要点
発表された事実
- エイチ・アイ・エス（HIS）は2026年10月7日、タイ現地法人H.I.S. TOURS CO., LTD.のネットワークが第三者の不正アクセスを受け、ファイルサーバーのデータの一部が不正に引き出された可能性があると公表した（HISのお知らせ（PDF））。
- 2025年12月11日、ファイルサーバーに入れていた不正アクセス検知ソフトがアラートを出し、サーバーをネットワークから切り離した。12月29日にサーバー内に日本で取得した個人情報が含まれていることを確認し、個人情報保護委員会とJIPDEC（日本情報経済社会推進協会）に報告した（同）。
- 2026年2月24日、外部専門家の調査で最大627人分のパスポート情報が含まれていることがわかり、サーバー内の全ファイルを確認することにした。会計記録など個人情報と関係のないデータが大量に混在し、形式も多様で機械的に検索できなかったため、手作業を含めて照合し、時間がかかったと説明している（同）。
- 流出した可能性があるのは、2017年、2019〜2020年、2024〜2025年にHISを利用してタイに出発した客の、パスポートのアルファベット氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限と、アレルギー情報。電話番号、住所、メールアドレス、クレジットカード情報は含まれていない（同）。朝日新聞は、パスポートの画像も一部流出したと報じている（朝日新聞）。
わかっていないこと
- 侵入経路と原因（タイ法人のネットワークにどうやって入られたか）
- 不正アクセスが始まった時期（ITmediaは「2025年11月に不正アクセスを受け」と報じているが、HISの発表は検知日の12月11日しか示していない）
- 流出したパスポート画像の件数と、627人のうち画像が含まれる人数
- 627人のうち、個別に連絡が取れた人数
- 日本の本社システムや他の海外拠点への影響の有無
- ランサムウェアの使用や犯行声明、脅迫の有無
- 2025年12月29日の報告から公表まで約9か月、公表しなかった判断の理由（調査に時間がかかった理由は説明されている）
関係しそうな既知の手口
- （考察）海外子会社や現地法人は、本社と比べて監視や更新の体制が手薄になりやすく、侵入の入口として狙われる例が多い。本件の侵入経路は公表されていない。
- （考察）業務用のファイルサーバーに、顧客の身分証の写しが目的外のファイルと混ざって長期間残っていると、侵害されたときに「何が漏れたか」をすぐに特定できない。本件でもそれが公表の遅れにつながったと説明されている。
概要
- HISのタイ現地法人のファイルサーバーが不正アクセスを受け、日本からタイへのツアー客などのパスポート情報が最大627人分流出した可能性がある。
- 検知は2025年12月で、公表は約10か月後の2026年10月7日。サーバー内に関係のないデータが大量にあり、対象者の特定に時間がかかったと説明している。
- 侵入経路は公表されていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2025-11 | ITmedia NEWSは、この時期にファイルサーバーが不正アクセスを受けたと報じている（HISの発表には記載なし） |
| 2025-12-11（木） | タイ法人のファイルサーバーの不正アクセス検知ソフトがアラート。サーバーをネットワークから切り離し、外部からのアクセスを制限（HISのお知らせ） |
| 2025-12-29（月） | サーバー内に日本で取得した個人情報が含まれることを確認し、個人情報保護委員会とJIPDECに報告（同） |
| 2026-02-24（火） | 外部専門家の調査で最大627人分のパスポート情報が含まれていると判明。サーバー内の全ファイルの確認を決定（同） |
| 2026-10-07（水） | 全ファイルの確認を終え、自社サイトで公表。連絡先がわかった人には順次個別に連絡（同） |
| 2026-10-07（水）19:30 | 対象となる客の条件を追記（同） |
発表内容の整理
事実（10月7日のお知らせ）
| 項目 | 内容 |
|---|---|
| 被害を受けた組織 | H.I.S. TOURS CO., LTD.（HISのタイ現地法人） |
| 被害を受けたシステム | タイ法人のファイルサーバー |
| 流出した可能性のある情報 | パスポートのアルファベット氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限、アレルギー情報 |
