HISタイ子会社に不正アクセス｜最大627名のパスポート情報が流出した可能性
HISが公表した内容
2026年10月7日、株式会社エイチ・アイ・エス（HIS）は、タイ現地法人のH.I.S. TOURS CO., LTD.が第三者による不正アクセスを受け、最大627名のパスポート情報とアレルギー情報が流出した可能性があると公表しました。
不正アクセスを受けたのはタイ現地法人のファイルサーバです。HISの発表では、不審なアクセスにより、サーバ内のデータの一部が不正に引き出された可能性があると説明されています。
現時点で公表されている内容は、次のとおりです。
| 項目 | 公表内容 |
|---|---|
| 不正アクセスを受けた組織 | HISのタイ現地法人 H.I.S. TOURS CO., LTD. |
| 対象システム | タイ現地法人のファイルサーバ |
| 対象人数 | 最大627名 |
| 対象情報 | パスポート情報、アレルギー情報 |
| HISの公表日 | 2026年10月7日 |
公式発表は「流出した可能性」としており、最大627名すべての情報が実際に持ち出されたと断定しているわけではありません。
対象となる利用者
対象となる可能性があるのは、HISを利用してタイへ出発した一部の利用者です。個人旅行と団体旅行では、対象となる時期や条件が異なります。
| 旅行区分 | 対象となる可能性がある利用者 |
|---|---|
| 個人旅行 | 2024年11月に日本を出発し、バンコクのプルマンホテルに宿泊して、チェンマイ・コムローイ祭りに参加した利用者 |
| 団体旅行 | 2017年、2019年〜2020年、2024年〜2025年にタイへ出発した利用者 |
HISは、連絡先を特定できた対象者へ順次個別に連絡しています。該当する旅行に心当たりがあり、対象か判断できない場合は、HISが設置したお客様特設窓口へ確認してください。
流出した可能性がある情報
HISが公表した情報を、含まれる情報と含まれない情報に分けると次のようになります。
| 区分 | 情報の内容 |
|---|---|
| 流出した可能性がある情報 | アルファベット表記の氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限、アレルギー情報 |
| 含まれない情報 | 電話番号、住所、メールアドレス、クレジットカード情報など |
パスポート情報には本人確認に使われる項目が含まれます。一方、公式発表では、今回の情報が実際に悪用された事例があるとは記載されていません。被害を断定したり、具体的な悪用方法を推測したりせず、HISからの個別連絡と今後の発表を確認する必要があります。
不正アクセスの検知から公表までの経緯
不正アクセスが検知されたのは2025年12月で、対外公表は2026年10月でした。HISが公表した経緯は次のとおりです。
| 日付 | 公表内容 |
|---|---|
| 2025年12月11日 | 不正アクセス検知ソフトがアラートを発出。対象サーバをネットワークから切断し、外部からのアクセスを制限 |
| 2025年12月29日 | サーバ内に日本で取得した個人情報が含まれていることを確認。個人情報保護委員会とJIPDECへ報告 |
| 2026年2月24日 | 外部専門家の調査で最大627名のパスポート情報が含まれると判明。サーバ内の全ファイルを確認することを決定 |
| 2026年10月7日 | 全ファイルの確認完了後、対象者への個別連絡と公式サイトでの公表を開始 |
HISによると、ファイルサーバには会計記録など個人情報とは関係のないデータが大量に混在し、ファイル形式や保存状態もさまざまでした。機械的な検索だけでは正確に確認できず、手作業を含む精査と照合が必要だったため、対象データの特定と連絡先の抽出に時間を要したと説明しています。
不正アクセスの原因は公表されているか
2026年10月8日時点の公式発表では、タイ現地法人のネットワークが第三者から不正アクセスを受けたことは公表されていますが、次の情報は明らかにされていません。
- 最初の侵入経路
- 不正アクセスに使用された具体的な手法
- 脆弱性が悪用されたかどうか
- 認証情報が不正利用されたかどうか
- 攻撃者や攻撃グループの情報
そのため、特定の製品、脆弱性、設定不備を原因として挙げることはできません。また、公表までの期間だけを根拠に、HISやタイ現地法人の対応を推測することも避ける必要があります。
対象となる可能性がある方が確認したいこと
HISのタイ旅行を利用した方は、まず自分が公表された対象条件に該当するか確認してください。
HISからの個別連絡を確認する
HISは、連絡先を特定できた対象者へ順次個別に連絡しています。個別の案内を確認し、不明な点は案内に記載された連絡先だけを頼りにせず、公式発表に掲載されたお客様特設窓口へ問い合わせてください。
HISを装う連絡に注意する
今回の発表に便乗し、HISや公的機関を装って個人情報や金銭を求める連絡が届く可能性があります。
- メールやSMSのリンクをすぐに開かない
- パスポートの画像や番号を返信しない
- クレジットカード番号や認証コードを伝えない
- 連絡先はHISの公式サイトから確認する
相手が旅行時期や氏名を知っていても、それだけで正規の連絡とは判断できません。
パスポートの手続きを自己判断で急がない
今回の公式発表には、対象者全員にパスポートの切替えや再発給を求める記載はありません。まず個別連絡の内容を確認し、心当たりのない手続きや具体的な悪用が疑われる場合は、HISのお客様特設窓口へ相談してください。
本件のお客様特設窓口は、電話番号0120-945-146、受付時間は平日11時から18時までです。メールアドレスはsupport-desk@his-world.comと案内されています。
HISが公表した対応
