旅行大手「エイチ・アイ・エス（HIS）」の発表が、インターネット上で大きな波紋を広げている。10月7日、同社は顧客のパスポート情報など600件超が流出したと公式に発表したのだ。
「タイ現地法人『H.I.S. TOURS CO., LTD.』のファイルサーバーが不正アクセスを受け、日本で取得した個人情報の一部・最大627人分のパスポート情報などが流出した可能性があると発表。
流出した可能性が囁かれているのは、’17年と’19～’20年、’24～’25年にHISを利用してタイへ出発した顧客の情報。アルファベットの氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限と、アレルギー情報が含まれていたそうですが、電話番号、住所、メールアドレス、クレジットカード情報などは含まれていないといいます」（旅行代理店関係者）
パスポートには、出入国に関連する極めて機微な個人情報が含まれている。万が一、悪意のある第三者の手に渡れば、身分証明書の偽造や詐欺事件などの犯罪に巻き込まれるリスクも否定できない。
しかし今回の発表で多くの人々の不信感を集めたのは、流出という事実そのもの以上に、「発覚から公表までの期間の長さ」だった。
「同社が公表したリリースを確認すると、この情報流出事案が発覚したのは’25年12月のこと。つまり、事案の発覚から社会に向けて公表されるまで、実に約1年間もの長い時間が経過していたことを示しています。
企業側はリリースで《情報の正確性を期するために、一つひとつのデータを手作業を含めて慎重に精査・照合する必要があった》と事情を説明。しかし昨今、国内ではさまざまな企業や組織におけるサイバー攻撃や情報漏洩事件が相次いで発生しているため、XなどのSNS上では、『漏洩事案の多発に乗じて責任をうやむやにしようとしているのではないか』との疑念の声が噴出したのです」（前出・旅行代理店関係者）
実際、X上ではこのような声が。
《2025年12月に発覚したものを、今このタイミングで公表してるんだぞ。他の漏洩に紛れ込ませようとしてる魂胆しかない》
《遅れた理由書いてるけど流出祭りに紛れ込まそうとしてると受け取られちゃうよ》
《2025年11月の件をほぼ1年経った発表って流石に遅くない？このタイミング、「木を隠すなら森の中」とか思ってない？》
これらの疑念について本誌がHISの広報に取材すると、以下のような回答があった。
「他の事案に紛れ込ませる目的で公表時期を意図的に調整したという事実は一切ございません。公表までに時間を要した理由は、データ照合および個人情報の特定作業に膨大な時間を要したためです。
対象となったサーバーには、個人情報を含まないファイルや多様な形式のデータが混在しておりました。お客様に誤った情報や不確実な情報をお伝えすることを避けるため、一つひとつのデータを手作業も含めて慎重かつ精緻に照合・特定するプロセスを徹底いたしました。
結果として、公表および対象のお客様へのご案内までに多大な時間を要することとなり、お客様にご不安とご迷惑をおかけしましたことを、改めて深くお詫び申し上げます」
前出の旅行代理店関係者が続ける。
「個人情報が悪用されるリスクを考慮すれば、全容が完全に解明されていなくとも、流出の可能性が発覚した段階で速やかに第一報を出すという選択も考えられます。しかし約10カ月という期間は、おそらく想定される被害範囲や対象者などを絞り込むために必要な期間だったのでしょう」
発表スピードを優先するのか、それとも被害範囲の画定を優先するのか。企業による情報流出が相次いでいるいま、この問題は多くの議論を呼ぶ争点となっている。
画像ページ >【写真あり】「流石に遅すぎない？」物議を醸したHISの“約1年遅れ”ニュースリリース（他2枚）
