概要

2025年12月11日、タイ法人のファイルサーバで検知ソフトが警告を発し、該当サーバをネットワークから切断した。外部専門家を交えた調査で一部データが不正に引き出された可能性が判明し、12月29日に日本で取得した個人情報が含まれていることを確認、個人情報保護委員会とJIPDECに報告した。対象は2024年11月出発のチェンマイ・コムローイ祭り参加の個人旅行客や、2017年、2019～2020年、2024～2025年にタイへ出発した一部の団体旅行客。電話番号、住所、メールアドレス、クレジットカード情報は含まれていない。会計記録などが大量に混在しファイル形式も多様だったため、精査に時間を要し公表は2026年10月7日となった。

経緯

経緯情報は未登録です。

原因

タイ現地法人のファイルサーバへの不正アクセスにより一部データが不正に引き出された可能性がある。侵入経路は記事中で明らかにされていない。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

627

サービス停止

不明

金銭的被害

不明

対象システム

H.I.S. TOURS CO., LTD. ファイルサーバ

漏洩した情報

• 可能性あり氏名（アルファベット表記）・署名欄の名前
• 可能性あり性別
• 可能性あり生年月日
• 可能性ありパスポート番号・有効期限
• 可能性ありアレルギー情報

タイへ渡航した一部顧客最大627人分のパスポート情報とアレルギー情報が流出した可能性。全員分の流出が確定したわけではない。電話番号、住所、メールアドレス、クレジットカード情報は含まれていない。

対応

検知後に該当サーバをネットワークから切断し、外部専門家を交えて調査。個人情報保護委員会とJIPDECに報告し、連絡先を特定できた顧客へ順次通知している。

• 該当サーバのネットワークからの切断
• 外部専門家による調査
• 個人情報保護委員会・JIPDECへの報告
• 対象顧客への順次通知
• 海外拠点のセキュリティ対策強化
• 本社による監視体制の強化

教訓・対策

• 海外子会社を含めたセキュリティ対策と本社による監視体制が必要
• ファイルサーバに個人情報と会計記録などが混在していると、影響範囲の特定と公表に時間がかかる

参考資料

1. HIS、最大627人のパスポート情報などが流出した可能性 タイ子会社への不正アクセスを公表
   サイバーセキュリティ.com公開日: 2026-10-07報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

株式会社エイチ・アイ・エス

関連するインシデント

関連付けられたインシデントはありません。