HIS、タイ子会社で顧客情報流出の可能性を公表
HISは、タイの現地法人「H.I.S. TOURS」のファイルサーバーが第三者による不正アクセスを受け、顧客のパスポート情報などが外部に流出した可能性を公表しました。流出した可能性のある情報は、2017年、2019年～2020年、2024年～2025年にHISを利用してタイへ出発した旅行者最大627名分のパスポート情報（氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限）およびアレルギー情報です。電話番号、住所、メールアドレス、クレジットカード情報などは含まれていないとされています。同社は、対象となる顧客への個別連絡を進めるとともに、海外拠点におけるセキュリティ強化および本社によるシステムモニタリング体制の厳格化を図り、再発防止に努めるとしています。
不正アクセスの経緯と情報流出の内容
HISは、タイ現地法人におけるファイルサーバーへの不正アクセスが発生し、その結果として一部顧客の個人情報が流出した可能性を公表しました。この事態は、2025年12月11日に不正アクセス検知ソフトがアラートを発したことで明らかになり、直ちに外部からのアクセス遮断措置が講じられました。その後の詳細な調査により、サーバー内の一部データが不正に持ち出された疑いが浮上。影響を受ける可能性のある顧客は、2017年、2019年から2020年、そして2024年から2025年にかけてタイへ旅行した最大627名に上ります。流出した可能性のある情報には、パスポートに記載されている氏名、署名欄の氏名、性別、生年月日、パスポート番号、有効期限に加え、アレルギー情報が含まれます。幸いにも、電話番号、住所、メールアドレス、クレジットカード情報といった重要な個人情報は今回の流出範囲には含まれていないと報告されています。
この事案を受けて、HISは個人情報保護委員会および日本情報経済社会推進協会（JIPDEC）といった関係機関に速やかに報告を行いました。すべてのファイルに対する詳細な確認調査が完了した後に、今回の公表に至っています。調査および公表までに時間を要した理由としては、サーバー内に顧客の個人情報とは無関係な会計記録などの大量のデータが混在しており、機械的な処理が困難であったため、手作業を含む慎重なデータ精査と照合が必要であったと説明しています。HISは、この事態を重く受け止め、対象顧客への個別連絡を順次進めるとともに、今後同様の事態を避けるため、海外拠点におけるセキュリティ体制の強化と本社によるシステム監視体制の厳格化を徹底し、再発防止に全力を尽くす方針を示しています。
セキュリティ強化と再発防止への取り組み
HISは今回の不正アクセス事案を受け、今後のセキュリティ対策と再発防止に向けて多角的な取り組みを強化しています。まず、タイ現地法人でのセキュリティ体制を見直し、ファイルサーバーの脆弱性対策やアクセス制御の強化を徹底。定期的なセキュリティ監査の実施や従業員への情報セキュリティ教育を強化し、人為的ミスによるリスク低減にも努めます。さらに、本社によるシステムモニタリング体制を厳格化し、国内外の拠点における情報システムの異常を早期に検知できる体制を構築します。これにより、万が一不正アクセスが発生した場合でも、迅速な対応と被害の最小化を目指します。
具体的には、最先端の不正アクセス検知システムを導入し、リアルタイムでの監視体制を強化します。また、情報セキュリティに関する専門チームを編成し、サイバー攻撃の動向を常に把握し、最新の防御策を講じることで、セキュリティレベルの継続的な向上を図ります。今回の情報流出事案は、旅行業界全体にとっても重要な警鐘であり、HISは今回の経験を活かし、情報管理体制の改善に全社を挙げて取り組む方針です。顧客が安心してサービスを利用できるよう、信頼回復に努めるとともに、個人情報の保護を最優先課題として、より安全な情報環境の構築に注力していくことを表明しています。