H.I.S. 最大627名の情報漏えいの可能性、パスポート情報とアレルギー情報で何をされるのかまとめました

2026年10月7日、株式会社エイチ・アイ・エスは、タイ現地法人のH.I.S. TOURS CO., LTD.のファイルサーバが第三者の不正アクセスを受け、データの一部が不正に引き出された可能性があると公表しました[1]。流出した可能性があるのは、最大627名のパスポート情報（アルファベットの氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限）とアレルギー情報です。電話番号、住所、メールアドレス、クレジットカード情報などは含まれていない、としています。

連絡先やカード情報が含まれていない点は、ひとまず安心材料です。ただ、それで安心とは言い切れません。パスポートは「本人であること」を示すための書類で、その主な記載事項（氏名・生年月日・パスポート番号など）がまとめて外に出た可能性があるからです。

「自分のパスポートの情報で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れたかもしれない情報が悪用されうる場面と、H.I.S.のサービスで本人確認が使われる場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• パスポート番号・氏名・生年月日は、「本人しか知らないはずの情報」として本人確認に使われることがあります。それがそろって知られた可能性がある、という前提で考えるのが安全です。
• 心当たりのある方は、旅行会社や航空会社を名乗る連絡に、すぐ応じないこと。公式サイトに載っている窓口から確かめるのが安全です。
• 会社側がまず見直したいのは、海外拠点を含む社内のファイルサーバや接続のログインと、窓口で「旅券番号が合えば本人」と見なしていないかです。

なお、本記事は公表文と公式のよくある質問など、公開情報だけをもとにしています。ログイン画面などを実際に試す調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

公表まで時間がかかった理由について同社は、サーバ内に個人情報と無関係のデータが大量に混ざっており、手作業を含めて一つずつ照合する必要があったため、としています[1]。侵入の経路は公表文に記載がありませんでした。

漏れた情報で、何ができてしまうか

今回の情報は、連絡先ではなく「その人が誰か」を示す情報です。ここが、メールアドレスや電話番号が漏れる事故との大きな違いです。

一方で、連絡先は含まれていないとされています[1]。攻撃者が今回の情報だけで本人に直接連絡するのは、すぐにはできません。ただ、別の事故で漏れたメールアドレスや電話番号と、氏名・生年月日で突き合わせられれば話は変わります。名簿は、つなぎ合わされて価値が上がるものだからです。

なお、顔写真は今回の情報に含まれていません。弱いのは、電話やネットで「番号を言える」ことを本人の証拠にしている場面です。

H.I.S.で本人確認が使われる場所

公式のよくある質問など、公開情報で確認できた範囲で並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

利用者向けのログインには、すでにパスキーの選択肢があるようです[4]。パスキーは、端末に入った鍵で本人を確かめる方式で、「知っている情報」が漏れても影響を受けにくい形です。

会社がまず見直すとよい所（優先順）

公表文の再発防止策は「海外におけるより一層のセキュリティ強化」と「本社によるシステムモニタリング体制」の厳格化で、多要素認証など認証の見直しについての記載はありませんでした[1]。認証の観点からは、次の順で見直すことが考えられます。

1. 海外拠点を含む、社員や委託先のログインを点検する。ファイルサーバやリモート接続に、IDとパスワードだけで入れる所が残っていないかを確かめます。本社の目が届きにくい拠点ほど、守りの差が出やすい所です。あわせて、対象に2017年の出発の方まで含まれていることから、古い情報をどこまで持ち続けるかも見直したい点です。
2. 窓口の本人確認から「書類に書いてある情報」を外す。電話や店舗で、氏名・生年月日・パスポート番号が言えれば本人と見なしている部分があれば、そこが一番の穴になります。仕組みを作り直さなくても、運用の見直しから始められます。
3. 予約のひもづけや変更に、「持っているか」の確認を足す。予約番号と電話番号の入力は「知っているか」の確認です。ログインにパスキーが選べるように、予約まわりでも、本人の端末や回線を持っているかを確かめる形を広げる余地があります。

認証の観点から：「書類の中身を知っている」と「本人の回線を持っている」は違う

今回、最大627名分のパスポートの主な記載事項が、第三者の手に渡った可能性があります。ここで分けて考えたいのは、「本人確認書類の中身を知っていること」と「本人の端末や電話回線を実際に持っていること」は別物だという点です。

前者は、もう第三者に知られてしまったかもしれません。しかも氏名や生年月日は、パスワードのように変えることができません。一方で後者は、情報が漏れても変わりません。漏えいの後にこそ効いてくるのは、「知っているか」ではなく「持っているか」を確かめる形に寄せることです。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を『制限付き（restricted）』の手段と位置づけています[5]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

窓口や予約の変更での本人確認に、「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら