要点
発表された事実
- 沖縄ツーリストは2026年10月21日、同社が運営するサービスで顧客の個人情報が漏えいした可能性があることを確認し、一部サービスを一時停止していると公表した（沖縄ツーリスト）。
- きっかけは社外からの個人情報漏えいに関する問い合わせで、初期調査の結果、漏えいが発生した可能性を確認した。外部専門家の協力を得て、対象となる情報、影響範囲、原因を調べている（同）。
- 安全確保のため10月18日から「当該サイト」への外部からのアクセスを遮断し、個人情報保護委員会への報告を含む対応を進めている（同）。
- 10月20日16時30分から、OTSレンタカー、OTS HOTEL、OTS ACTIVITIES、デジタルDMOプラットフォーム、OTS Club の新規予約受付を停止した。それまでに申し込みを終えた顧客は申込内容どおり利用できる。ほかのサービスは継続している（同）。
わかったこと
- 【2026-10-22】NHKは10月22日、沖縄のレンタカー事業などを行う会社から漏えいした可能性がある運転免許証の画像などの個人情報のデータが、闇サイトで販売されていることがNHKとセキュリティー会社の調査で分かったと報じた。見出しでは「免許証画像4000件など」としている（NHK）。沖縄ツーリストの公式発表には、まだ漏えいした項目や件数、販売の事実は書かれていない（沖縄ツーリスト）。
- 【2026-10-23】（報道）琉球新報（10月23日）によると、沖縄ツーリストは22日の取材に「当社のお客さまの情報に関するものとみられる掲載が外部にあることは把握している」と答え、漏えいの有無を含めて調べているとした。同紙は、シンガポールのサイバー脅威分析会社サイファーマが5月の報告で、ダークウェブ上にOTS関連の情報を持っていると販売をうたう投稿を確認していたと報じた。投稿には氏名・生年月日・連絡先・住所のほか、運転免許証などの画像が含まれるとされ、21日に止めたレンタカーサイトのドメインも含まれていたという。サイファーマの報告はデータが本物かどうかを検証したものではない（琉球新報）。
- 【2026-10-23】（報道）沖縄タイムス（10月23日）は、OTSの保有する個人情報とされるデータが闇サイトで販売されていることがトレンドマイクロへの取材で分かったと報じ、見出しで「『OTSから盗んだ』闇サイトで60万件販売」とした。OTSは流出した情報かどうかを確認しているという（沖縄タイムス、本文の大半は有料会員向けで未確認）。
- 【2026-10-23】10月23日朝の時点で、沖縄ツーリストのお知らせのページ（沖縄ツーリスト）は「予防的な措置としてホームページを一時停止」とする緊急メンテナンスの表示に変わっており、再開は未定とされている。
- 【2026-10-24】沖縄ツーリストは10月23日の第二報で、外部に流出した情報と同社が保有する情報の照合により、個人情報の漏えいを確認したと公表した。対象は最大約73万人。項目は氏名、生年月日、性別、住所、電話番号、メールアドレス、Facebook ID、運転免許証の発行日・有効期限・番号（日本の免許証のみ）（沖縄ツーリスト 第二報）
- 【2026-10-24】クレジットカード情報は当該システムで保持しておらず、漏えいはない。運転免許証の画像（最大6,000件）は別のデータベースで管理しており、漏えいの有無を調査中（沖縄ツーリスト 第二報）
- 【2026-10-24】警察と個人情報保護委員会に報告済みで、外部専門家と原因や影響範囲の調査を続けている（沖縄ツーリスト 第二報）。沖縄タイムス（10月23日）も「最大73万人の個人情報流出」と報じた（沖縄タイムス）
わかっていないこと
- 外部から遮断した「当該サイト」がどれか
- 漏えいした可能性のある情報の項目と件数（【2026-10-24追記】10月23日の第二報で、最大約73万人・氏名や運転免許証番号など8項目の漏えいが確認された。運転免許証の画像（最大6,000件）は調査中）（【2026-10-22追記】NHKは運転免許証の画像など、見出しで4000件と報じた。会社の発表はまだない）（【2026-10-23追記】沖縄タイムスは見出しで「60万件販売」と報じたが、会社の発表はまだない）
- 社外からの問い合わせが何を示していたのか（データの公開・販売、不審な連絡など）（【2026-10-22追記】NHKは闇サイトでの販売を報じたが、問い合わせとの関係は公表されていない）（【2026-10-23追記】会社は琉球新報の取材に、顧客の情報とみられる掲載が外部にあることは把握していると答えた。また、5月の時点でダークウェブに販売の投稿があったとする報告もある）
- 不正アクセスによるものか、ほかの原因か（【2026-10-24追記】第二報でも原因は調査中）
- 【2026-10-24追記】運転免許証の画像（最大6,000件、別データベース）が漏えいしたかどうか
- 予約サービスの再開時期
- 【2026-10-23追記】闇サイトに販売の投稿が出た時期と、不正アクセスが始まった時期（5月の報告の時点で情報が抜かれていたのか）
関係しそうな既知の手口
- （考察）旅行・宿泊の予約情報は、予約内容を知っている体裁の偽メッセージに使われやすい。宿泊予約の連携システム「TEMAIRAZU」の事例では、予約情報の流出と、予約内容を知る偽メッセージが同時に問題になった。
概要
- 沖縄の旅行会社が、社外からの問い合わせをきっかけに個人情報漏えいの可能性を確認した。
- 10月18日に該当サイトを外部から遮断し、20日からレンタカー・ホテル・アクティビティなど5サービスの新規予約を止めている。
- 漏えいの対象、件数、原因はまだ公表されていない。【2026-10-24追記】10月23日の第二報で、最大約73万人分の漏えいが確認され、項目も公表された。原因は調査中。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 10月18日以前 | 社外から個人情報漏えいに関する問い合わせを受け、初期調査（沖縄ツーリスト。問い合わせの日付は未公表） |
| 2026-10-18（日） | 該当サイトへの外部からのアクセスを遮断（沖縄ツーリスト） |
| 2026-10-20（火）16:30 | 個人情報を扱う5サービスの新規予約受付を一時停止（沖縄ツーリスト） |
| 2026-10-21（水） | 個人情報漏えいの可能性とサービス停止を公表（沖縄ツーリスト） |
| 2026-10-22（木）11:54 | NHKが、運転免許証の画像など（見出しでは4000件）のデータが闇サイトで販売されていると報道（NHK） |
| 2026-10-23（金） | 琉球新報が、5月にもダークウェブでOTS関連情報の販売投稿が確認されていたと報道。沖縄タイムスは見出しで「60万件販売」と報道。会社のお知らせページは緊急メンテナンスの表示に（琉球新報、沖縄タイムス） |
| 2026-10-23（金） | 第二報。照合の結果、最大約73万人の個人情報（氏名、生年月日、性別、住所、電話番号、メールアドレス、Facebook ID、運転免許証の発行日・有効期限・番号）の漏えいを確認。カード情報は保持なし。免許証画像（最大6,000件）は調査中。警察・個人情報保護委員会に報告（沖縄ツーリスト 第二報） |
発表内容の整理
事実（沖縄ツーリストの発表）
| 項目 | 内容 |
|---|---|
| 発覚のきっかけ | 社外からの個人情報漏えいに関する問い合わせ |
| 現状 | 個人情報が漏えいした可能性を確認。対象情報・影響範囲・原因を外部専門家と調査中 |
| 遮断 | 10月18日から該当サイトへの外部アクセスを遮断 |
| 新規予約を止めたサービス | OTSレンタカー、OTS HOTEL、OTS ACTIVITIES、デジタルDMOプラットフォーム、OTS Club（10月20日16時30分から） |
| 既存の予約 | 10月20日16時30分までに申し込み済みなら申込内容どおり利用可能 |
| 当局への報告 | 個人情報保護委員会への報告を含め対応中 |
| 問い合わせ | OTSレンタカー otsrc.change@otsinfo.co.jp、OTS HOTEL otsh.change@otsinfo.co.jp、OTS ACTIVITIES otsa.change@otsinfo.co.jp |