タイ現地法人は、不正アクセスを検知した後、対象サーバをネットワークから切断し、外部からのアクセスを制限しました。その後、外部専門家を含めた調査と、ファイルサーバに保存されていたデータの確認を実施しています。
HISは、今後の対応として次の方針を公表しています。
- 個人情報の悪用などが発生した場合に適切な措置を講じる
- 海外拠点のセキュリティを強化する
- 本社によるシステムのモニタリング体制を厳格化する
- 再発防止に取り組む
ただし、具体的な再発防止策や実施時期は、今回の公式発表には記載されていません。
海外拠点やファイルサーバを持つ企業が確認したい5つの項目
以下は、今回の侵入原因を推測するものではありません。海外拠点やグループ会社で個人情報を扱う企業が、一般的な備えとして確認したい項目です。
1. 海外拠点を含むシステムを把握しているか
本社だけでなく、海外子会社や支店が使用するサーバ、ネットワーク機器、クラウドサービスを一覧にします。管理主体、設置場所、外部公開の有無、保守担当者を確認できる状態が必要です。
2. ファイルサーバに保存する情報を整理しているか
どのファイルに、誰の、どのような個人情報が含まれるかを把握します。保存目的を終えた情報が残り続けていないか、保管期限と削除手順も確認します。
3. アクセス権限と認証を拠点任せにしていないか
利用者ごとに必要な権限だけを付与し、退職や異動時に速やかに無効化します。管理者アカウントや遠隔接続には多要素認証を設定し、共有アカウントの利用を避けることも重要です。
4. 本社で異常を把握できるか
不審なログイン、大量のファイル取得、通常とは異なる時間帯の操作を検知し、海外拠点と本社の双方へ通知できる仕組みを確認します。調査に必要なログを一定期間保存することも必要です。
5. 事故発生時の連絡と調査手順が決まっているか
ネットワークの遮断、証拠となるログの保全、外部専門家への連絡、対象データの特定、本人通知、関係機関への報告について、拠点ごとの役割を決めます。机上訓練などを通じ、実際に連絡がつながるか確認することも大切です。
海外拠点を含めたシステムの安全性を確認したい企業へ
今回の公式発表では、具体的な侵入経路や攻撃手法は公表されていません。そのため、「特定の診断を実施していれば今回の事故を防げた」と断定することはできません。
一方、海外拠点を含むネットワークやファイルサーバについて、外部から侵入できる経路、権限設定、重要情報への到達可能性を確認することは、被害を抑えるための一般的な取り組みです。
- ネットワークセキュリティ診断 — サーバやネットワーク機器の脆弱性、設定不備を確認
- ペネトレーションテスト — 攻撃者の視点で重要情報へ到達できるかを検証
- セキュリティマネジメント支援 — 海外拠点を含む管理体制や事故対応手順の整備を支援
- 脆弱性診断 — インターネットに公開されたシステムの弱点を確認
拠点ごとに管理方法が異なり、どこまで確認すべきか決まっていない場合でも、現在の構成や扱う情報を伺い、必要な診断範囲を整理できます。
よくある疑問
Q. 流出した可能性がある情報は何人分ですか？
A. HISは、タイ現地法人のファイルサーバに最大627名のパスポート情報が含まれていたと公表しています。ただし、最大627名すべての情報が実際に外部へ持ち出されたと断定しているわけではありません。
Q. 自分が対象かどうかは、どのように確認できますか？
A. 対象となる可能性があるのは、公式発表に記載された時期にHISを利用してタイへ出発した一部の方です。HISは連絡先を特定できた対象者へ順次連絡しており、不明な場合は公式のお客様特設窓口へ確認できます。
Q. どのようなパスポート情報が含まれますか？
A. アルファベット表記の氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限が対象です。アレルギー情報も含まれます。
Q. クレジットカード情報も含まれていますか？
A. いいえ。HISは、電話番号、住所、メールアドレス、クレジットカード情報などは含まれていないと説明しています。
Q. すぐにパスポートを作り直す必要がありますか？
A. 今回の公式発表には、対象者全員にパスポートの切替えや再発給を求める記載はありません。まず個別連絡を確認し、不明な点や具体的な悪用が疑われる場合は、HISの公式窓口へ相談してください。
Q. なぜ公表までに時間がかかったのですか？
A. HISによると、ファイルサーバには個人情報と無関係のデータが大量に混在し、保存形式もさまざまでした。正確な対象データと連絡先を特定するため、手作業を含む精査と照合に時間を要したと説明しています。
まとめ
HISのタイ現地法人が第三者による不正アクセスを受け、最大627名のパスポート情報とアレルギー情報が流出した可能性があります。対象となるのは、特定の時期にHISを利用してタイへ出発した一部の利用者です。
HISは電話番号、住所、メールアドレス、クレジットカード情報は含まれないと説明しています。また、今回の公式発表には、対象者全員にパスポートの切替えや再発給を求める記載はありません。対象となる可能性がある方は個別連絡を確認し、不明な点は公式のお客様特設窓口へ問い合わせてください。
参考情報
関連ページ
- ネットワークセキュリティ診断 — サーバやネットワーク機器の脆弱性、設定不備を確認
- ペネトレーションテスト — 攻撃者の視点で重要情報への到達可能性を検証
- セキュリティマネジメント支援 — 海外拠点を含む管理体制と事故対応を支援
- 脆弱性診断 — 公開システムの脆弱性や設定不備を幅広く確認
御社のセキュリティは大丈夫ですか？
このインシデントと同様の攻撃に、御社のシステムは耐えられるでしょうか。
ペネトレーションテストで事前にリスクを把握することが最善の防御策です。
▼ セキュリティ対策の基礎知識