HISの情報漏洩｜タイ現地法人の最大627名と利用者が確かめること 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓HISのタイ現地法人のファイルサーバーへの不正アクセスで
✓最大627名のパスポート情報とアレルギー情報が流出した可能性が公表されました
✓利用者が確かめることを2026年10月20日時点の公式発表から整理します

株式会社エイチ・アイ・エス（HIS）は2026年10月7日、タイの現地法人 H.I.S. TOURS CO., LTD. のファイルサーバーが第三者の不正アクセスを受け、最大627名のパスポート情報とアレルギー情報が流出した可能性があると発表しました。対象は2017年、2019年から2020年、2024年から2025年にHISを利用してタイへ出発した人で、電話番号、住所、メールアドレス、クレジットカード情報は含まれていないと説明しています。該当しそうな人がまずすることは、自分の旅行が対象の時期と内容に当てはまるかを確かめ、分からなければHISの特設窓口に問い合わせることです。

この記事では、2026年10月20日時点で公式に発表されている内容だけをもとに、発表までの経緯、流出した可能性のある情報と含まれない情報、対象になる旅行の条件、会社の対応、問い合わせ窓口、利用者が確かめることを順に説明します。不正アクセスの検知は2025年12月で、公表までに10か月近くかかっています。その理由についても、会社が発表で説明している内容を紹介します。

2026年10月20日時点で分かっていることの要点

まず、公式発表から分かっていることを短く整理します。

不正アクセスを受けたのは、HISのタイ現地法人 H.I.S. TOURS CO., LTD. のファイルサーバー
2025年12月11日、ファイルサーバーの不正アクセス検知ソフトが警告を出し、サーバーをネットワークから切り離した
流出した可能性があるのは、最大627名のパスポート情報（アルファベットの氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限）とアレルギー情報
電話番号、住所、メールアドレス、クレジットカード情報などは含まれていない
対象は、2017年、2019年から2020年、2024年から2025年の期間に、HISを利用してタイへ出発した人
連絡先が分かった人には順次個別に連絡し、特定が難しい人にも知らせるために公表した
問い合わせは、お客様特設窓口（電話0120-945-146、平日11時から18時）で受け付けている

「最大627名」という表現は、流出した可能性がある人数の上限という意味です。627名全員の情報が確実に流出したと確定したわけではありません。この記事でも、会社の表現どおり「流出した可能性」「最大」と書きます。

2026年10月20日時点で、HISのニュースリリースの一覧に本件の続報は出ていません。発表のPDFには、10月7日19時30分に対象となる旅行の内容が追記されています。

発表までの経緯

発表のPDFには、不正アクセスの検知から公表までの流れが日付つきで書かれています。表にまとめます。

日付	出来事
2025年12月11日	タイ法人のファイルサーバーの不正アクセス検知ソフトが警告を出す。サーバーをネットワークから切り離し、外部からのアクセスを制限
その後	外部の専門家を含めた社内調査で、ファイルサーバーのデータの一部が不正に引き出された可能性が判明
2025年12月29日	サーバー内に日本で取得した個人情報の一部が含まれていることを確認。個人情報保護委員会と、認定個人情報保護団体の日本情報経済社会推進協会（JIPDEC）へ報告
2026年2月24日	外部専門家の調査で、最大627名のパスポート情報が含まれていることが判明。サーバーに保存されたすべてのファイルを確認すると決める
2026年10月7日	すべてのファイルの確認が完了。連絡先が特定できた人への個別連絡を始め、ホームページで公表
2026年10月7日19時30分	対象となる旅行の内容（個人旅行と団体旅行の条件）を追記

認定個人情報保護団体とは、個人情報保護委員会の認定を受けて、加盟する事業者の個人情報の扱いについて苦情の処理などを行う民間の団体のことです。HISは、個人情報保護委員会とあわせて、この団体にも報告したと説明しています。

発表の冒頭は、次のように始まっています。

この度、株式会社エイチ・アイ・エスのタイ現地法人である H.I.S. TOURS CO., LTD.（以下、タイ法人）にて、ネットワークに対する第三者による不正アクセスを受けたことを確認いたしました。出典: his.co.jp

