三井オーシャンクルーズ、個人情報を含む可能性ある外部記憶媒体を紛失　約20万ファイルを調査、旅券番号や医療情報も対象候補

商船三井クルーズ株式会社は2026年9月10日、クルーズ船に関する営業情報を保存した外部記憶媒体を紛失したと公表しました。

紛失した媒体には、顧客および乗組員の個人情報が含まれていた可能性があります。保存されていた具体的な情報と件数は9月10日時点で特定できておらず、同社は本社サーバー上の全バックアップデータ約20万ファイルを対象に調査を進めています。

対象となる可能性がある個人情報として、氏名、生年月日、住所、電話番号、メールアドレス、旅券番号、医療・アレルギー情報などが挙げられています。乗組員については、銀行口座、考課情報、予防接種履歴、給与関係情報も含まれる可能性があります。

外部記憶媒体は、2026年5月に運航を終了した「にっぽん丸」の船内PCから、9月19日に就航予定の「MITSUI OCEAN SAKURA」の船内PCへ情報を移行するために使用されました。7月にIT担当者が保管場所を確認した際、一部の媒体の所在を確認できず、その後の船内調査でも発見に至っていません。

商船三井クルーズは個人情報保護委員会への報告と所轄警察署への届出を実施しています。9月10日時点で、情報の流出や不正利用は確認されていません。

三井オーシャンクルーズの外部記憶媒体紛失のサマリー

確認できている内容：

• 商船三井クルーズは2026年9月10日、営業情報を保存した外部記憶媒体の紛失を公表しました。
• 媒体は「にっぽん丸」の船内PCから「MITSUI OCEAN SAKURA」の船内PCへ情報を移行するために使用されました。
• 「にっぽん丸」は2026年5月10日に運航を終了しています。
• 「MITSUI OCEAN SAKURA」は2026年9月19日にデビュークルーズを予定しています。
• 外部記憶媒体は「MITSUI OCEAN SAKURA」船内の乗組員関係者専用室で保管されていました。
• 2026年7月、IT担当者が保管場所を確認した際、使用した外部記憶媒体の一部の所在を確認できませんでした。
• その後、船内を調査しましたが、9月10日時点で発見されていません。
• 紛失した媒体には顧客および乗組員の個人情報が含まれていた可能性があります。
• 本社サーバー上のバックアップ約20万ファイルを対象に、保存されていたデータの特定を進めています。
• 対象となる可能性がある情報には、氏名、住所、メールアドレス、旅券番号、医療・アレルギー情報などが含まれます。
• 乗組員については銀行口座、考課情報、予防接種履歴、給与関係情報も対象候補です。
• 個人情報保護委員会への報告と所轄警察署への届出を実施しています。
• 9月10日時点で情報流出や不正利用は確認されていません。
• 外部業者も起用し、紛失データの特定を進めるとしています。

現時点で公表されていない内容：

• 紛失した外部記憶媒体の具体的な種類
• USBメモリ、外付けHDD、SSDなどのどれに該当するか
• 紛失した媒体の正確な個数
• 媒体を最後に確認した日時
• 実際に紛失した日時
• 媒体が船内から持ち出されたかどうか
• 暗号化の有無
• パスワード設定の有無
• 保存されていた個人情報の確定件数
• 顧客と乗組員それぞれの対象人数
• 各個人について実際に保存されていた情報項目
• 第三者が媒体へアクセスした事実
• 情報が外部へ流出した事実
• 不正利用などの二次被害

項目	内容
公表日	2026年9月10日
公表元	商船三井クルーズ株式会社
事象	営業情報を保存した外部記憶媒体の紛失
利用目的	にっぽん丸からMITSUI OCEAN SAKURAへの船内PCデータ移行
所在不明を確認	2026年7月
保管場所	MITSUI OCEAN SAKURA船内の乗組員関係者専用室
対象者	顧客、乗組員
個人情報件数	調査中
調査対象	本社サーバー上のバックアップ約20万ファイル
主な対象候補	氏名、住所、連絡先、旅券番号、医療・アレルギー情報など
乗組員のみの対象候補	銀行口座、考課情報、予防接種履歴、給与関係情報
媒体の種類	公表されていません
暗号化	公表されていません
情報流出	9月10日時点で確認されず
不正利用	9月10日時点で確認されず
個人情報保護委員会	報告済み
警察	所轄警察署へ届出済み

