要点
発表された事実
- 日本交通は2026年10月30日、7月11日に発生した社内システムへの不正アクセスについて第6報を公表し、外部の専門機関の調査で、個人情報が漏えいした可能性のある人が合計約29万人とわかったと発表した（日本交通 第6報、IT Postによる第6報の整理）。
- 対象は、ハイヤーの客、乗務員・職員（退職者を含む）、採用応募者（過去の応募者を含む）、従業員の家族、取引先の担当者、乗務員が関わった事故等の相手方の6区分（同）。
- 乗務員・職員の税・社会保障手続の情報と、従業員の家族の一部の情報にはマイナンバーが含まれる（同）。
- タクシー利用者の配車・乗車の情報は対象外で、同社はクレジットカード情報を持っていない。二次被害は確認されていない（同）。
- 7月の発生時は、マルウェア感染で電話によるタクシー配車やハイヤーのWeb受注・予約管理システムなどが止まり、配車アプリ「GO」経由の配車は通常どおりだった（ITmedia NEWS）。
わかっていないこと
- 侵入経路の詳細（遮断した「経路」が何だったか）と、感染したマルウェアの種類
- 実際に外部へ持ち出されたデータの範囲（「可能性」としての公表）
- 対象者への通知が完了する時期
関係しそうな既知の手口
- 外部から社内システムへの接続経路（VPNやリモート接続）を入口にした侵入とマルウェア感染は国内でもよく見られる。同社は再発防止策に「外部から社内システムへ接続する方式の刷新」を挙げているが、入口がそこだったとは明言していない（考察）。
概要
- タクシー大手の日本交通が、7月の不正アクセスの調査結果として、約29万人分の個人情報が漏えいした可能性を公表した。
- 最も多いのは採用応募者の約10万7,900人で、事故の相手方約7万2,000人、乗務員・職員約6万100人が続く。
- 対象は乗客ではなく、働いた人・応募した人・家族・事故で関わった人など、会社と書類上の関係を持った人たち。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-07-11（土）未明 | 社内システムへの不正アクセス。検知後にシステムを遮断（ITmedia NEWS） |
| 07-13（月） | 第1報。マルウェア感染を公表。電話配車、ハイヤーのWeb受注・予約管理システム、一部の社内システムが停止。この時点で情報漏えいは確認していないと説明（同） |
| 10-05（月） | 電話配車の再開を発表（報道による。IT Post） |
| 10-30（金） | 第6報。漏えいの可能性がある範囲を約29万人と公表（第6報） |
発表内容の整理
事実（日本交通の第6報による。件数・項目はIT Postの整理で確認）
| 対象者 | 主な項目 | 件数 |
|---|---|---|
| ハイヤーの客（申込担当者・乗車した人） | 氏名、自宅住所、電話番号、FAX番号、メールアドレス | 約13,100人 |
| 乗務員・職員（退職者を含む） | 氏名、住所、生年月日、性別、連絡先、本人確認書類の情報、人事情報、給与の支払い情報、税・社会保障手続の情報、健康診断の結果など | 約60,100人 |
| 採用応募者（過去の応募者を含む） | 氏名、住所、生年月日、性別、連絡先、学歴・職歴、応募書類の情報 | 約107,900人 |
| 従業員の家族 | 氏名、続柄、生年月日、住所・世帯構成、扶養・控除手続の情報 | 約37,700人 |
| 取引先の担当者 | 会社名、氏名、住所、連絡先、振込先の情報 | 約2,100人 |
| 乗務員が関わった事故等の相手方 | 氏名、住所、生年月日、性別、連絡先、事故対応・保険手続のための情報 | 約72,000人 |
- 本人確認書類の情報には、運転免許証や在留カードなどの情報、顔写真、銀行口座の情報を含む場合がある。事故の相手方の情報にはけがの状況などを含む場合がある（同）。
- 実施済みの対策：侵入に使われた経路の遮断と感染機器の停止・隔離、外部接続経路の見直しとアカウント・パスワードの再設定、重要アカウントへの多要素認証、監視の導入、個人情報の保管期間のルール策定と削除、緊急対策本部の設置（同）。
- 今後の対策：ハイヤーWEB予約システムの再構築、外部から社内へ接続する方式の刷新と認証強化、委託先のセキュリティ確認、全従業員の教育・訓練、大規模障害を想定した手順の整備（同）。
- 個人情報保護委員会と警察などに報告している。対象者には書面またはメールで順次通知している（同）。
考察
約29万人のうち乗客にあたるのはハイヤー客の約1万3,100人だけで、大半は過去の応募者、退職者、家族、事故の相手方の情報だった。再発防止策に「保管期間のルール策定と削除」が入っていることから、不要になった情報が長く残っていたことが被害の範囲を広げた面がある（考察）。
事故の相手方のけがの状況や健康診断の結果は要配慮個人情報にあたりうる。マイナンバーも含まれるため、通知を受けた人は、名前や住所を言い当てて信用させる連絡に特に注意が必要になる（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは2026年10月の注意喚起で、国内組織の不正アクセスに対する汎用的な対策の一つとして、「法令や契約等で定められた保存期間を過ぎたデータや利用目的を終えたデータを残さない」ことを挙げている（JPCERT/CC 注意喚起）。この注意喚起は9月前後に相次いだ漏えい事案を対象にしたもので、7月の日本交通の件を扱ったものではない。
考察
日本交通はランサムウェアとは発表しておらず、「マルウェア感染」としている。侵入の入口も公表されていない。そのうえで、再発防止策で「外部から社内システムへ接続する方式の刷新」と重要アカウントへの多要素認証が強調されていることから、リモート接続の経路と認証が見直しの中心になっていると読める（考察）。
利用者・運用者がいまできること
- 日本交通で働いたことがある人、応募したことがある人、事故で関わった人などは、同社からの通知を確認する。同社は電話やメールで暗証番号・パスワード・認証コードを尋ねることはないとしている。
- 心当たりのない電話・メール・SMS・郵便物に応じず、リンクや添付を開かない。生年月日や電話番号をパスワードや暗証番号に使っている場合は変更する。
- 不審な連絡を受けたら、同社のコールセンター（0120-009-098、平日9時〜17時）に連絡する。
- 運用者は、採用・人事・事故対応の書類について保管期間を決め、不要になったデータを実際に消しているかを点検する。