公表までに時間がかかった理由

検知から公表まで10か月近くかかったことについて、HISは発表の中で「調査に時間を要した原因（理由）」という項目を設けて説明しています。要点は次のとおりです。

2026年2月24日に最大627名のパスポート情報が含まれていると分かったため、サーバーに保存されていたすべてのファイルを確認することにした
サーバーの中には、会計上の記録など、個人情報とは関係のないデータが大量に混ざっていた
ファイルの形式やデータの保存状態がさまざまで、機械的な処理や検索ができなかった
情報を正確にするため、1つひとつのデータを手作業も含めて精査し、照らし合わせる必要があった
その結果、対象のデータの特定と、連絡先の抽出に相当の時間がかかった

つまり、誰の情報が含まれていたのかを特定し、連絡できる状態にするまでに時間がかかった、という説明です。この記事では、公表までの期間が長いか短いかの評価はしません。利用者にとって大事なのは、対象になりうる旅行をした人が、いまの時点で確かめておくべきことです。

なお、個人情報保護委員会への報告は、検知から18日後の2025年12月29日に行ったと書かれています。公表より前に、国への報告は済ませていたことになります。

流出した可能性のある情報と、含まれない情報

発表に書かれている項目を、流出した可能性のある情報と、会社が「含まれておりません」と明記した情報に分けて整理します。

区分	項目
流出した可能性のある情報	アルファベットの氏名
流出した可能性のある情報	署名欄の名前
流出した可能性のある情報	性別
流出した可能性のある情報	生年月日
流出した可能性のある情報	パスポート番号
流出した可能性のある情報	パスポートの有効期限
流出した可能性のある情報	アレルギー情報
含まれていない情報	電話番号
含まれていない情報	住所
含まれていない情報	メールアドレス
含まれていない情報	クレジットカード情報

発表の原文は次のとおりです。

最大 627 名のパスポート情報（アルファベットの氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限）およびアレルギー情報となり、対象となるのは、2017 年、2019 年～2020 年、2024 年～2025 年の期間に、エイチ・アイ・エスをご利用になられてタイにご出発されたお客様となります。なお、電話番号、住所、メールアドレス、クレジットカード情報などは含まれておりません。出典: his.co.jp

アレルギー情報について、どのような目的で集めた情報なのかは発表に書かれていません。会社は項目として「アレルギー情報」と書くだけで、その中身は示していません。

メールアドレスと電話番号が含まれていないので、今回の流出をきっかけに、本人宛ての偽のメールやSMSが直接届く道筋は、他の流出の事案と比べると限られます。一方で、パスポート番号、氏名のつづり、生年月日、有効期限は、旅券を使う手続きで本人確認に使われる情報です。この組み合わせがそろって流出した可能性があることが、今回の事案の特徴です。

対象になる旅行の条件

10月7日19時30分の追記で、対象となる人の条件が具体的に示されました。個人旅行と団体旅行で条件が違います。

旅行の種類	対象になる人
個人旅行	2024年11月に日本を出発し、バンコクのプルマンホテルに宿泊し、チェンマイ・コムローイ祭りに参加した人
団体旅行	2017年、2019年から2020年、2024年から2025年の期間にタイへ出発した人

個人旅行で対象になるのは、かなり絞られた条件の旅行です。2024年11月の出発で、バンコクのプルマンホテルに泊まり、チェンマイのコムローイ祭りに参加したという3つがそろっている人です。コムローイ祭りとは、チェンマイで行われる、空に灯籠を放つ祭りのことです。HISの個人旅行でタイへ行った人でも、この条件に当てはまらなければ、発表の上では対象に含まれていません。

団体旅行は、期間の条件だけが示されています。会社の社員旅行、学校の研修旅行、団体の視察旅行などで、HISを通じてタイへ行った人は、出発した年が対象の期間に入っているかを確かめてください。団体旅行の場合は、参加者本人ではなく、幹事や勤め先がHISとやり取りしていることが多いので、自分が申し込んだ記憶がなくても対象になっている可能性があります。

