エイチ・アイ・エスのタイ現地法人に不正アクセス、旅券情報 最大627人分

事案の概要データ

図解：この事故の構造

何が起きたのか

エイチ・アイ・エスは2026年10月7日、タイ現地法人のネットワークが不正アクセスを受け、最大627人分の旅券情報が流出したおそれがあると公表しました。侵入経路は公表されていません。

旅行業では、航空券やビザの手配のために顧客の旅券情報（番号・氏名・生年月日・旅券画像）を預かります。1件あたりの情報が重い業種です。

旅券情報は再発行しても危険が残る

旅券番号は再発行すれば変わります。しかし、氏名・生年月日・国籍・顔写真は変わりません。これらが揃った旅券の画像が流出すれば、なりすましの材料として長期間使われ続ける可能性があります。

2026年9月のタイムズカー（運転免許証画像 約160万件）、ニッポンレンタカー（免許証番号 41名）と並び、「本人確認書類そのものが流出する」事案が続いています。

旅行業・不動産業・人材業など、本人確認書類を預かる業種は、(1)業務完了後に画像データを削除する、(2)保存する場合は暗号化する、(3)誰がアクセスできるかを限定する、の3点を最優先で見直す価値があります。

海外拠点という弱点

この事案は、国内本社ではなくタイの現地法人が狙われました。2026年6月のサッポロホールディングス（海外子会社2社）、2025年の矢崎総業（海外拠点のVPNから国内基幹システムへ）と同じ構図です。

海外拠点は、現地の人員・予算の制約からセキュリティ対策が遅れがちです。にもかかわらず、本社のネットワークとつながっていることが多い。攻撃者はその「一番弱いところ」を探します。

時系列で見る経過

• 2026年10月タイ現地法人のネットワークへの不正アクセスが発生
• 2026年10月不正アクセスを把握し、調査を開始
• 2026年10月7日最大627人分の旅券情報が流出したおそれがあると公表

中小企業が学ぶべきポイント

1. 旅券・免許証などの本人確認書類の画像は、業務完了後に削除する。持ち続けない。
2. 保存が必要な場合は暗号化し、アクセスできる人を限定する。
3. 海外拠点のセキュリティ水準を本社が把握する。弱い拠点が全体の入口になる。
4. 本人確認書類は再発行しても顔写真・生年月日は変わらない。リスクは長期に残る。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope