HISタイ現地法人に不正アクセス。最大627人のパスポート情報流出の可能性、調査と公表の経緯

まず初めに

旅行に行ったのは何年も前なのに、パスポート情報の心配が今になって戻ってくる。検知から今回の公表までは約10カ月。利用者が欲しいのは「調査は大変だった」という説明だけでなく、その間に何を確認し、誰へ報告し、どう連絡したのかという時刻表だ。旅行の予定表は細かいのに、情報の旅程だけ霧の中では困る。ただし、資料にない沈黙や意図までこちらで書き足すわけにはいかない。※個人の感想です

何が起きているのか

旅行会社のエイチ・アイ・エスえいちあいえす(HIS)は2026年10月7日、タイの現地法人「H.I.S. TOURS CO., LTD.」が管理するファイルサーバーへの不正アクセスにより、日本で取得した顧客の個人情報の一部が流出した可能性があると発表しました。

発表によると、2025年12月11日、ファイルサーバーの不正アクセス検知ソフトがアラートを出したことから、同社は直ちにサーバーをネットワークから切り離して外部からのアクセスを制限し、外部の専門家を含めた調査を開始しました。調査の結果、ファイルサーバーに保存されていたデータの一部が不正に持ち出された可能性があることが判明しています。

2025年12月29日には、サーバー内に日本で取得した個人情報の一部が含まれていることを確認し、個人情報保護委員会と、認定個人情報保護団体であるJIPDECへ報告したとしています。

2026年2月24日に外部専門家による調査で、サーバーに最大627人分のパスポート情報が含まれていることが判明し、保存されている全ファイルの確認を続けることを決めたとしています。この日を対象者数の確定日や調査完了日と扱うことはできません。対象となるのは、2017年、2019〜2020年、2024〜2025年にHISを利用してタイへ出発した顧客です。流出した可能性がある情報は、パスポートに記載されたアルファベットの氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限、およびアレルギー情報です。一方、電話番号、住所、メールアドレス、クレジットカード情報は対象に含まれていないと説明されています。

公表までに時間がかかった理由についても説明があります。サーバーには会計上の記録など個人情報と関係のないデータが大量に混在し、ファイル形式や保存状態もさまざまだったため、機械的な処理や検索ができず、手作業を含めた確認が必要だったとしています。HISは今回、全ファイルの確認が完了し、連絡先が特定できた顧客へ順次個別に連絡するとともに、特定が難しい人へも広く知らせるためホームページで公表すると説明しています。個別連絡を最初に行った日は、この資料から確認できません。悪用等が発生した場合には適切な措置を講じる方針を示していますが、悪用の有無を確認した結果は記載されていません。

なぜ重要なのか

パスポート情報は、海外では本人確認の基礎となる重要な身分証明情報です。氏名・性別・生年月日・パスポート番号・有効期限という組み合わせは、単体では銀行口座を直接動かせるような情報ではありませんが、本人になりすます、あるいは偽の渡航関連サービスに利用されるなど、悪用の可能性が完全には否定できない情報です。

今回の件は、日本の企業が海外に設置した現地法人のシステムを通じて個人情報が流出する可能性があるという、海外展開企業に共通するリスクを示す事例でもあります。ただし、この発表だけで本社と子会社の管理体制の違いや、具体的な侵入経路が確認されたわけではありません。

また、検知から今回の公表まで約10カ月かかった点は確認すべき経緯です。公表までの期間と、当局等への報告や個別連絡の時点を同じものとして扱うことはできません。調査に時間を要した理由、12月29日の当局等への報告、利用者への個別連絡は、それぞれ別の事実として確認します。

私たちへの影響

2017年、2019〜2020年、2024〜2025年にHISを利用してタイへ渡航した経験がある方は、今回の対象に含まれる可能性があります。該当する可能性がある方は、パスポート番号や有効期限を使った不審な連絡や、渡航関連を装った詐欺的なメール・SMSに注意してください。電話番号やメールアドレスは対象外とされているため、今回の情報だけを使って直接連絡してくるケースは考えにくいものの、別の経路で入手した連絡先と組み合わされる可能性は否定できません。

HISを利用したことがない方にとっても、今回の件は「本社だけでなく海外子会社のセキュリティ対応も合わせて確認する必要がある」という、企業の情報管理における注意点を考える材料になります。

初心者が知っておくべきこと

「現地法人」とは、日本企業が海外で事業を展開する際に、その国の法律に基づいて設立する子会社のことです。日本の本社とは別の法人格を持つため、システムやセキュリティ対策が本社と異なる体制で運用されている場合があります。

心当たりのある渡航歴がある方で、パスポートの更新案内や渡航関連サービスを名乗る不審な連絡を受け取った場合は、メールやSMS内のリンクは使わず、HISの公式サイトや公式の問い合わせ窓口から自分で確認する方が安全です。

Q. 自分が対象か確認する方法は? A. 対象は2017年、2019〜2020年、2024〜2025年にHISを利用してタイへ出発した顧客に限られます。心当たりがある場合は、HISの公式発表や問い合わせ窓口で確認することをお勧めします。

IT Postの見方――調査の長さと、説明の中身は別に読む

IT Postでは、検知から今回の公表まで約10カ月かかった経緯は、利用者への説明という観点から確認する価値があると考える。会計データの混在や手作業での照合という調査理由は示されているが、利用者が知りたいのは「大変でした」の一言だけではない。対象をどう絞り、連絡先をどう確認したのか、その経過だ。

ただし、12月29日の当局等への報告はあり、今回の資料は連絡先が特定できた顧客への順次連絡も説明している。初回の個別連絡日や意図的な情報留保は確認できない。資料にない意図を脚本のように足せば、説明を求める記事の方が説明不足になる。IT Postでは、調査理由・当局報告・利用者連絡を分けて、確認できる事実に基づき評価したい。※個人の感想です

今後どうなりそうか

HISは、連絡先が特定できた顧客へ順次個別に連絡し、個人情報の悪用等が発生した場合には適切な措置を講じるとしています。再発防止に向け、海外のセキュリティ強化と、本社によるシステムモニタリング体制の厳格化を進める方針を示しています。一方、具体的な侵入経路や対策の詳細は、この資料では説明されていません。IT Postでは、続報や新たな事実が発表され次第、改めて取り上げます。