株式会社トラベルジップへの不正アクセス（自治体観光4サイトで個人情報最大7,050件流出）
公表日
自治体観光サイトの受託運用を行う株式会社トラベルジップのサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、東京都台東区など4つの自治体観光サイトから計7,050件の個人情報が流出しました。
対象者は？
「TAITOおでかけナビ」「台東区ドラマ館サイト」「飛騨高山 旅ガイド」「あたみニュース」で問い合わせや各種申請・申し込みを行った方（クレジットカード情報や金融機関口座情報は含まれていません）
各自治体・観光協会または株式会社トラベルジップの公式サイト上の公表内容をご確認ください。
いますぐできること
- 自治体や観光サイトの運用会社を装った不審なメール（個人情報の入力を求める連絡など）に注意し、身に覚えのないメール内のURLや添付ファイルは開かないでください。
- 対象サイトの管理画面や関連サービスと同じID・パスワードを別のサービスでも使い回している場合は、速やかにパスワードを変更してください。
何が起きたのか
2026年10月23日、自治体の観光サイトを受託運用する株式会社トラベルジップのサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受けたことが判明しました。攻撃者はサイト管理画面の画像アップロード機能の弱点を突いて不正なプログラムを設置・実行し、サーバー内に保管されていた各観光サイトのデータベースやバックアップファイルを取得しました。これにより、台東区、高山市、熱海市観光協会などの4サイトで計7,050件（重複を除くと6,782件）の個人情報流出が確認されました。
なぜ起きたのか・なぜ広がったのか
サイト管理画面の記事編集機能にあった画像アップロード処理の脆弱性が悪用され、外部から不正なプログラムを設置・実行できる状態になっていたためです。また、1台のサーバーに複数の自治体サイトのデータやバックアップが集約して保管されていたことで、1箇所の突破から複数サイトのデータ取得へと被害が広がりました。
いまの状況2026-10-26 時点続報待ち
トラベルジップは事案判明当日に全対象サイトを閉鎖し、関係自治体へ報告を行いました。サーバー内に蓄積されていた個人情報は各自治体・観光協会の承諾を得て完全に物理USBメモリや外付けディスクの紛失、メールやデータの宛先間違いによる情報の流出です。攻撃ではありませんが、暗号化されていなければ、1つのミスで多数の人の情報が流出することがあります。削除され、今後は個人情報をサーバー内に極力蓄積しない運用に見直す方針です。サイトの再公開は安全性が確認され、各自治体の判断を得た後に行われる予定です。
企業として考えたいこと
受託開発やシステム運用において、1つのサーバーに複数顧客のシステムやデータベースを相乗りさせたり、バックアップファイルを公開サーバー内に残したままにしていませんか？
技術的な要約
自治体観光サイトの受託運用を行う株式会社トラベルジップが管理するサーバーが、外部の第三者による不正アクセスを受けた。攻撃者はサイト管理画面の記事編集機能にある画像アップロード機能の脆弱性を悪用し、サーバー上に不正なプログラムを設置・実行した。同サーバーに格納されていた複数の自治体観光サイトのデータベースおよびバックアップファイルが取得され、東京都台東区、岐阜県高山市、静岡県熱海市などの4サイトで計7,050件（重複除外後6,782件）の個人情報流出が確認された。同社は事案判明当日の2026年10月23日に対象サイトを閉鎖して関係自治体に報告し、個人情報の物理削除や再発防止策を進めている。
攻撃の分類
- 侵入口
- Webアプリ脆弱性公表で確認サイト管理画面の記事編集機能にある画像アップロード機能の脆弱性を悪用し、不正なプログラムをサーバー上に設置して実行された。
- 脆弱性
- CVE 非公表公表で確認サイト管理画面の記事編集機能（画像アップロード機能）画像アップロード機能の脆弱性が悪用された。なお、2026年10月21日に公表されたPHPの脆弱性とは無関係であることがログ調査で確認されている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 不正アクセス判明に伴い、受託運用する複数の自治体観光サイト（TAITOおでかけナビ、飛騨高山 旅ガイド、あたみニュース等）が閉鎖された。
- データ
- 確定上限 7,050確定 7,050件氏名メール電話住所その他流出が確認された個人情報の合計は7,050件（重複除外後6,782件）。内訳はTAITOおでかけナビ5,168件、台東区ドラマ館サイト124件、飛騨高山 旅ガイド524件、あたみニュース1,234件（重複除外後966件）。データには会社名、ふりがな、お問い合わせ内容、申請・申込内容、サイト管理画面アカウント情報、開発・テスト用データが含まれる。台東区単独の第1報では約5,500件と発表されていた。
- 波及先
- 4 サイト
- 東京都台東区（TAITOおでかけナビ、台東区ドラマ館サイト）
- 岐阜県高山市（飛騨高山 旅ガイド）
- 静岡県熱海市（あたみニュース）
- 金銭影響
- —
- サプライチェーン
- ウェブサイト受託運用事業者であるトラベルジップのサーバーが不正アクセスを受け、委託元である台東区や高山市、熱海市観光協会等の自治体観光サイトから個人情報が流出した。
時系列
- 2026-10-21PHPの脆弱性が公表される（トラベルジップは修正プログラム対応済みであり本インシデントとは無関係と確認）3
- 2026-10-23トラベルジップが管理するサーバーへの不正アクセスが判明3
- 2026-10-23
- 2026-10-23トラベルジップ社内に対策委員会を設置3
- 2026-10-23
- 2026-10-25JapanHackedによりトラベルジップに関する不正アクセス・情報漏洩インシデント情報が収録される1
- 2026-10-26 17:30
- 2026-10-26台東区が公式サイトのお知らせを更新4
- 2026-10-29セキュリティ専門メディアにおいてトラベルジップの不正アクセスおよび個人情報流出が報道される2
技術解説
画像アップロード脆弱性の悪用と複数サイトからの情報流出 事実
2026年10月23日、自治体観光サイトの受託運用を行う株式会社トラベルジップが管理するサーバーにおいて不正アクセスが判明した。外部の第三者は、サイト管理画面の記事編集機能にある画像アップロード機能の脆弱性を悪用し、不正なプログラムをサーバー上に設置して実行した。攻撃は自動化されたツールを用い、事前に用意された手順に沿って行われ、約13時間に約9,600件のリクエストが送信されていた。当該サーバーには複数の自治体観光サイトが格納されており、サーバー内に保存されていた各サイトのデータベースおよびバックアップファイルが第三者によって取得された。これにより、東京都台東区の「TAITOおでかけナビ」（5,168件）および閉鎖済みの「台東区ドラマ館サイト」（124件）、岐阜県高山市の「飛騨高山 旅ガイド」（524件）、静岡県熱海市の観光協会公式サイト「あたみニュース」（1,234件、重複除外後966件）の計4サイトにおいて、合計7,050件（重複除外後6,782件）の個人情報流出が確認された。流出データには氏名、メールアドレス、電話番号、住所、問い合わせや申請内容のほか、サイト管理画面アカウント情報や開発・テスト用データが含まれていた。
同一サーバーへの集約とバックアップ保管が招いた横断的被害 解釈
本インシデントにおいて被害が4つの自治体観光サイトへ横断的に拡大した主因として、同一のサーバーインフラ上に複数自治体のWebアプリケーション、データベース、およびバックアップファイルが集約されていたシステム構成が挙げられる。受託案件を同一サーバー上で相乗り運用する場合、いずれか1つのサイトや管理画面に脆弱性が存在すると、OSやファイルシステムの権限境界が適切に分離されていない限り、同居する他の全サイトのリソースへ侵害が波及するリスクを抱える。本件でも、記事編集画面の画像アップロード機能という特定の弱点からWebシェル等の不正プログラムを設置された後、サーバー内にアクセス可能な状態で配置されていたバックアップファイルや他サイトのデータベースがまとめて取得されている。顧客ごとに仮想環境やコンテナを論理的に分離し、バックアップファイルを公開Webサーバーから切り離された専用ストレージへ即時退避するアーキテクチャが採用されていれば、被害範囲を単一サイトに限定できた可能性がある。
機械的アクセスへの検知課題と判明後の迅速な封じ込め対応 解釈
