九州急行バスにおける従業員による顧客個人情報の不正使用（予約情報の不正閲覧・私的SMS送信）
公表日
九州急行バスは2026年7月6日、運転士が運行管理者を通じて顧客のバス予約情報を不正に閲覧・取得し、その顧客へ私的なショートメールを送っていたと公表した。対象は当該の顧客で、件数は公表されていない。
対象者は？
当該の顧客。対象となった人数やほかの顧客への影響は、渡された報道2件では示されていない。氏名など顧客個人は公表されていない。
同社は当該顧客へ概況報告と謝罪を行ったとされている。ご自身が該当するかを知りたい場合は、九州急行バス営業本部（092-411-2242）が問い合わせ先として示されている。
いますぐできること
- 高速バスの予約後に心当たりのないショートメールが届いた場合は、返信せず、問い合わせ先の九州急行バス営業本部（092-411-2242）に相談する。
何が起きたのか
2026年6月24日、当該の顧客から会社へ申し出があり、事案が分かった。同社の運転士が、運行営業所の中で、運行管理者を通じてバスの予約情報を不正に見て入手し、その顧客へ私的な内容のショートメールを送っていた。同社は社内調査で事実関係を確認し、顧客へ報告と謝罪を行った。2026年7月6日に公表した。
なぜ起きたのか・なぜ広がったのか
同社は原因として、個人情報の取り扱いに関する教育が行き届いていなかったこと、個人情報データの管理における監督体制が十分でなかったこと、当該の運転士と管理者に個人情報の取り扱いの重大性の認識が足りなかったことの3点を挙げている。外部からのサイバー攻撃ではなく、従業員が業務上の経路を使った内部不正社員や元社員、委託先の担当者など、正規の権限を持つ人が情報を持ち出したり、不正に使ったりすることです。外からの攻撃への備えだけでは防げません。の一種と報じられている。
いまの状況2026-07-14 時点続報待ち
2026年7月14日時点で、同社は再発防止策として、事案の情報共有と周知徹底、基本方針の再教育、顧客窓口での個人情報管理の監督徹底、従業員の執務状況の定期的な監視監督、個人情報を扱う執務エリアへの部外者立入禁止の徹底を掲げている。対象件数や処分内容については、まだ発表されていません。
企業として考えたいこと
自社で顧客の連絡先を見られる人は誰で、その人が業務以外の目的で見たり、他の人に頼まれて渡したりしたとき、気づける仕組みがありますか。
技術的な要約
九州急行バス株式会社は2026年7月6日、同社従業員が顧客の個人情報を不正に使用する事案が発生したと公表した。運転士が運行営業所内で運行管理者を通じてバスの予約情報を不正に閲覧・取得し、当該顧客へ私的な内容のショートメールを送信していた。事案は2026年6月24日、当該顧客から会社への申し出により発覚した。外部からのサイバー攻撃ではなく、従業員が業務上のアクセス経路を悪用した内部不正の一種と報じられている。同社は社内調査を行い、当該顧客へ概況報告と謝罪を行い、再発防止策を掲げている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 内部者報道・研究者運転士が運行営業所内で、運行管理者を通じてバスの予約情報を不正に閲覧・取得した。報道では、従業員自身が業務上のアクセス経路を悪用した内部不正の一種とされている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する記載は確認できない。
- データ
- 確定上限 —確定 —氏名電話その他バスの予約情報が不正に閲覧・取得され、当該顧客へショートメールが送信された。対象件数は出典に記載がない。氏名は公表されておらず、データ種別の詳細は出典上明記されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
事案の内容と発覚の経緯 事実
九州急行バス株式会社は2026年7月6日、同社従業員が顧客の個人情報を不正に使用する事案が発生したと公表した。報道によると、同社の運転士が、運行営業所内でバスの予約情報を運行管理者を通じて不正に閲覧・取得し、当該の顧客へ私的な内容のショートメールを送信していた。事案が発覚したのは2026年6月24日（水）で、当該顧客から会社への申し出があったことがきっかけだった。同社は申し出を受けて社内調査を実施し、事実関係を確認したうえで、当該顧客へ概況報告と謝罪を行っている。
