Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-okinwa-tourエンタメ・旅行最終確認 2026-10-24 17:16

沖縄ツーリストへの不正アクセス（最大約73万人の個人情報流出）

公表日

沖縄ツーリスト株式会社（丸紅株式会社）
続報あり不正アクセス

沖縄ツーリストは、サイバー攻撃を受けた恐れがあり、「OTSレンタカー」などから最大約73万人分の氏名や運転免許証番号などの個人情報が外部に漏えいしたと発表しました。

対象者は？

沖縄ツーリストが運営する「OTSレンタカー」「OTS HOTEL」「OTS ACTIVITIES」などの対象サービスを利用した顧客（最大約73万人分）。漏えい項目には氏名、生年月日、住所、電話番号、メールアドレス、運転免許証番号などが含まれます。クレジットカード情報は当該システムで保管されておらず漏えいは確認されていません。

沖縄ツーリストから対象者へメールによる案内が行われています。また、公式発表のお知らせもご確認ください。

お客様の個人情報漏えいの可能性とサービスの一時停止についてのお知らせ（沖縄ツーリスト） ↗

いますぐできること

  • 沖縄ツーリストや関係者を名乗り、パスワードやクレジットカード情報を聞き出そうとする不審なメール、SMS、電話に注意し、記載されたURLを不用意に開かないようにしてください。
  • 他のWebサービスで同一のメールアドレスやパスワードを使い回している場合は、速やかにパスワードを変更してください。

何が起きたのか

2026年10月18日、社外から個人情報漏えいに関する問い合わせを受けた沖縄ツーリストは、初期調査で漏えいの可能性を確認し、同日中に該当サイトへの外部アクセスを遮断しました。10月20日にはレンタカーやホテル予約など5つのサービスで新規予約受付を停止し、10月23日には最大73万人分の個人情報が外部に漏えいしたことが判明したと公表しました。インターネット上の闇サイトでは同社の顧客情報とされるデータが販売されていました。

なぜ起きたのか・なぜ広がったのか

サイバー攻撃や不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けた恐れがあるとしていますが、侵入手口や脆弱性などの具体的な侵入原因については外部専門家の協力のもと調査中とされています。

いまの状況2026-10-23 時点続報待ち

警察や個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。が行われており、外部専門家とともに詳細な調査が進められています。一時停止前に申し込みが完了していた予約はそのまま利用可能です。影響を受ける恐れのある顧客へはメールで案内を行うとともに、同社を装った詐欺への注意喚起を行っています。

企業として考えたいこと

自社が顧客から預かっている運転免許証番号などの高機微な本人確認データは、万一Webサーバが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けた場合でも漏えいしないよう、適切に分離・保護されていますか？

技術的な要約

沖縄ツーリスト株式会社は、同社が運営するサービスにおいて顧客の個人情報が漏えいした可能性があることを2026年10月21日に公表した。10月18日に社外から情報漏えいに関する問い合わせを受けて初期調査を実施し、同日より該当サイトへの外部アクセスを遮断した。10月20日16時30分からは「OTSレンタカー」や「OTS HOTEL」など5つのサービスで新規予約受付を一時停止した。その後の調査により、10月23日には最大73万人分の氏名、生年月日、電話番号、運転免許証番号などが外部に漏えいしたことが判明したと発表した。同社は外部専門家の協力を得て調査を進めるとともに、個人情報保護委員会や警察への報告等の対応を行っている。

侵入
—
被害発生
—
検知
2026-10-18
第1報公表
2026-10-21
最新続報
2026-10-23
侵入 → 検知
—
侵入日が非公表
検知 → 公表
3日
データ（上限）
73万人
確定 —
波及先
—

攻撃の分類

侵入口
不明
侵入手口は公表されていない（サイバー攻撃を受けた恐れがあるとして調査中）。
脆弱性
判明している脆弱性はありません
攻撃者
特定・主張なし
ATT&CK
T1530 Data from Information RepositoriesT1005 Data from Local System

