発車オーライネットでへ不正アクセスによるサイバー攻撃、最大8,341件の個人情報漏洩の恐れ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月16日更新日時: 2026年10月16日

高速バス予約サイト「発車オーライネット」を運営する株式会社工房は2026年10月15日、外部取引先との連携に使うAPIサーバーが第三者による不正アクセスを受け、利用者の予約情報の一部が外部に流出したと発表しました。流出の可能性がある情報は最大8,341件、対象人数は5,614とされ、いずれも最終確認中です。予約名義、電話番号のほか、乗車日や路線、予約番号などが含まれます。

不審なアクセスがあったのは9月16～19日で、工房が検知したのは10月13日でした。同社はサーバーの通信を遮断し、以降の不正アクセスや被害拡大は確認していないと説明しています。予約サービスを利用する中国バスも10月15日夜、計17件の予約情報が影響対象となる可能性を公表しました。

発車オーライネット不正アクセスのサマリー

公表日： 2026年10月15日
運営会社： 株式会社工房
対象システム： バス事業者・旅行サイトなどとの連携に使うAPIサーバー
不審なアクセス： 2026年9月16～19日。10月13日に検知
流出の可能性がある予約情報： 最大8,341件、対象人数5,614（いずれも最終確認中）
対象の乗車日： 2026年7月16日～11月29日の一部予約
情報項目： カタカナ氏名、電話番号、乗車日、路線、予約番号など
漏えい対象外と説明された情報： クレジットカード情報、銀行口座情報、住所、メールアドレス、パスワード（侵害されたサーバーには保存していない）
対応： サーバー通信の遮断、セキュリティ対策、個人情報保護委員会への報告、警察への被害届提出、連携先への連絡

項目	公表内容
情報流出の状況	一部予約情報の外部流出を示す痕跡を確認
最大対象件数	8,341件（最終確認中）
対象人数	5,614（公表資料では「対象人数：5,614件」と記載、最終確認中）
調査・封じ込め	10月13日の検知後に通信を遮断。継続的な不正アクセス、被害拡大は確認されず
利用者への案内	不審なSMS・電話への注意、10月19日から専用相談窓口を設置

9月に不審なアクセス、10月13日に検知

工房によると、不正アクセスを受けたのは、バス運行会社などへ予約サービスを提供するために使用する外部取引先連携用のAPIサーバーです。9月16～19日に不審なアクセスが発生した痕跡を、約3～4週間後の10月13日に確認しました。

検知後は当該サーバーの通信を遮断しましたが、それまでの間に利用者の予約情報の一部が外部へ流出していた痕跡を確認したとしています。具体的な侵入経路や利用された脆弱性、認証情報の悪用の有無について、10月15日付の発表では説明していません。

工房は、バス事業会社や旅行サイト運営会社へ状況を報告するとともに、管轄警察署に被害届を提出し、刑事捜査に協力しているとしています。

最大8,341件の予約情報が対象、乗車日が11月29日までの予約も含まれる

対象となる可能性があるのは、乗車日が2026年7月16日から11月29日までの一部の予約情報です。実際の不審なアクセス期間（9月16～19日）とは異なり、過去の乗車分だけでなく、発表時点でまだ利用日を迎えていない予約も含まれます。

漏えいの可能性がある情報は、カタカナの予約名、電話番号、乗車日、路線、予約番号などです。最大8,341件は予約情報の件数であり、対象人数5,614とは単位が異なります。運営会社は両数値の最終確認を続けています。なお、今回流出が確認された一部の予約情報と、最大対象件数8,341件すべての個別流出確定とは区別する必要があります。

これらの情報が組み合わさると、第三者が特定の乗車予定を知っているかのように装い、予約確認や変更手続きを口実とする電話・SMSを送るおそれがあります。これは取得された情報の性質から考えられる二次被害リスクであり、10月15日時点で、そのような悪用が実際に確認されたとの発表はありません。

中国バスも影響を公表、2路線で計17件の予約情報

中国バスは10月15日21時30分、同社が高速バス予約受付に利用している発車オーライネットから、関係する予約情報も漏えい対象に含まれる可能性があると報告を受けたと公表しました。

路線	調査対象となる予約情報
キララエクスプレス（福山―松山）	12件
しまなみライナー（福山―今治）	5件
合計	17件

この17件は工房が公表した最大8,341件とは別に加算する数字ではなく、影響先の一つとして中国バスが示した予約情報の件数です。対象人数や個々の予約が実際に漏えいしたかどうかは引き続き確認中としています。中国バスは発車オーライネットを通じた予約受付を継続しています。

発車オーライネットの公式サイトは、予約対象として145社・430路線を掲載しています。ただし、これらすべての事業者・路線が今回の漏えい対象になったことを示すものではありません。工房は各バス事業会社と旅行サイト運営会社へ状況を報告していると説明しています。

連携APIを使う予約システムで確認したい点

今回の侵害箇所は、一般利用者向けの予約画面そのものではなく、外部取引先とのデータ連携に利用するAPIサーバーです。予約システムを運用する事業者にとっては、委託先・連携先と共有するデータの範囲や、外部連携経路のログを確認する契機となります。

具体的には、APIにアクセスできる主体と権限、利用者が参照できる予約情報の範囲、認証情報の管理、異常なリクエストや大量取得の監視、ログの保存期間、連携先へのインシデント連絡手順などを確認する必要があります。今回の侵入原因がこれらのどれかにあったと特定されたわけではありません。

国内ではAPIやWebアプリケーションを標的とする情報窃取への注意喚起が続いています。JPCERT/CCによる国内Webシステム・APIへの攻撃に関する注意喚起や、IPAが示すWeb・SaaS・API管理の緊急点検項目も、運用点検の参考になります。ただし、本件と他の事案が同一の攻撃者や手法によるものと判明したわけではありません。

利用者は乗車予定を示したSMS・電話にも注意

工房は10月15日時点で、今回の漏えいに起因する具体的な二次被害の報告は受けていないとしています。一方、電話番号が対象情報に含まれるため、不審なSMSや電話への注意を呼びかけています。

予約番号や実際の乗車日、利用路線を示して「決済の再確認」「予約の再手続き」などを求める連絡でも、記載内容が正確という理由だけで信用しないでください。SMSに記載されたURLを開かず、利用したバス事業者や発車オーライネットの公式窓口から内容を確認してください。工房は、同社やバス会社がSMSなどで暗証番号やクレジットカード情報を尋ねることはないと説明しています。

10月19日から「発車オーライネットお客様相談センター」（0120-539-020、9～18時）を開設する予定です。問い合わせフォームは公式サイトから利用できます。