事実（報道）
- 沖縄タイムスは、アクティビティ予約サイトやレンタカーサイト、ホテルサイトで顧客の個人情報が漏えいした可能性があると報じた（沖縄タイムス）。
- 【2026-10-22追記】NHKは、沖縄のレンタカー事業などを行う会社から漏えいした可能性がある運転免許証の画像などのデータが闇サイトで販売されていることが、NHKとセキュリティー会社の調査で分かったと報じた（NHK）。
考察
発表は「漏えいした可能性」とだけ書き、不正アクセスという言葉を使っていない。社外からの問い合わせが発端だったことから、外部で同社の顧客データとみられるものが見つかった、あるいは顧客に不審な連絡が届いたといった事情が考えられるが、発表からは判断できない（考察）。
レンタカーや宿泊の予約には、旅行の日程、宿泊先、同行者、連絡先が含まれる。これらが漏れた場合、「予約の変更」「返金」をうたう偽の連絡が具体的な予約内容つきで届くおそれがあり、利用者がだまされやすい（考察）。
【2026-10-22追記】報道どおり運転免許証の画像が出回っているなら、住所・生年月日・顔写真がそろうため、なりすましでの口座開設や携帯電話の契約などに使われるおそれがある。同じ10月に免許証画像などの流出が起きたタイムズカーの事例と同じ種類のリスクだ（考察）。
関係しそうな既知の手口
事実（既知の知見・同種事例）
- 宿泊予約の連携システム「TEMAIRAZU」では、最大約445万人分の予約情報が対象となり、予約内容を知る偽メッセージも確認された（当サイトのTEMAIRAZUの記事）。
- skyticketでは、経路の違う3件の不正アクセスで約1464万件が対象になった（当サイトのskyticketの記事）。
考察
旅行・予約サイトは、予約を受けるために外部のシステムやアプリのAPIと連携していることが多い。JPCERT/CCが報告した、アプリを解析してAPIを突く攻撃（JPCERT/CC Eyes）の対象になりやすい種類のサービスでもある（考察。本件の原因は未公表）。
利用者・運用者がいまできること
- OTSのレンタカー・ホテル・アクティビティなどを利用したことがある人は、同社公式サイトの続報を確認する。
- 「予約の取り直し」「返金」「支払い情報の再登録」を求めるメールやSMSが来ても、本文のリンクから入力せず、公式サイトの窓口で確かめる。
- 同社サービスと同じパスワードを他のサービスで使っている場合は、変更しておく。
- レンタカーの予約で運転免許証の画像を登録したことがある人は、身に覚えのない契約やカード・ローンの申し込みの連絡がないか注意する（考察）。
- 予約サービスを運営する事業者は、外部から「漏えいしていないか」と問い合わせが来たときに、誰が受けて、どの順で事実確認と停止を判断するかを決めておく。
参考リンク
- 沖縄ツーリスト「お客様の個人情報漏えいの可能性とサービスの一時停止についてのお知らせ」（2026年10月21日）
- 沖縄タイムス「沖縄ツーリストにサイバー攻撃か 個人情報漏えいの可能性」（2026年10月21日）
- 琉球新報「沖縄ツーリストにサイバー攻撃か 一部サービスを停止」（2026年10月21日）
- JPCERT/CC Eyes「連続不正アクセス事案の攻撃手法に関する調査」（2026年10月15日）
- NHK「免許証画像4000件など漏えいか 闇サイトで販売も レンタカー事業などを行う沖縄の会社から」（2026年10月22日）
- 琉球新報「漏えいの沖縄ツーリスト顧客情報 闇サイト販売か 免許証画像も」（2026年10月23日、dメニューニュース掲載）
- 沖縄タイムス「個人情報『OTSから盗んだ』 闇サイトで60万件販売 沖縄ツーリスト、流出情報か確認進める」（2026年10月23日、有料記事）
- 沖縄ツーリスト「お客様の個人情報漏えいに関する調査状況についてのお知らせ（第二報）」（2026年10月23日）
- 沖縄タイムス「沖縄ツーリストで最大73万人の個人情報流出 偽メールなど悪用に注意呼びかけ」（2026年10月23日）