| 含まれない情報 | 電話番号、住所、メールアドレス、クレジットカード情報など |
| 件数 | 最大627人分 |
| 対象（19:30の追記） | 個人旅行：2024年11月に日本を出発し、バンコクのプルマンホテルに宿泊してチェンマイのコムローイ祭りに参加した客。団体旅行：2017年、2019〜2020年、2024〜2025年にタイに出発した客 |
- 今後の対応：情報が悪用されるなどした場合は、HISが適切な措置を講じる。海外のセキュリティ強化と、本社によるシステム監視の厳格化で再発を防ぐ。
- 問い合わせ：お客様特設窓口（0120-945-146、平日11:00〜18:00）、メール（support-desk@his-world.com）。
事実（報道）
- 朝日新聞は、パスポート画像も一部流出したが、その数は明らかにしていないと報じた。
- ITmedia NEWSは、ファイルサーバーが「2025年11月に不正アクセスを受け」たと書いている。HISのPDFの発表では、検知日（12月11日）より前の時期には触れていない。
考察
対象として挙がっているのは、団体旅行の客と、特定のツアー（コムローイ祭り）の個人客だ。いずれも現地法人が手配のためにパスポートの写しや名簿を受け取る場面と重なる。そうした手配用のデータが、会計記録などと同じファイルサーバーに何年分も残っていたことが、流出の範囲を広げ、対象者の特定を遅らせたと考えられる。2017年のデータまで残っていた点は、保存期間の管理が働いていなかったことをうかがわせる。
検知から公表までの約10か月について、HISは調査に時間がかかった理由を詳しく説明している。一方で、2月24日の時点でパスポート情報が含まれることはわかっていた。全件の特定を待たずに、その段階で「タイ方面の団体旅行の客などのパスポート情報が漏れた可能性がある」と先に知らせることもできたのではないかと考える。パスポートの情報は、なりすましや詐欺に使われうるため、本人が早く知ることに意味がある。
関係しそうな既知の手口
考察
- 海外拠点を入口にした侵入：海外子会社は、本社と異なるIT体制で運用され、VPN機器やリモートアクセスの管理が手薄になりがちだ。日本企業の海外拠点が侵入口になった事例は多い。本件の侵入経路は公表されていない。
- ファイルサーバーに残った身分証の写し：本人確認や手配のために受け取った身分証の画像やデータが、用途を終えても共有フォルダに残り続け、侵害時にまとめて持ち出される。JPCERT/CCも10月8日の注意喚起で、保存期間を過ぎたデータや利用目的を終えたデータを残さないことを対策に挙げている。
利用者・運用者がいまできること
事実（発表に基づく）
- 対象期間にHISでタイに出発した人は、HISからの個別連絡を確認する。心当たりがあれば、お客様特設窓口（0120-945-146）に問い合わせる。
考察（利用者向け）
- パスポート番号や生年月日を添えて本人確認を求めたり、旅行代金の返金や補償を持ちかけたりする連絡は、HISを名乗っていても詐欺を疑い、公式の窓口に確認する。
- パスポートは有効期間が残っていても切替申請で新しく作り直せる（手数料がかかる）。番号を変えたいほど心配かどうかは、HISの続報も見て判断したい。
考察（運用者向け）
- 海外拠点のサーバーやネットワーク機器も、本社と同じ基準で更新・監視の対象に入れる。
- 顧客の身分証の写しは、用途を終えたら消す。保存する場合も、会計記録など他のデータと分けて置き、どこに何件あるかを把握しておく。漏えい時の対象者特定の速さに直結する。
参考リンク
- 子会社ファイルサーバへの不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ（エイチ・アイ・エス、2026-10-07、PDF）
- HIS子会社からパスポート情報流出か、最大627人分 昨年の不正アクセスを公表（ITmedia NEWS、2026-10-07）
- HISのタイ現地法人に不正アクセス パスポート画像など流出（朝日新聞、2026-10-07）
- HIS 去年の不正アクセスで最大627人分のパスポート情報流出か（NHKニュース、2026-10-07）
- タイ子会社に不正アクセス、パスポート情報流出の可能性 - HIS（Security NEXT、2026-10-08）
- 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT/CC、2026-10-08公開・10-09更新）