HISタイ法人のサーバーに不正アクセス、最大627人分のパスポート情報が流出の可能性　検知から公表まで約10か月、HISは「意図的な調整は一切ない」

【何が起きたか】旅行会社の株式会社エイチ・アイ・エス（HIS、東証プライム）は2026年10月7日、タイの現地法人H.I.S. TOURS CO., LTD.のファイルサーバーが第三者の不正アクセスを受け、データの一部が不正に引き出された可能性があり、最大627人分のパスポート情報などが流出した可能性があると発表した。不正アクセスの検知は2025年12月11日で、公表まで約10か月かかった。 【流出した可能性のある情報・対象者】パスポート情報（アルファベットの氏名、署名欄の名前、性別、生年月日、旅券番号、有効期限）とアレルギー情報。電話番号、住所、メールアドレス、クレジットカード情報などは含まれない。対象は、2017年、2019〜2020年、2024〜2025年にHISを利用してタイへ出発した客。同日19時30分の追記で、個人旅行は「2024年11月に日本を出発し、バンコクのプルマンホテルに宿泊してチェンマイのコムローイ祭りに参加した客」、団体旅行は上記の期間にタイへ出発した客と示した。 【経緯（HISの発表による）】 ・2025年12月11日：タイ法人のファイルサーバーの不正アクセス検知ソフトが警報を出し、サーバーをネットワークから切り離して外部からのアクセスを制限。外部専門家を含む調査で、データの一部が不正に引き出された可能性が判明。 ・2025年12月29日：サーバー内に日本で取得した個人情報の一部が含まれていると確認し、個人情報保護委員会と認定個人情報保護団体の日本情報経済社会推進協会（JIPDEC）に報告。 ・2026年2月24日：外部専門家の調査で、最大627人分のパスポート情報が含まれていると判明。サーバー内の全ファイルを確認すると決定。 ・2026年10月7日：全ファイルの確認を終え、連絡先が分かった客に個別連絡を始めるとともに、特定が難しい人にも知らせるためホームページで公表。 【公表が遅れた理由（HISの説明）】サーバー内に会計記録など個人情報と関係のないデータが大量に混在し、ファイル形式や保存状態もさまざまで、機械的な処理や検索ができなかった。情報の正確性を期すため、一つひとつのデータを手作業も含めて精査・照合する必要があり、対象データの特定と連絡先の抽出に相当の時間がかかったとしている。女性自身の取材に対しては「他の事案に紛れ込ませる目的で公表時期を意図的に調整したという事実は一切ございません」と回答した。627人分と判明してから公表までも約7か月半あった。個人情報保護法は、漏えいの際の本人への通知を「当該事態の状況に応じて速やかに」行うよう定めている。 【報道・SNSの反応】ライブドアニュースが10月10日にXで「【物議】HISからパスポート情報流出、"約1年後に公表"の事情」と投稿し、表示は85万回を超えた。公表時期は、タイムズカーや焼肉きんぐなどの流出の公表が相次いだ時期と重なっており、SNSでは公表を遅らせた理由を疑う声が出た。HISは上記のとおり意図的な調整を否定している。 【再発防止策】海外拠点のセキュリティをさらに強化し、本社によるシステムの監視体制を厳しくするとしている。個人情報が悪用されるなどの事態が起きた場合は「適切な措置を講じる」と説明。問い合わせはお客様特設窓口（0120-945-146、平日11〜18時）。 【責任者】HISの代表取締役社長は澤田秀太氏（2025年10月に、2026年1月28日付で社長に就く人事が発表された。前社長の矢田素史氏は代表取締役会長）。発表文は会社名義で、社長や役員のコメント、処分は示されていない。タイ現地法人の代表者名も記載されていない。 【未公表の点（10月10日時点）】侵入の手口と攻撃者、実際に引き出されたデータの範囲、パスポート情報の悪用の有無、個別連絡が済んだ人数。 【同じ時期の流出】9月下旬から10月上旬の個人情報流出・不正アクセスの公表の一覧は、当サイトの「個人情報流出・不正アクセスの公表が相次ぐ（2026年9〜10月）」（/incident/24）にまとめている。