HISのタイ現地法人に不正アクセス｜最大627人分のパスポート情報が流出のおそれ

旅行会社のエイチ・アイ・エス（HIS）が2026年10月7日、タイ現地法人 H.I.S. TOURS のファイルサーバが不正アクセスを受け、データの一部が持ち出された可能性があると公表しました。 対象は最大627人分のパスポート情報とアレルギー情報です（エイチ・アイ・エスの発表）。 検知は2025年12月で、公表まで約10か月かかった理由として、サーバ内のファイルを1つずつ確かめる作業に時間を要したことを挙げています。

公表された内容

• 件数：最大627人（2026年10月7日の発表）
• 情報の種類：パスポートの情報（ローマ字の氏名、署名欄の名前、性別、生年月日、旅券番号、有効期限）とアレルギー情報。電話番号・住所・メールアドレス・クレジットカード情報は含まれないとしています
• 対象：2017年、2019〜2020年、2024〜2025年に同社を利用してタイへ出発した団体旅行の客と、2024年11月に出発した特定の個人旅行の客（10月7日の追記）
• 時期：2025年12月11日、ファイルサーバに入れていた不正アクセスを検知するソフトが警告を出し、サーバをネットワークから切り離した。12月29日に日本で集めた個人情報が含まれることを確かめ、個人情報保護委員会と JIPDEC に報告。2026年2月24日に最大627人分のパスポート情報が含まれることが分かったとしています
• 時間がかかった理由：サーバに会計の記録など個人情報と関係のないデータが大量に混ざり、ファイルの形式も多様で機械的に検索できず、手作業で照合したためとしています
• 原因：侵入の経路や手口は公表されていません

会社の対応

• 不正アクセスの検知後、該当のサーバをネットワークから切断し、外部からのアクセスを制限
• 連絡先が分かった客には順次個別に連絡し、分からない客にはホームページで知らせる
• 海外拠点のセキュリティを強め、本社によるシステムの監視の体制を厳しくするとしています
• 専用の問い合わせ窓口を設けています

中小企業が今日からできること

• 海外の子会社・拠点のサーバを本社と同じ基準で見る：海外拠点のファイルサーバや VPN 機器の一覧を作り、修正プログラムの適用と不正アクセスの検知の仕組みがあるかを確かめる
• ファイルサーバに何が入っているかを把握しておく：パスポートの写しや顧客名簿など個人情報を置くフォルダを決め、ほかの業務データと混ぜない。漏えいしたときに「誰の何が入っていたか」をすぐ答えられるようにする
• 使い終わった個人情報を消す：旅行が終わった客のパスポートの情報のように、目的を果たした情報は保存の期限を決めて削除する
• 報告の期限を手順に入れておく：個人情報保護委員会への速報と確報の期限を、調査の担当と共有しておく