会社の対応

発表に書かれている会社の対応を整理します。発表に書かれていないことは入れていません。

対応	内容
切り離しと制限	検知後、該当サーバーをネットワークから切り離し、外部からのアクセスを制限
調査	外部の専門家を含めた社内調査を実施し、すべてのファイルを確認
報告	個人情報保護委員会とJIPDECへ報告
本人への連絡	連絡先が特定できた人へ順次個別に連絡
公表	特定が難しい人にも知らせ、注意を呼びかけるためにホームページで公表
悪用時の対応	個人情報が悪用される等の事象が発生した場合、適切な措置を講じる
再発防止	海外での一層のセキュリティ強化と、本社によるシステムの監視体制の厳格化
窓口	お客様特設窓口を設置

「個人情報が悪用される等の事象が発生した場合、当社にて適切な措置を講じる所存です」という一文があります。どのような措置なのかは具体的に書かれていません。補償やお詫びの品の有無についても、発表には記載がありません。この記事では、補償の有無や内容は推測しません。

個別の連絡がどのような方法で届くのか（郵送、電話、メールなど）も、発表には書かれていません。連絡の方法が公表されていない以上、届いた連絡が本物かどうかは、発表に載っている特設窓口に自分から問い合わせて確かめるのが確実です。

まだ発表されていないこと

2026年10月20日時点の発表で分かっていることと同じくらい、まだ発表されていないことを知っておくのも大事です。分かっていないことを分かっているかのように受け取ると、偽の連絡にだまされやすくなるためです。発表に書かれていないことを整理します。

627名のうち、実際に流出が確かめられた人数
パスポートの画像そのものが含まれていたかどうか
不正アクセスをした者が誰か、どのような手口だったか
個別の連絡を、郵送、電話、メールのどの方法で行うのか
団体旅行の場合に、参加者本人と申込みをした団体のどちらへ連絡するのか
補償やお詫びの品の有無と内容
悪用された場合の「適切な措置」の具体的な中身

発表は「流出した可能性」という表現で、確定した件数は示していません。外部の専門家の調査で、データの一部が不正に引き出された可能性が判明した、という書き方です。この記事では、上に挙げたことについて推測では書きません。

これらの点について「HISの発表によると」として具体的な金額や手続きを示すメールや電話があった場合は、そのまま信じずに、HISのニュースリリースの一覧に同じ内容の発表があるかを確かめてください。補償の手続きを名目に、口座番号やカード番号を聞かれた場合は、その場で答えずに電話を切り、特設窓口に自分からかけ直してください。

自分が対象かを確かめる方法

HISは、連絡先が特定できた人には順次個別に連絡すると発表しています。連絡が届けば、それが確かめる一番の手がかりになります。ただし、昔の旅行で連絡先が変わっている人や、団体旅行で幹事を通して申し込んだ人には、連絡が届かない可能性があります。会社が公表に踏み切った理由の1つも、特定が難しい人に知らせるためでした。

自分で確かめる手順は次のとおりです。

HISを利用してタイへ行ったことがあるか、出発した年はいつかを思い出す
個人旅行なら、2024年11月の出発で、バンコクのプルマンホテルとチェンマイのコムローイ祭りが旅程に入っていたかを確かめる
団体旅行なら、出発した年が2017年、2019年から2020年、2024年から2025年のどれかに入るかを確かめる
当てはまる、または分からない場合は、HISのお客様特設窓口に問い合わせる

旅行の時期を思い出せない場合は、パスポートの出入国のスタンプ、当時の予約確認のメール、旅行の写真の撮影日などが手がかりになります。団体旅行の場合は、当時の幹事や勤め先の総務の担当者に、どの旅行会社を使ったかを聞いてみてください。

問い合わせるときは、旅行の時期、旅行の種類（個人か団体か）、申し込んだときの名前を伝えられるようにしておくと話が早く進みます。パスポート番号を電話で伝えるかどうかは、窓口の案内に従ってください。