本件では約13時間にわたって約9,600件ものリクエストが自動化ツールによって送信されており、攻撃者が事前の偵察や手順化されたエクスプロイトを執拗に実行していた実態がうかがえる。このような機械的な反復アクセスに対しては、WAFによる悪意あるペイロードの検知や、アクセス頻度を監視するレートリミットによる自動遮断機構が機能していれば、攻撃の初期段階で侵害を阻止または緩和できた余地がある。一方で、トラベルジップによる事象判明後の初動対応については、判明当日に対象全サイトを直ちに閉鎖して委託元へ速やかに第1報を共有し、社内に対策委員会を立ち上げるなど、迅速な封じ込め措置が講じられている。さらに、原因究明と並行してサーバー内に残存する個人情報を自治体の承諾を得た上で物理削除し、今後の運用として個人情報をWebサーバー側に極力蓄積しない方針を明示した点も、二次被害や再発リスクの低減に向けた現実的かつ的確な対応と評価できる。
対応
- 封じ込め
- 不正アクセス判明当日の2026年10月23日に対象サイトを即時閉鎖し、社内に対策委員会を設置した。蓄積された個人情報は各自治体・観光協会の承諾を得てデータベースから物理削除し、今後は極力サーバー内に個人情報を蓄積しない運用へ変更する方針とした。
- 公表の仕方
- 2026年10月23日に関係自治体・観光協会へ第1報を行い、同日に台東区が公表。10月26日にトラベルジップが第2報を公表し、被害の対象サイトおよび流出件数（計7,050件）の詳細を発表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ファイルアップロード機能における厳格なバリデーションと実行権限の排除 | アップロードされるファイルの拡張子、MIMEタイプ、ファイルヘッダ（マジックバイト）を厳格に検証し、保存先ディレクトリをWeb公開ルート外に配置するか、Webサーバー設定でスクリプトの実行権限を完全に無効化する。 |
| 同一サーバー環境におけるマルチテナントの権限分離と横展開の防止 | 複数顧客の受託システムを運用する場合は、仮想マシンやコンテナ（Docker等）を用いて環境を論理的に分離し、実行ユーザーの権限を最小化して他サイトのディレクトリやデータベースへのアクセスを遮断する。 |
| 公開Webサーバー上におけるデータベースバックアップの非保持化 | データベースのバックアップファイルは公開Webサーバーのローカルストレージ内に保持せず、バックアップ生成後に暗号化を施した上で、外部の隔離されたオブジェクトストレージ等へ即座に転送・退避する。 |
| WAFおよびレートリミットによる自動化スキャン・ツールの早期検知と遮断 | WAF（Web Application Firewall）を導入して既知の攻撃パターンや不正ファイル設置試行を防御するとともに、一定時間内の過剰なリクエストを自動制限・遮断するレートリミットとアラート検知を配備する。 |
| Webサーバー上における個人情報の非保持化と定期的な物理削除 | 問い合わせフォームや申請機能で取得した個人情報は、管理サーバーや基幹系へ安全に転送・処理した後にWebサーバー側のデータベースから自動削除するか、保持期限を設定してバッチ処理による物理削除を徹底する。 |
自組織などでの確認項目
- 自社のWebアプリケーションにあるファイルアップロード機能において、実行可能スクリプト（PHP等）のアップロードや実行を防ぐ多層の検証と権限設定が講じられているか。
- 受託開発や社内システムで複数顧客・複数サービスのデータを同一サーバーにホスティングしている場合、1箇所が侵害されても他システムへ影響が及ばないようテナント間のアクセス権限が分離されているか。
- 公開Webサーバーのディレクトリ内に、データベースダンプや過去のバックアップファイルがそのまま残置されていないか。
- 自動化ツールや外部スキャナによる連続的なリクエストを検知し、自動的にアクセスを制限・遮断するWAFやレートリミット機能が配備されているか。
未解明点
- 攻撃者が画像アップロード機能の脆弱性を悪用してサーバーへ最初に侵入した日時、および不正プログラムが設置されてから検知・判明に至るまでの潜伏期間。
- 流出データに含まれていたサイト管理画面のアカウント情報について、パスワードが暗号化・ハッシュ化されていたか、また他システムへの不正ログイン試行など流用被害が発生していないか。
出典
- 1JapanHacked2026-10-25研究者本文確認済
- 2合同会社ロケットボーイズ2026-10-29報道本文確認済
- 3株式会社トラベルジップ2026-10-26公式本文確認済
- 4台東区2026-10-26公式本文確認済