影響

業務停止
あり 2026年10月20日16時30分より、「OTSレンタカー」「OTS HOTEL」「OTS ACTIVITIES」「デジタルDMOプラットフォーム」「OTS Club」の5サービスで新規予約受付を一時停止（停止前完了分の予約は利用可能）。
データ
確定上限 730,000確定 —人
氏名生年月日性別住所電話メール本人確認書類その他
氏名、生年月日、性別、住所、電話番号、メールアドレス、フェイスブックID、運転免許証番号などが含まれる。クレジットカード情報は当該システムで保管されておらず漏えいは確認されていない。
波及先
—
金銭影響
—
サプライチェーン
—

時系列

  1. 2026-05
    サイファーマがダークウェブ上でOTS関連情報を保有・販売をうたう投稿を確認したと報告8
  2. 2026-06
    丸紅が沖縄ツーリストの株式80%を取得し傘下に収める1213
  3. 2026-10-18
    社外から個人情報漏えいに関する問い合わせを受け、初期調査で漏えいの可能性を確認1279
  4. 2026-10-18
    安全確保のため、予約サイトなど該当サイトへの外部からのアクセスを遮断124569111214
  5. 2026-10-20 16:30
    OTSレンタカー、OTS HOTELなど5サービスの新規予約受付を一時停止1291114
  6. 2026-10-21
    沖縄ツーリストが顧客個人情報の漏えいの可能性とサービス一時停止を公式発表125691011121417
  7. 2026-10-22
    NHKやトレンドマイクロの取材・調査により、闇サイトで沖縄ツーリストの顧客情報とされるデータが販売されていることが報じられる4815
  8. 2026-10-22
    沖縄ツーリストが取材に対し、顧客情報に関するものとみられる外部掲載を把握していると回答48
  9. 2026-10-23
    沖縄ツーリストが最大73万人分の顧客個人情報が外部に漏えいしたことが判明したと発表3101316

技術解説

発覚からサービス停止・公表に至る初動対応の推移 事実

沖縄ツーリスト株式会社は、2026年10月18日に社外から個人情報の漏えいに関する問い合わせを受けて初期調査を実施し、情報漏えいが発生した可能性があることを確認した。同社は安全確保のため、同日中に該当する予約サイト等への外部アクセスを遮断した。その後、10月20日16時30分から「OTSレンタカー」「OTS HOTEL」「OTS ACTIVITIES」「デジタルDMOプラットフォーム」「OTS Club」の5サービスにおいて新規予約受付を一時停止した（停止時刻までに申し込み完了済みの予約は利用可能）。10月21日に情報漏えいの可能性とサービス一時停止を公表し、10月23日には最大73万人分の顧客個人情報が外部に漏えいしたことが判明したと発表した。漏えいした情報には、氏名、生年月日、性別、住所、電話番号、メールアドレス、フェイスブックID、運転免許証番号などが含まれている。なお、クレジットカード情報は当該システムで保管されておらず漏えいは確認されていない。

外部指摘による発覚と外部脅威インテリジェンスの課題 解釈

本事案は自社内のセキュリティ監視ではなく、社外からの問い合わせを契機として不正アクセスと情報漏えいの可能性が把握された。報道等では、闇サイト上で「OTSから盗んだ」とする約60万件の個人情報や運転免許証画像が販売されていたことや、脅威分析企業が数か月前に関連情報の流通投稿を確認していたことが指摘されている。自組織の境界防御や内部監視だけではデータ持ち出しに気付けないリスクが浮き彫りとなった。一方で、社外からの通報を受けて即日外部アクセスを遮断し、2日後には新規予約受付を停止して公表に至るなど、外部指摘を軽視せず速やかに初動判断を下した点は被害拡大を食い止める上で有効に機能したと考えられる。自社資産の外部流出を早期に検知するためのインテリジェンス監視の導入が問われる事例といえる。