利用者が確かめること・すること

流出した可能性のある項目に合わせて、利用者がすることを整理します。クレジットカード情報、住所、メールアドレス、電話番号は含まれていないので、ここではパスポート情報と生年月日を中心に考えます。

パスポートの有効期限と、いま持っている旅券を確かめる

流出した可能性があるのは、当時のパスポートの番号と有効期限です。2017年の旅行で使ったパスポートは、すでに期限が切れて新しいものに切り替わっている人もいるでしょう。まず手元のパスポートを見て、当時のパスポートといまのパスポートが同じものかを確かめてください。同じものであれば、流出した可能性のある番号がいまも有効だということになります。

たとえば、2017年に10年用のパスポートで旅行した人は、そのパスポートがまだ有効期限の内側にある可能性があります。2024年から2025年の旅行で使ったパスポートであれば、多くの場合、いまも同じものを使っているはずです。逆に、当時のパスポートがすでに期限切れで、新しいパスポートに切り替わっている場合は、流出した可能性のある番号は古い旅券の番号ということになります。どちらに当たるかで、気をつける度合いも変わります。

パスポートを新しくする必要があるかどうかは、この発表には書かれていません。不安がある場合は、HISのお客様特設窓口や、住んでいる都道府県のパスポートの申請窓口に相談してください。手続きの条件は窓口で確かめるのが確実です。

パスポートの情報を求める連絡に注意する

今回の流出に便乗して、HISや旅行会社、航空会社、大使館などを名乗り、パスポートの番号や写真を求める連絡が来る可能性があります。メールアドレスと電話番号は含まれていないとされていますが、本件が報道で知られたことで、「HISをご利用のお客様へ」と広く送られる偽のメールが出てくることは考えられます。

警察庁は、フィッシングの手口として、入力を求められる情報の例に身分証の画像を挙げています。

運転免許証、マイナンバーカード、乱数表等の画像情報出典: npa.go.jp

パスポートの写真や番号を、メールやSMSのリンク先で入力したり送ったりしないでください。HISからの連絡かどうか迷ったときは、メールや電話で伝えられた番号ではなく、発表のPDFに書かれた特設窓口の番号に自分からかけ直して確かめます。

身に覚えのない申込みや契約の連絡に気をつける

パスポートの番号、氏名、生年月日がそろうと、本人確認に悪用されるのではないかと心配する人もいます。HISの発表には、2026年10月20日時点で悪用が確認されたとは書かれていません。それでも、身に覚えのない申込みの確認や、知らない会社からの契約の連絡が届いた場合は、記録を残し、その会社の公式の窓口に直接問い合わせてください。HISの発表には、悪用された場合に適切な措置を講じると書かれているので、あわせてHISの特設窓口にも伝えてください。

アレルギー情報について

アレルギー情報は、お金の被害に直接つながる情報ではありません。ただ、健康に関わる情報は、本人が知られたくないと感じることの多い情報です。誰にどのような形で伝わったのかが気になる場合は、特設窓口で、自分のどの情報が含まれていたのかを尋ねてみてください。

問い合わせ窓口

発表のPDFに載っている問い合わせ先は次のとおりです。

項目	内容
名称	株式会社エイチ・アイ・エスお客様特設窓口
電話番号	0120-945-146
営業時間	平日11時から18時（土日祝を除く）
メールアドレス	[email protected]

土日祝は電話がつながらないので、週末に気づいた場合はメールで問い合わせるか、平日を待ってください。HISの店舗やコールセンターの通常の窓口ではなく、この特設窓口が本件の問い合わせ先です。発表の全文は、HISのニュースリリースの一覧にある2026年10月7日の「子会社ファイルサーバへの不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ」で読めます。

本件とは別に、偽のメールを開いてしまった、パスポートの情報を入力してしまったといった場合には、公的な相談窓口もあります。

情報処理推進機構（IPA）の情報セキュリティ安心相談窓口：電話03-5978-7509、受付は10時から17時（土日祝日と年末年始を除く）。詳しくはIPAの安心相談窓口のページにある
消費者ホットライン：電話188。近くの消費生活センターや相談窓口を案内してもらえる。詳しくは消費者庁の消費者ホットラインのページにある

