事案の概要データ
| 公表日 | 2026年10月21日 |
|---|---|
| 発覚のきっかけ | 社外からの問い合わせを受けた初期調査 |
| 外部アクセス遮断 | 2026年10月18日 |
| 新規予約の停止 | 2026年10月20日 16時30分（OTSレンタカー、OTS HOTEL等） |
| 停止前の予約 | 利用可能 |
| 件数・項目 | 公表されていない |
| 侵入手口 | 未公表 |
図解：この事故の構造
何が起きたのか
沖縄ツーリストは2026年10月21日、社外からの問い合わせを受けた初期調査で情報漏えいの可能性を確認したことを公表しました。
2026年10月18日から該当サイトの外部アクセスを遮断し、20日16時30分からはOTSレンタカー、OTS HOTELなどの新規予約を停止しています。停止前の予約は利用可能です。
件数や対象項目は公表されておらず、侵入手口も未公表です。
「社外からの問い合わせ」で気づいた
発覚のきっかけは、社外からの問い合わせでした。自社の監視で気づいたのではありません。
2026年10月は、外部からの指摘で発覚した事案が続きました。10月15日のメドレー（外部機関からの情報提供）、10月20日のアイドマ・ホールディングス（警察からの連絡）です。
自社で気づけるかどうかは、ログを取っているか、それを見る運用があるかで決まります。外部から知らされる段階では、すでに情報が出回っている可能性があります。
一方で、問い合わせを受けてから遮断まで短期間で動いている点は評価できます。指摘を軽く扱わず、すぐ調べて止めたということです。
旅行業が持つ情報
旅行会社の予約システムには、氏名・連絡先に加えて、「いつ、どこへ行くか」という情報が記録されます。
レンタカーであれば運転免許の情報、宿泊であれば同行者の情報が含まれることもあります。2026年10月7日のエイチ・アイ・エス（タイ現地法人・旅券 最大627人分）でも、本人確認書類が対象になりました。
そして「いつ家を空けるか」が分かる情報でもあります。旅行の予定が知られれば、空き巣の標的になりうるという指摘もあります。
対象となりうる方は、沖縄ツーリストを装った連絡（予約内容の確認、追加決済の依頼など）に警戒してください。
「停止前の予約は利用可能」を明示
新規予約を止めつつ、すでに予約済みの分は利用できることが明示されています。
これは利用者にとって重要な情報です。旅行は予定が決まっているため、「予約した旅行はどうなるのか」が最大の関心事になります。
2026年10月17日のゲオ（停止前の注文商品は発送）でも同様の案内がありました。サービスを止めるときは、「何が止まり、何は続くのか」を分けて伝えることで、問い合わせの殺到を防げます。
時系列で見る経過
- 2026年10月社外からの問い合わせを受け、初期調査で漏えいの可能性を確認
- 2026年10月18日該当サイトの外部アクセスを遮断
- 2026年10月20日 16時30分OTSレンタカー、OTS HOTEL等の新規予約を停止（停止前の予約は利用可能）
- 2026年10月21日事案を公表
中小企業が学ぶべきポイント
- 外部からの指摘を軽く扱わない。すぐ調べて、必要なら止める。
- 自社で気づくにはログが要る。外部から知らされる段階では情報が出回っている。
- サービス停止時は「何が止まり、何は続くのか」を分けて伝える。
- 旅行の予約情報は「いつ家を空けるか」が分かる。通常の個人情報とは別のリスクがある。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。