HIS（株式会社エイチ・アイ・エス）不正アクセスで、パスポート情報などが流出した可能性

要点

何があったの？

HISは、タイ法人のファイルサーバーで第三者による不正アクセスを確認しました。不審なアクセスにより、サーバー内のデータの一部が不正に引き出された可能性があると発表しています。^[2]

だれが言っているの？

株式会社エイチ・アイ・エスが2026年10月7日に発表しました。^[2]

どこまで影響があるの？

対象は、HISのタイ現地法人 H.I.S. TOURS CO., LTD. のファイルサーバーです。^[2]

何がもれたの？

最大627人分のパスポート情報（アルファベットの氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限）とアレルギー情報が含まれていた可能性があります。^[2]

もれていないものは？

電話番号、住所、メールアドレス、クレジットカード情報は含まれていないと発表されています。^[2]

対象者は？

対象は、2017年、2019～2020年、2024～2025年にタイへ出発した団体旅行の利用者と、2024年11月に日本を出発し、バンコクのプルマンホテルに宿泊してチェンマイのコムローイ祭りに参加した個人旅行の利用者です。人数は最大627人と発表されています。^[2]

日本でも関係ある？

サーバーには、日本で取得した個人情報の一部が含まれていたと発表されています。^[2]

どう対応しているの？

不正アクセスの検知後、タイ法人は該当するネットワークを切断し、外部からのアクセスを制限しました。個人情報保護委員会と認定個人情報保護団体のJIPDECに報告し、連絡先が特定できた利用者には順次個別に連絡するとしています。また、海外のセキュリティ強化と本社のシステム監視体制の厳格化に取り組むと発表しています。^[2]

流出した情報

流出が確認された情報なし（調査中）

• 最大627人分のパスポート情報（アルファベットの氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限）[s2]流出した可能性
• アレルギー情報[s2]流出した可能性
• 電話番号[s2]含まれないと発表
• 住所[s2]含まれないと発表
• メールアドレス[s2]含まれないと発表
• クレジットカード情報[s2]含まれないと発表

わかっていないこと

• 不正アクセスの原因や手口は、発表資料に記載されていません。
• データが実際に引き出されたかどうか、および実際に影響を受けた人数は確定していません。発表では最大627人分の情報が含まれていた可能性があるとされています。

経緯

1. 2025年12月11日

   タイ法人のファイルサーバーに入っていた不正アクセス検知ソフトが警告を出しました。HISは不正アクセスの可能性が高いと判断し、サーバーをネットワークから切断して外部からのアクセスを制限しました。^[2]

2. 2025年12月29日

   サーバー内に日本で取得した個人情報の一部が含まれていることを確認し、個人情報保護委員会とJIPDECに報告しました。^[2]

3. 2月24日

   外部専門家の調査で、最大627人分のパスポート情報が含まれていることが判明しました。HISはサーバー内のすべてのファイルを確認することにしました。^[2]

4. 10月7日最新

   すべてのファイルの確認を終え、HISが流出の可能性と対象となる利用者、対応について公表しました。^[2]

報道・外部の情報

• 国内報道Security NEXTは、HISのタイ子会社への不正アクセスと、パスポート情報が流出した可能性を報じています。^[1]

10月8日に確認

出典

1. [1]
   Security NEXTの記事国内報道｜2026年10月8日｜参照 10月8日原文を開く
2. [2]
   株式会社エイチ・アイ・エス「子会社ファイルサーバへの不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ」公式発表｜2026年10月7日｜参照 10月8日原文を開く
3. [3]
   HIS「会社概要」組織の紹介（公式サイト）｜参照 10月8日原文を開く

更新履歴

1. 10月8日公開