自分の情報の開示や削除を求める方法

自分のどの情報が流出した可能性があるのかを知りたい、昔の旅行の情報をもう保存してほしくない、と考える人もいるでしょう。個人情報保護法には、本人が事業者に対して、自分の情報の開示や、利用の停止と削除を求める仕組みがあります。

開示とは、事業者が自分についてどのような情報を保存しているかを見せてもらうことです。個人情報保護法の第33条は、本人が事業者に対して、自分が識別される保有個人データの開示を請求できると定めています。保有個人データとは、事業者が開示や削除などに応じる権限を持って管理している個人データのことです。

利用の停止と削除については、第35条に定めがあります。第5項では、事業者がその情報を使う必要がなくなった場合や、第26条第1項に当たる漏えいなどの事態が生じた場合に、本人が利用の停止や削除を求められるとしています。

当該本人が識別される保有個人データに係る第二十六条第一項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。出典: laws.e-gov.go.jp

ただし、請求すれば必ず削除されるわけではありません。条文には、削除などに多額の費用がかかる場合で、代わりの措置をとるときは例外とする定めもあります。また、旅行の記録の中には、会計や法令のために一定期間保存が求められるものもありえます。具体的な手続きや、どの情報が対象になるかは、HISの個人情報保護方針や特設窓口で確かめてください。請求するときは、旅行の時期と種類、申し込んだときの名前を伝えると、相手も調べやすくなります。

家族や団体の参加者の分も確かめる

パスポートは1人に1冊なので、家族旅行でも、流出した可能性があるのは家族1人ひとりの情報です。対象の時期に家族でタイへ行った人は、自分だけでなく、同行した家族の分もあわせて確かめてください。子どもの分は、親が代わりに問い合わせることになります。

団体旅行は、本人が旅行会社と直接やり取りしていないことが多い旅行です。社員旅行や研修旅行では、勤め先の総務の担当者や幹事が参加者のパスポートの情報をまとめて旅行会社に渡すのが一般的です。そのため、HISから個別の連絡が届くのは、参加者本人ではなく、申し込んだ会社や団体になる可能性もあります。発表には、団体旅行の場合に誰へ連絡するのかは書かれていません。

対象の期間に団体旅行でタイへ行った人は、勤め先や団体の担当者に、HISから連絡が来ているかを尋ねてみてください。すでに退職している勤め先の旅行であっても、出発した年が対象の期間に入っていれば、対象に含まれる可能性があります。その場合は、元の勤め先に聞くか、HISの特設窓口に直接問い合わせてください。

これから旅行を申し込むときにパスポートの情報を渡す注意

今回の事案は、旅行会社に渡したパスポートの情報が、海外の拠点のファイルサーバーに保存されていた例です。海外のツアーでは、現地のホテルや送迎の手配のために、パスポートの情報が現地の会社に渡ることがあります。旅行を申し込む側が、その流れをすべて管理することはできません。それでも、渡す情報を必要な分に絞ることはできます。

旅行会社や手配の担当者から求められた項目だけを伝え、求められていない書類の写しまで送らない
パスポートの写真をメールで送るよう求められたら、正式な申込みの画面や、旅行会社が指定する方法がないかを先に確かめる
団体旅行の幹事として参加者の情報を集めるときは、集めた名簿や写しを、旅行が終わったら削除する
アレルギーや持病など健康に関わる申告は、手配に必要な範囲に絞って伝える

旅行会社の側でも、申込みの書類がどこに保存され、どれくらいの期間で削除されるのかは、個人情報保護方針に書かれていることがあります。申し込む前に一度読んでおくと、万一のときに問い合わせ先が分かりやすくなります。

