エイチ・アイ・エスの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月7日、エイチ・アイ・エスはタイ現地法人 H.I.S. TOURS のファイルサーバが不正アクセスを受け、最大627人分のパスポート情報とアレルギー情報が流出した可能性があると公表しました（エイチ・アイ・エスの発表）。 2025年12月11日に不正アクセスを検知するソフトの警告で気づき、2026年2月24日にパスポート情報が含まれることが分かったとしています。 対象は2017年、2019〜2020年、2024〜2025年にタイへ出発した団体旅行の客などで、電話番号・住所・メールアドレス・カード情報は含まれないとしています。侵入の経路は公表されていません。

会社の対応

• 検知後にサーバをネットワークから切断し、外部からのアクセスを制限
• 個人情報保護委員会と JIPDEC に報告（2025年12月29日）
• サーバ内のすべてのファイルを手作業を含めて確かめ、連絡先が分かった客に順次連絡。公表が遅れた理由も説明しています
• 海外拠点のセキュリティの強化と、本社によるシステムの監視の厳格化を再発防止策に挙げています

この事例から中小企業が学べること

• 海外の子会社・拠点のサーバも、本社と同じ基準で更新・監視する
• ファイルサーバに個人情報とほかのデータを混ぜて置くと、漏えいの範囲を調べるのに長い時間がかかる。置き場所を分けておく
• 目的を果たした個人情報（旅行後のパスポートの情報など）は期限を決めて消す
• 検知の仕組みがあったことで侵入に気づけた。サーバに不正アクセスを検知する仕組みを入れておく