同社が示した原因と再発防止策 事実
同社が示した原因は3点で、個人情報の取り扱いに関する教育の不行き届き、個人情報データの管理における監督体制の不備、当該従業員（運転士および管理者）の個人情報の取り扱いに対する重大性の認識欠如である。再発防止策としては5点が掲げられている。事案の情報共有と再発防止策の周知徹底、個人情報取扱いの基本方針の再教育、顧客窓口における個人情報管理の監督徹底、従業員の執務状況に対する定期的な監視監督、個人情報を取り扱う執務エリアへの部外者立入禁止の徹底である。問い合わせ先は九州急行バス営業本部（092-411-2242）である。
内部不正としての構造（解釈） 解釈
本事案は外部からのサイバー攻撃ではなく、従業員が業務上のアクセス経路を使った内部不正の一種と報じられている。ここから読み取れる点として、運転士本人が予約情報へ直接入ったのではなく、運行管理者を通じて情報が渡った点がある。権限を持つ人を介した情報の受け渡しは、業務上の依頼という形を取るため、技術的なアクセス制御だけでは捉えにくく、記録や承認の手続きがなければ後から確認しにくい可能性がある。ただし、運行管理者がどのような経緯で情報を提供したかは公表されておらず、以上は一般的な見方にとどまる。
対応
- 封じ込め
- 申し出を受けて社内調査を実施し、事実関係を確認したうえで、当該顧客へ概況報告と謝罪を行った。再発防止策として、事案の情報共有と周知徹底、個人情報取扱いの基本方針の再教育、顧客窓口における個人情報管理の監督徹底、従業員の執務状況の定期的な監視監督、個人情報を取り扱う執務エリアへの部外者立入禁止の徹底を掲げている。
- 公表の仕方
- 2026年7月6日に公表。問い合わせ先は九州急行バス営業本部（092-411-2242）。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 業務上の正当な権限を持つ人を経由した情報の持ち出しは、外部からの侵入と違い従来の境界防御では見えにくい。 | 予約システムの参照・検索・エクスポート操作を利用者ID単位で監査ログに記録し、通常業務と異なる件数や時間帯の閲覧をSIEMなどで検知・アラート化する。 |
| 業務目的に合わない個人情報の閲覧が、依頼という形で現場の中で成立しうる。 | 個人情報の閲覧・提供を業務目的と紐づけ、他者への提供には申請・承認・記録を必須にするワークフローを実装する。 |
| 職種ごとに必要な情報の範囲は異なり、運転士のような職種には予約の個人情報が本来不要な場合がある。 | ロールベースのアクセス制御で最小権限を適用し、顧客の氏名・電話番号などの連絡先項目は必要な担当者のみに表示し、他はマスキングする。 |
| 本事案は顧客の申し出で発覚しており、組織内の仕組みでの早期発見が課題として残る。 | 閲覧ログの定期レビューを担当者を決めて行い、顧客からの申し出を受ける窓口と調査手順（ログ保全、閲覧履歴の突合）を事前に整備する。 |
| 同社が挙げた教育と監督の見直しは、運用でも継続的に確認できる形にすると効果が出やすい。 | 個人情報取扱いの研修を年次で実施して受講記録を残し、誓約書の取得と、不正使用時の処分・報告ルールを就業規則に明記して周知する。 |
自組織などでの確認項目
- 自組織で顧客の連絡先を閲覧できる職種はどれか。その職種に本当に必要な範囲か。
- 現場の担当者が、他部署の同僚に頼まれて顧客情報を調べて渡す場合、依頼内容や目的は記録に残るか。
- 顧客情報の閲覧ログを、誰が・どの頻度で確認しているか。異常な閲覧があった場合に気づける仕組みはあるか。
未解明点
- 不正に閲覧・取得された予約情報の対象顧客数や、含まれていた項目（氏名・電話番号以外）の詳細。当該顧客以外への影響の有無。
- 運行管理者がどのような経緯で予約情報を運転士へ提供したか、また予約システムのアクセス制御やログの状況。
- 当該従業員への処分内容や、個人情報保護委員会への報告・当局対応の有無。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-07-11報道本文確認済
- 2ScanNetSecurity2026-07-14報道本文確認済