発車オーライネットの不正アクセスによるサイバー攻撃のまとめ―全国のバス事業者が相次ぎ公表、イルカ交通258件・中国バス17件など

高速バス予約サイト「発車オーライネット」を運営する株式会社工房が、外部取引先と連携するAPIサーバーへの不正アクセスと予約情報の流出を公表した問題で、全国のバス事業者から利用者向けの発表が相次いでいます。2026年10月18日までの一次情報を確認すると、北海道中央バス、関東バス、東武バス、名鉄バス、西日本JRバス、中国バス、イルカ交通など、地域をまたいだ広がりが確認できます。

運営会社は最大8,341件、5,614人分の予約情報が流出対象となった可能性を公表しました。一方、バス事業者ごとの発表では対象件数を明らかにした会社と、調査中としている会社があります。これは予約情報の漏えいに関係する可能性を公表した会社・共同運行先の一覧であり、各社の利用者情報がすべて漏えいしたことを意味しません。

最初の不正アクセスの経緯や運営元の説明は、セキュリティ対策Labの「発車オーライネット」第一報で詳しく整理しています。

発車オーライネット不正アクセス・影響先まとめのサマリー

• 運営会社：株式会社工房
• 第一報の公表：2026年10月15日
• 不審なアクセスがあった期間：9月16～19日、検知は10月13日
• 対象システム：外部のバス事業者・旅行関連サイト等と連携するAPIサーバー
• 全体の最大対象：予約情報8,341件、対象5,614人分（最終確認中）
• うち発車オーライネットのサイト上での対象：548予約件数、448人分（全体に含まれる内数）
• 対象となる予約の乗車日：2026年7月16日～11月29日
• 対象項目：カタカナ氏名、電話番号、乗車日、路線、予約番号など
• サーバーに保存されていなかった情報：クレジットカード番号、銀行口座情報、住所、メールアドレス、パスワードなど
• 発表後も複数のバス事業者で通常の予約受付を継続しているとの案内

これらの会社別件数は工房が公表した最大8,341件の内訳に相当する可能性があります。共同運行する路線では複数社が同じ予約を取り扱う場合があり、表の数字を足し合わせて漏えい件数とすることはできません。

影響を公表したバス事業者一覧（2026年10月18日時点）

以下は運営会社からの通知を受けて、予約情報の漏えいの可能性や利用者への注意事項を公式サイトで公表した事業者の一覧です。各社ごとの実被害が確定した一覧ではなく、公表内容を確認できた事業者を掲載しています。地域区分は便宜的なもので、運行エリアのすべてを示すものではありません。

北海道

関東

甲信越・北陸

東海

近畿

中国・四国

九州

特に確認しておきたい各社の発表

イルカ交通―2路線で258件、213人を対象に調査

イルカ交通は10月17日、高山―白川郷―高岡線と名古屋―高岡線に関係する予約について、流出対象の可能性があるものを計258件、213人と公表しました。いずれも最終確認中の数値です。全国の最大件数だけでは個々の路線への影響は把握できないため、利用者にとって会社別の数値の公表は重要な情報となります。

中国バス―福山発着の2路線で計17件

中国バスは10月15日21時30分、キララエクスプレス（福山―松山）の12件、しまなみライナー（福山―今治）の5件、合計17予約件数が対象となる可能性を明らかにしました。対象人数と各予約の実際の漏えい有無は調査中です。

同じ系統を運行する瀬戸内しまなみリーディングも、今治―福山・今治―広島などの路線を挙げて影響の可能性を公表しています。複数社に同じ路線が記載されていても、別々の攻撃が起きたわけではありません。

東武バス―海外向け予約サイトの10人、国内サイト限定の問題ではない

東武バスはスカイツリーシャトル成田空港線の予約客10人が対象と説明し、予約経路を「Japan Bus Onlineのみ」と明記しています。今回の不正アクセスは発車オーライネットの日本語向けWeb予約画面だけの問題ではなく、外部連携や別の予約窓口まで対象を確認する必要がある事案です。

