシデント時は高機微データ判明時点で段階的に本人通知・公表する判断基準を事前に定める |
| 海外拠点のセキュリティ水準・監視が本社の統制外にあった | 海外拠点のサーバにも本社と同一のEDR/ログ収集を導入し、本社SOCで一元監視する。外部公開サービスやリモートアクセス経路の棚卸しをグループ共通で年次実施する |
自組織などでの確認項目
- 自社の海外拠点や委託先が、顧客の本人確認書類・旅券情報などを『業務終了後いつまで、どこに、どの形式で』保持しているか、本社は即答できるか。
- 漏えい範囲の特定に時間がかかる場合、どの時点で（どの情報が含まれると判明した時点で）本人への通知・公表に踏み切るべきか。
未解明点
- 侵入経路と攻撃手法（ランサムウェアの有無、検知ソフトのアラート内容）
- 実際に引き出されたデータの範囲と、627名のうち流出が確定した件数
- 日本で取得したパスポート情報が現地法人のファイルサーバに保存されていた経緯と保存期間
出典
- 1エイチ・アイ・エス2026-10-07公式本文確認済
- 2トラベルボイス2026-10-07報道本文確認済
- 3innovaTopia2026-10-08報道本文確認済