「にっぽん丸」から新造船へのデータ移行で外部記憶媒体を使用

今回の事案は、船舶の世代交代に伴うデータ移行の過程で発生しました。

商船三井クルーズが運航していた「にっぽん丸」は、2026年5月10日の横浜港帰港をもって約35年の運航を終了しました。

同社は、にっぽん丸の船内PCに保存されていた情報を、就航準備中の「MITSUI OCEAN SAKURA」の船内PCへ移すため、外部記憶媒体にデータを保存しました。

MITSUI OCEAN SAKURAは2026年9月19日にデビュー予定で、12月までに29本のデビュークルーズが計画されています。

データ移行に使用した媒体は、MITSUI OCEAN SAKURA船内の「乗組員関係者専用室」で保管されていました。

7月にIT担当者が保管場所を確認したところ、使用した外部記憶媒体の一部が見つからないことが判明しました。

その後、船内を調査しましたが、9月10日の公表時点でも発見されていません。

「一部の外部記憶媒体」の個数は公表されていない

公式リリースは「使用した外部記憶媒体の一部の所在が確認できませんでした」としています。

この記述から、データ移行に複数の媒体が使用され、そのうち一部が所在不明になったことは読み取れます。

ただし、紛失した媒体が1個なのか複数個なのか、全体で何個の媒体を利用していたのかは公表されていません。

そのため、「USBメモリ1個を紛失」「複数のUSBを紛失」といった具体化はできません。

媒体の種類についても、商船三井クルーズは「外部記憶媒体」とのみ説明しており、USBメモリ、外付けHDD、SSDなどのいずれかは明らかにしていません。

旅券番号や医療・アレルギー情報も対象となる可能性

商船三井クルーズは、紛失した媒体へどのデータが保存されていたのかを特定するため、本社サーバー上の全バックアップデータ約20万ファイルを調査しています。

紛失した媒体に保存されていた可能性がある個人情報項目を広く公表しています。

対象候補は次のとおりです。

• 氏名
• 生年月日
• 性別
• 住所
• 電話番号
• メールアドレス
• 旅券番号
• 医療・アレルギー情報
• 銀行口座（乗組員のみ）
• 乗組員考課情報（乗組員のみ）
• 予防接種履歴（乗組員のみ）
• 給与関係情報（乗組員のみ）
• その他の情報

旅券番号や健康関連情報など、一般的な氏名・連絡先より悪用時の影響が大きくなり得る情報も含まれています。

一方、これらすべてが実際に紛失媒体へ保存されていたと確認されたわけではありません。

公式発表は「対象となる可能性がある個人情報項目を全て記載」としており、調査完了後には対象項目が絞り込まれる可能性があります。

乗組員は銀行口座、考課、給与情報も対象候補

今回の事案は顧客情報だけではありません。

乗組員については、氏名・連絡先・旅券番号などに加え、

• 銀行口座
• 考課情報
• 予防接種履歴
• 給与関係情報

も対象となる可能性があります。

クルーズ船では、乗客の予約・乗船管理だけでなく、乗組員の労務、人事、寄港地入国手続き、健康管理など複数の業務情報を扱います。

今回の媒体にどの業務データが保存されていたのかは調査中ですが、顧客向け営業情報だけを紛失した事案ではなく、乗組員の人事・労務関連情報まで対象候補に含まれている点は分けて確認する必要があります。

暗号化やパスワード設定の有無は公表されていない

外部記憶媒体を紛失した際、情報流出リスクを判断する要素の1つが暗号化です。

媒体全体が適切に暗号化され、暗号鍵やパスワードが別管理されていれば、第三者が拾得しても保存データを読み取れる可能性を下げられます。

しかし、9月10日のリリースでは、紛失した外部記憶媒体について、

• 暗号化されていたか
• パスワード保護されていたか
• ファイル単位で暗号化されていたか
• 暗号鍵をどのように管理していたか
• 自動消去・遠隔無効化などの機能があったか

は公表されていません。

情報流出と不正利用は9月10日時点で確認されず

商船三井クルーズは、9月10日時点で「情報の流出や不正利用の事実は確認されておりません」と説明しています。

現在確認できているのは、個人情報を保存していた可能性がある外部記憶媒体の所在が不明になり、船内を捜索しても発見できていないという事実です。

現段階では、

• 第三者が媒体を持ち出した
• 第三者が保存データを閲覧した
• インターネット上へ情報が公開された
• 個人情報が売買された
• 顧客や乗組員になりすました
• 銀行口座が不正利用された