レンタカー特有の高機微データ管理と非保持化の評価 解釈

流出対象となったデータには、一般的な連絡先情報だけでなく、レンタカー事業の本人確認で取得された運転免許証番号や身分証画像が含まれていた。クレジットカード情報がシステム内に保管されておらず非保持化が徹底されていたため、直接的な不正決済リスクは回避されたとみられる。しかし運転免許証情報は本人確認書類として悪用される恐れがあり、なりすましやフィッシング詐欺に利用された場合の顧客被害は極めて大きい。予約受付や本人確認で取得した身分証明書データを一般のWeb・予約データベースと同一環境に保持し続けるのではなく、業務上の利用目的終了後の速やかなデータ削除や、暗号化した上で別系統の専用ストレージへ論理・物理分離する設計の重要性を示している。

対応

封じ込め
2026年10月18日より該当サイトへの外部からのアクセスを遮断。10月20日16時30分より「OTSレンタカー」など5サービスの新規予約受付を一時停止した。
公表の仕方
2026年10月21日に情報漏えいの可能性とサービス一時停止を公表。10月23日に最大73万人分の個人情報漏えいが判明したことを発表した。漏えいの可能性がある利用者へメールで案内を行うとともに、同社関係者を装った連絡への注意喚起を実施している。
当局対応
  • 個人情報保護委員会
  • 警察

教訓と対策

教訓具体的な対策
外部からの情報漏えい通報を迅速にトリアージし初動につなげる体制構築セキュリティ窓口（security.txtや問い合わせ窓口）を明文化し、外部からの情報流出通報を受領した際に即日でシステム部門・経営層へエスカレーションして外部遮断やログ保全を実施する標準対応手順（SOP）を整備する。
本人確認書類（運転免許証番号・画像）の厳格な分離保管と暗号化レンタカーや宿泊予約で収集する本人確認書類の画像や番号データは、公開Webサーバと同一のDBに保存せず、暗号化を施したセキュアな別ストレージに隔離保管し、閲覧権限を制限した上でアクセスログを常時監査する。
クレジットカード情報の非保持化アーキテクチャの徹底予約サイトの決済処理において、自社サーバにカード番号等を通過・保存・処理させないトークン決済方式や外部決済代行画面へのリダイレクト方式を維持し、万一のWeb侵入時にも決済情報が漏えいしない構成を担保する。
外部脅威インテリジェンス（CTI）による自社関連データの流通検知ダークウェブや地下フォーラムで自社ドメインや顧客情報、認証情報が取引・公開されていないかを継続的に監視する脅威インテリジェンスサービスを導入し、自社ネットワーク外での兆候を検知するアラート運用を設ける。

自組織などでの確認項目

  1. 自社のサービスやWebサイトにおいて、外部から情報漏えいや脆弱性の指摘・問い合わせを受けた際に、迷わず遮断や調査に動ける連絡ルートと判断基準が定義されているか。
  2. 顧客の運転免許証やパスポートなどの本人確認書類を取り扱う際、一般の顧客プロフィール情報と分離して暗号化保管し、不要になったデータを定期削除する仕組みがあるか。
  3. サイバー攻撃や情報漏えいの疑いが生じた際、既存の予約・決済処理を維持しながら新規受付のみを安全に緊急停止できるシステム制御手順が準備されているか。

未解明点

  • 攻撃者がどの経路から侵入したのか（Webアプリケーション脆弱性、公開サーバの設定不備、認証情報の侵害など具体的な侵入手口）。
  • 一部セキュリティ企業が5月時点でダークウェブ上の販売投稿を確認していたとされる情報と、10月に判明した最大73万人分の流出との関連性および実際の初回侵入時期。

出典

  1. 1
  2. 2
  3. 3
  4. 4
  5. 5
  6. 6
  7. 7
  8. 8
  9. 9
  10. 10
  11. 11
  12. 12
  13. 13
  14. 14
  15. 15
  16. 16
  17. 17