ひろでんモビリティサービス・両備バス―窓口販売や共同運行にも影響

ひろでんモビリティサービスは10月16日18時時点で対象予約1件と説明するとともに、直営窓口・委託店窓口で購入した利用者の情報も対象に含まれるとの報告を受けたとしています。

両備バスは、自社では「発車オーライネット」を通じた予約受付を行っていないものの、共同運行会社が同サイトで受け付けた予約が対象となる可能性を説明しています。予約窓口と実際の運行会社が一致しない場合、単純に「そのサイトを使っていないから対象外」とは判断できません。

なぜ全国のバス会社へ影響が広がったのか

今回、不正アクセスされたのは工房が外部取引先との連携に使うAPIサーバーです。運営元の発表では9月16～19日の不審なアクセスを10月13日に検知し、該当サーバーの通信遮断とセキュリティ対策を実施しました。侵入に使われた具体的な脆弱性、認証方法や攻撃者については公表されていません。

バス予約は、予約ポータルサイト、各社の窓口、旅行会社、共同運行先など複数の窓口で扱われます。予約者の氏名や電話番号、乗車日・路線、予約番号を共通で扱う外部連携先が侵害されると、予約の受付元だけでなく運行会社にも影響の確認が必要になります。今回の影響先の広がりは、予約サービスを提供する事業者と共同運行会社とのデータ連携を点検する際の事例となります。

予約利用者への注意―乗車情報を口実としたSMS・電話

運営元は、現時点でこの事案に起因する具体的な二次被害の報告は受けていないとしています。ただし予約者の電話番号や乗車情報が第三者に渡った場合、「予約内容の再確認」「決済エラー」「乗車日変更」などを装うSMSや電話を受ける可能性があります。これは今回の事案で確認された詐欺事例ではなく、漏えい対象となる情報の性質から考えられるリスクです。

運営元とバス会社は、SMSで暗証番号やクレジットカード情報を確認することはないと注意喚起しています。不審な連絡を受けた場合は本文中のURLを押さず、公式の予約サイトや公表済みの問い合わせ先から確認します。クレジットカード情報やパスワードが対象サーバーに保存されていなかったことと、便乗した詐欺連絡への注意が不要になることは別です。

工房が案内する問い合わせ先は10月18日まではCSセンター（048-227-0523、9時～18時）、10月19日からはお客様相談センター（0120-539-020、9時～18時）です。公式の問い合わせフォームも案内されています。

バス事業者・予約システム運営者が確認したい点

管理部門では、発券・予約管理システムの委託契約だけでなく、APIの連携先、予約データの保存箇所、共同運行時のデータ受け渡し、販売代理店のアクセス権を含めたデータフローの把握が必要です。外部連携用APIには最小権限を適用し、予約情報の一括取得を検知するログ、連携先別の認証情報の失効・再発行手順、緊急遮断時の予約継続手段などを確認します。

委託先がインシデントを公表した際は、まず「自社が直接利用しているサービスか」に加え、「共同運行先・委託販売先を通じて情報が連携されていないか」を調査します。顧客向けのお知らせには、影響の可能性と確定情報を分け、予約件数・人数・共同運行便を重複計上しない形で記載することが実務上の要点です。

出典

• 「発車オーライネット」連携用APIサーバーへの不正アクセスに関する第1報―株式会社工房（2026年10月15日）
• イルカ交通の対象258件・213人の公表（10月17日）
• 中国バスの対象17件の公表（10月15日）
• 東武バスの成田空港線対象者10人の公表（10月16日）
• 和歌山バスの約10件の公表（10月16日）
• ひろでんモビリティサービスの対象1件の公表（10月16日）
• 両備バスの共同運行に関する公表（10月16日）
• 北海道中央バスの公表（10月16日）
• 南海バスの公表（10月16日）
• 高松エクスプレスの公表（10月16日）
• 瀬戸内しまなみリーディングの公表（10月16日）