あいの風とやま鉄道は2026年9月15日、観光列車「一万三千尺物語」の座席管理システムが外部から不正アクセスを受け、利用者1,409人分の個人情報がシステム外へ漏えいしたおそれがあると公表しました。
最初の不正アクセスは9月2日に発生し、9月8日までに複数回のアクセスを確認しています。対象となる情報は氏名、住所、電話番号、メールアドレスです。
9月8日朝、社員がシステムへアクセスした際、複数の予約がキャンセルされていたほか、正規の手順では行われていない予約があることを確認したことで事案が発覚しました。原因は9月15日時点で調査中です。
あいの風とやま鉄道の不正アクセス事案のサマリー
確認できている内容：
- あいの風とやま鉄道が2026年9月15日に公表しました。
- 対象は観光列車「一万三千尺物語」の座席管理システムです。
- 最初の不正アクセスは2026年9月2日に発生しました。
- 9月2日から8日までに複数回の不正アクセスを確認しています。
- 9月8日朝、複数の予約キャンセルと正規手順によらない予約を社員が確認し、調査を開始しました。
- 9月10日、1,409人分の個人情報が漏えいしたおそれがあることを確認しました。
- 対象情報は氏名、住所、電話番号、メールアドレスです。
- クレジットカード情報は別会社が管理する独立した決済システムで処理されており、今回の対象外です。
- 9月15日時点で、個人情報の不正利用などの二次被害は確認されていません。
- ネットによる新規予約受付は停止しており、当面は電話予約で受け付けます。
- 個人情報保護委員会と警察などの関係機関へ報告しています。
現時点で未確定・未公表の内容：
- 最初にシステムへ侵入された原因
- 悪用された脆弱性や認証情報の有無
- 第三者が実際に個人情報を取得したかどうか
- 攻撃者や攻撃グループの特定
- システムの復旧時期
| 項目 | 内容 |
|---|---|
| 公表日 | 2026年9月15日 |
| 対象組織 | あいの風とやま鉄道株式会社 |
| 対象システム | 観光列車「一万三千尺物語」の座席管理システム |
| 最初の不正アクセス | 2026年9月2日 |
| 発覚日 | 2026年9月8日 |
| 影響確認 | 2026年9月10日 |
| 対象人数 | 1,409人 |
| 漏えいのおそれがある情報 | 氏名、住所、電話番号、メールアドレス |
| クレジットカード情報 | 対象外 |
| 原因 | 調査中 |
| 二次被害 | 9月15日時点で確認されていません |
| 対応 | ネット予約停止、対象者への通知、当局・警察への報告、調査と再発防止 |
| 個人情報保護委員会への報告 | 実施済み |
9月8日、予約のキャンセルと不正な予約操作から発覚
あいの風とやま鉄道によると、9月8日朝、社員が座席管理システムへアクセスした際、複数の予約がキャンセルされていることを確認しました。
さらに、システム上で正規の手順によらない予約も確認されたため、新規予約の受付を停止して調査を開始しました。
その後、最初の外部からの不正アクセスが9月2日に発生していたことが判明し、9月8日までに複数回の不正アクセスを受けていたことを確認しました。
9月10日には、利用者1,409人分の個人情報が漏えいしたおそれがあることを確認しています。
1,409人分の氏名・住所・電話番号・メールアドレスが対象
対象となるのは、「一万三千尺物語」にこれまで乗車した利用者、または今後の乗車を予約している利用者1,409人です。
漏えいしたおそれがある情報は、氏名、住所、電話番号、メールアドレスです。
一方、観光列車のネット予約で利用するクレジットカード決済は、別会社が管理運営する独立したシステムで処理されています。座席管理システム自体はクレジットカード情報を保持していないため、同社は今回の事案によるクレジットカード情報の漏えいはないとしています。
原因は調査中、侵入経路は公表されず
9月15日時点で、不正アクセスの原因は調査中です。
そのため、脆弱性悪用、管理者アカウントの認証情報窃取、パスワード攻撃など、具体的な侵入経路を断定することはできません。
攻撃者の属性や、ランサムウェアなどのマルウェアが使用されたとの情報も公表されていません。
今回確認されているのは、座席管理システムへ複数回の不正アクセスが行われ、予約のキャンセルや正規手順によらない予約が発生し、1,409人分の個人情報が漏えいした可能性があるという点です。
ネット予約を停止、当面は電話予約で受付
あいの風とやま鉄道は、被害拡大を防ぐためネットによる新規予約受付を停止しています。
当面は電話で予約を受け付けます。「一万三千尺物語」の運行計画自体に変更はありません。
また、個人情報保護法に基づいて個人情報保護委員会へ報告するとともに、警察などの関係機関にも報告しました。
再開時期については公表しておらず、調査と再発防止策を実施したうえでシステムの復旧を進めるとしています。
9月15日時点で二次被害は確認されず
同社は9月15日時点で、今回の個人情報が不正利用されたなどの二次被害は確認していないとしています。
一方、対象情報にはメールアドレスと電話番号が含まれます。同社は、同社や関係機関を装った不審な連絡が届く可能性があるとして、身に覚えのない連絡、不審なURL、添付ファイルを開かず削除するよう呼びかけています。
「二次被害が確認されていない」ことと、「個人情報が外部へ取得されていない」ことは同じではありません。今回の公表では、個人情報がシステム外へ漏えいした「おそれ」があるとしており、実際の取得状況については調査が続いています。
情報システム部門への示唆
今回の事案では、予約のキャンセルや通常と異なる予約という業務データの変化が、不正アクセス発見の契機になりました。
Web予約や会員システムを運用する企業では、次の項目を確認できます。
- 管理画面や予約管理システムへのMFAを適用しているか
- 管理者アカウントを共有せず、操作した担当者を追跡できるか
- 通常と異なる大量キャンセルや予約変更を検知できるか
- 海外IP、短時間の連続ログイン、異常な操作量を監視できるか
- 個人情報の閲覧・出力ログを保存しているか
- 不正アクセス発覚時にネット予約など影響範囲のある機能を迅速に停止できるか
- 決済情報と予約情報を分離し、侵害時の影響範囲を限定できているか
- インシデント調査に必要な期間のログを確保しているか
今回、クレジットカード情報が対象外だったのは、決済処理が別会社の独立したシステムで行われ、座席管理システムにカード情報を保持していなかったためです。
不正アクセスを含む情報漏洩対策については、情報漏洩対策とは？企業が実施すべき原因別の予防策と発生時の対応でも整理しています。
また、不正アクセスの代表的な手口や企業側の確認事項は、不正アクセスとは？定義・手口・目的・防止策で確認できます。
出典
関連記事
Insecamとは 世界のWEBカメラ/監視カメラを閲覧できるサイト
サイバー攻撃集団 ロックビット(LockBit)とは？
I-SOON 中国政府へサイバー攻撃 ツールを提供していた企業から内部リーク
Hugging FaceでAIのバックドア 付き 機械学習モデルを確認
ChatGPTやGeminiなどの文章生成AIで拡散するマルウェア Morris II を研究者が発表
AIや生成AIの悪用事例や事件を解説
富士通で個人情報漏洩の恐れ マルウェア感染も
不正アクセスで「よどいこ！」から個人情報流出の可能性
モバイルファクトリーがSuishow 株式会社の現代表取締役へ訴訟提起 背景に「NauNau」のセキュリティ管理問題か？