といった事実は確認されていません。

したがって、「個人情報が流出した」と断定することはできません。

一方、個人情報保護委員会は一般論として、個人データが記録されたUSBメモリを紛失し、社内・社外のどこで失ったか特定できない場合、漏えいまたは漏えいのおそれに該当すると考えられるとFAQで示しています。

今回、商船三井クルーズも個人情報保護委員会への報告を行っています。

船内の乗組員専用室で所在不明、船外持ち出しは確認されていない

公式発表によると、媒体の保管場所はMITSUI OCEAN SAKURA船内の乗組員関係者専用室でした。

しかし、媒体が現在も船内のどこかにあるのか、船外へ持ち出されたのかは明らかになっていません。

「専用室で保管されていた」という事実だけから、第三者がアクセスできない状態だったと判断することもできません。

逆に、船外へ流出したことが確認されたわけでもありません。

同社は今後も媒体の所在確認を続けるとしています。

7月の所在不明確認から9月10日の公表までの経緯は詳細不明

商船三井クルーズによると、IT担当者が媒体の所在を確認できなかったのは2026年7月です。

公表は9月10日であるため、所在不明の確認から公表まで一定の期間があります。

リリースには、その間に行った船内調査以外の具体的な時系列や、公表までに時間を要した理由は記載されていません。

例えば、

• 7月の何日に所在不明が判明したのか
• 社内でインシデントとして認定した日
• 個人情報が含まれる可能性を認識した日
• 個人情報保護委員会へ報告した日
• 警察へ届け出た日
• バックアップ約20万ファイルの調査を始めた日

は公表されていません。

今後、調査結果とともに追加の時系列が示されるかが確認点になります。

個人情報保護委員会と警察へ報告・届出

商船三井クルーズは、本件について個人情報保護委員会への報告と所轄警察署への届出を実施しています。

9月10日の公表時点では調査が継続中であり、個人情報の件数と具体的内容は確定していません。

同社は、媒体の所在確認と外部業者を利用したデータ特定を進め、新たに公表すべき事実が判明した場合は速やかに知らせるとしています。

再発防止にも取り組むとしていますが、具体的な対策内容は今回のリリースでは示されていません。

再発防止策の具体的内容は今後の確認事項

9月10日のリリースは「再発防止に取り組む」としていますが、何を変更するのかまでは公表していません。

今回のようなデータ移行業務では、一般的には次のような統制が確認対象になります。

• 外部記憶媒体を利用する必要性の事前承認
• 使用媒体の個体管理
• 持ち出し・返却記録
• 暗号化
• アクセス制御
• 一時保存データの削除
• 作業終了時の媒体回収
• 複数人による所在確認
• ネットワーク経由の安全な転送方式への切り替え
• DLPやデバイス制御による外部記憶媒体利用制限