在宅で仕事をする人が気をつけること

今回の流出は旅行者本人の情報で、仕事のアカウントのパスワードなどは含まれていません。それでも、在宅で仕事をする人が関わりうる場面が2つあります。

1つ目は、団体旅行の幹事や、研修旅行の手配を請け負った立場です。会社の社員旅行や、団体の視察旅行の取りまとめを業務として受けた人の中には、参加者のパスポートの写しを集めて旅行会社に渡した人もいるでしょう。参加者から「自分は対象か」と聞かれたときに、自分の判断で答えるのではなく、HISの特設窓口を案内できるようにしておくと混乱が少なくなります。参加者の名簿を自分の手元にも保存している場合は、その名簿の保管場所と、誰が見られる状態になっているかも確かめておいてください。

2つ目は、取引先から個人情報を預かって仕事をしている立場です。今回の事案では、HISのように、委託された側や海外の拠点で情報が漏れたときの流れが示されています。個人情報保護法の第26条は、事業者が扱う個人データの漏えいなどが起き、本人の権利や利益を害するおそれが大きい場合に、個人情報保護委員会への報告と本人への通知を求めています。同じ条文には、他の事業者から個人データの扱いを任されている側が、任せた側に通知した場合の扱いも定められています。

個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。出典: laws.e-gov.go.jp

取引先から顧客名簿や参加者名簿を預かって作業している人が、その名簿を漏らしたおそれがある場合は、まず取引先に知らせることが出発点になると考えられます。個人情報保護委員会は、報告が必要になる場合として、不正アクセスによるもの、財産的な被害が生じるおそれがあるもの、本人の数が1,000人を超えるものなどを挙げています。詳しくは個人情報保護委員会の漏えい等の対応のページにあります。自分がどの立場に当たるかは、契約の中身や扱う情報によって変わるので、迷うときは取引先と相談し、個人情報保護委員会の個人情報保護法相談ダイヤル（電話03-6457-9849）に問い合わせてください。

運営者の視点：預かった書類の扱いが信用になる

@SOHOは2004年から在宅ワークとフリーランスの仲介を続けてきました。運営の中で見てきたのは、取引先から書類やデータを預かる仕事ほど、預かったものをどこに保存し、いつ削除するかを決めている人が長く信頼されるということです。今回の事案でHISが説明した、個人情報と会計の記録が同じサーバーに混ざっていて特定に時間がかかったという事情は、個人で仕事をする人のパソコンやクラウドストレージでも起こりうることです。

案件ごとにフォルダを分け、案件が終わったら預かった名簿や身分証の写しを削除する、という習慣は、地味ですが、万一のときに「何が漏れたか」をすぐに答えられる状態を作ります。依頼者と受注者が直接やり取りする取引では、間に立つ会社が情報の管理を肩代わりしてくれません。中間のマージンが乗らない手数料0%の直接取引は、受け手の手取りが厚くなる一方で、預かったものの扱いがそのまま評価される取引でもあります。

情報の管理やセキュリティの知識は、それ自体が仕事にもなります。企業のセキュリティ対策や社内のルール作りを支援する仕事の内容は、AI・マーケティング・セキュリティのお仕事で紹介しています。取引先への報告文や手順書を書く力を証明したい人には、ビジネス文書の作成能力を認めるビジネス文書検定が参考になります。ネットワークの基礎から学びたい人には、シスコ社の技術者認定であるCCNA（シスコ技術者認定）があります。

ログインにパスワード以外の要素を組み合わせる仕組みは、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で説明しています。偽のメールを見抜く力を組織で身につける方法は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドが参考になります。

よくある質問

Q. HISの情報漏洩でクレジットカード情報は漏れましたか？

HISは、電話番号、住所、メールアドレス、クレジットカード情報などは含まれていないと発表しています。流出した可能性があるのは、最大627名のパスポート情報（アルファベットの氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限）とアレルギー情報です。カード情報の入力を求める連絡が届いた場合は、偽物を疑ってください。

Q. HISでタイへ行ったことがあれば、必ず対象になりますか？

対象は、2017年、2019年から2020年、2024年から2025年の期間にHISを利用してタイへ出発した人です。個人旅行は、2024年11月に出発し、バンコクのプルマンホテルに宿泊し、チェンマイ・コムローイ祭りに参加した人に絞られています。団体旅行は期間だけが条件です。当てはまるか分からない場合は特設窓口に問い合わせてください。