ただし、商船三井クルーズが今後どの対策を導入するのかは公表されていません。

上記は本件で実施済みだったかどうかを示すものでもありません。

「にっぽん丸」は5月10日に引退、「MITSUI OCEAN SAKURA」は9月19日に就航予定

今回のデータ移行は、商船三井クルーズの船隊更新のタイミングで行われていました。

にっぽん丸は1990年に就航し、2026年5月10日に横浜港へ帰港した航海を最後に約35年間の運航を終了しました。

商船三井グループは、にっぽん丸の伝統をMITSUI OCEAN SAKURAへ引き継ぐとしており、同船は9月19日にデビュークルーズを開始する予定です。

三井オーシャンサクラのデビュークルーズは横浜発着で、鳥羽・日高を巡る4泊5日の旅程が予定されています。

今回の個人情報調査が9月19日の就航予定へ影響するとの発表は、9月10日時点では確認されていません。

情報システム部門が確認したい「データ移行時の媒体管理」

今回の事案はサイバー攻撃ではなく、データ移行に使用した物理的な外部記憶媒体の所在不明です。

システム更改、PC入れ替え、拠点移転、組織統合などでは、一時的に大量のデータを移動するため、通常運用では使わない外部媒体が利用されることがあります。

企業の情報システム部門では、次の項目を確認できます。

• システム移行時にUSBメモリや外付けストレージを利用できるルールになっているか
• 利用する媒体を資産台帳で個体管理しているか
• 誰がいつ持ち出し、いつ返却したか記録できるか
• データ移行完了時に全媒体の所在を確認するチェック工程があるか
• 個人情報・機密情報を保存する媒体は暗号化を必須にしているか
• 外部記憶媒体の利用をEDRやデバイス制御で記録できるか
• コピーしたファイル名・件数をログとして残しているか
• 作業終了後にデータを安全に消去したことを確認できるか
• 可能な場合、物理媒体を使わず暗号化されたネットワーク転送へ置き換えられるか
• 移行担当者だけでなく別担当者によるダブルチェックを行っているか

特に今回、商船三井クルーズは紛失媒体に何が保存されていたかを特定するため、約20万ファイルのバックアップを調べています。

データ移行時に「どの媒体へ、どのファイルをコピーしたか」という証跡を残しておけば、紛失時の影響範囲を早期に絞り込みやすくなります。

外部記憶媒体の紛失では「暗号化」と「保存内容の追跡」が影響判断を左右する

外部記憶媒体を紛失した際、組織が最初に確認するのは「何が入っていたか」と「第三者が読める状態だったか」です。

今回の発表では、その両方がまだ確定していません。

保存内容を特定できないため約20万ファイルを調査し、暗号化状況も公表されていません。

企業側では、媒体を利用する段階から、

1. 媒体の識別番号
2. 利用者
3. 利用期間
4. 保存ファイル
5. 暗号化状況
6. 保管場所
7. 返却・廃棄状況

を追跡できる状態にすると、紛失後の調査範囲を縮められます。

外部記憶媒体の紛失事例としては、NEXCO西日本でも2024年、個人情報を保存したUSBメモリの紛失が公表されています。

• NEXCO西日本がUSBを紛失　USBは暗号化もパスワードはUSBに貼り付け

また、医療機関では2026年に、患者情報を保存したUSBメモリの紛失も公表されています。

• 関西医科大学附属病院、患者約1,800人の個人情報入りUSBメモリを一時紛失

今回の事案では媒体の種類自体が公表されていないため、これらと同一の「USBメモリ紛失」とは扱いませんが、記録媒体の個体管理や保存データの追跡という点では共通する管理課題があります。

今後は個人情報件数、媒体の保護状態、紛失経緯を確認

商船三井クルーズは外部業者も起用し、紛失データの特定を進めるとしています。

続報では、少なくとも次の事項が確認点になります。

• 紛失媒体が発見されたか
• 紛失媒体の種類と個数
• 個人情報を含むファイルの確定件数
• 対象となる顧客数
• 対象となる乗組員数
• 実際に含まれていた個人情報項目
• 旅券番号を含む対象件数
• 医療・アレルギー情報を含む対象件数
• 銀行口座・給与・考課情報を含む乗組員数
• 媒体の暗号化・パスワード保護の状況
• 媒体を最後に確認した日時
• 紛失原因
• 船外へ持ち出された可能性
• 第三者による閲覧・不正利用の有無
• 具体的な再発防止策

9月10日時点で確定しているのは、個人情報が含まれていた可能性のある外部記憶媒体の一部が所在不明になり、船内を捜索しても見つかっていないという点です。

情報流出や不正利用は確認されておらず、保存されていた個人情報の件数・内容も調査中です。続報が公表された場合は、「媒体紛失」「個人情報が含まれていた可能性」「情報流出確認」を分けて更新する必要があります。

出典

• 営業情報を保存した外部記憶媒体の紛失について – MITSUI OCEAN CRUISES／商船三井クルーズ
• クルーズ船「にっぽん丸」最後の航海を終え引退へ – MITSUI OCEAN CRUISES／商船三井クルーズ
• 2026年9月就航予定、新クルーズ船「MITSUI OCEAN SAKURA」29本のデビュークルーズと船内施設を発表 – 商船三井
• 三井オーシャンサクラ デビュークルーズⅠ～鳥羽・日高～ – MITSUI OCEAN CRUISES
• 個人データが記録されたUSBメモリを紛失したものの、紛失場所が社内か社外か特定できない場合には、漏えいに該当しますか – 個人情報保護委員会