沖縄ツーリスト、個人情報漏えいの可能性でOTSレンタカーなど5サービスの新規予約を停止

沖縄ツーリスト株式会社は2026年10月21日、同社が運営するサービスで顧客の個人情報が漏えいした可能性があると公表しました。同社は10月18日から関係するサイトへの外部アクセスを遮断し、20日16時30分から「OTSレンタカー」「OTS HOTEL」など5サービスの新規予約受付を一時停止しています。対象情報や影響範囲、原因については外部専門家と調査を進めています。

10月20日16時30分までに申込手続きを完了した顧客は、申し込み内容どおりサービスを利用できるとしています。

沖縄ツーリストの個人情報漏えい疑い・サービス停止のサマリー

• 公表日：2026年10月21日
• 発表元：沖縄ツーリスト株式会社
• 発端：社外から個人情報漏えいに関する問い合わせがあり、同社の初期調査で漏えいの可能性を確認
• 10月18日：該当サイトへの外部からのアクセスを遮断
• 10月20日16時30分：個人情報を扱う5サービスの新規予約受付を一時停止
• 停止対象：OTSレンタカー、OTS HOTEL、OTS ACTIVITIES、デジタルDMOプラットフォーム、OTS Club
• 10月20日16時30分までに申し込み済みの顧客は、申込内容どおり利用可能
• 外部専門家の協力を得て、対象情報、影響範囲、原因を調査中
• 個人情報保護委員会への報告を含む必要な対応を進めている

社外からの問い合わせをきっかけに漏えいの可能性を確認

同社によると、社外から個人情報漏えいに関する問い合わせを受けたことを契機に初期調査を実施し、個人情報の漏えいが発生した可能性があることを確認しました。現在は外部専門家とともに、対象となる情報、影響範囲、発生原因を調べています。

10月21日の発表では、具体的な個人情報の項目や漏えい対象人数は示されていません。また、第三者によるシステム侵入が確認されたかどうかや、攻撃手法についても発表していません。現段階で「不正アクセスによって顧客情報が流出した」と断定することはできません。

同社は個人情報保護委員会への報告を含めた必要な対応を進めており、新たな事実が判明した際は公式ホームページで公表するとしています。

OTSレンタカーなど5サービスで新規予約受付を一時停止

新規予約受付の停止対象は以下のとおりです。

いずれも、対象サービスの新規予約受付に関する措置です。10月20日16時30分までに申し込みを完了している顧客については、申込内容どおり利用できます。上記以外の沖縄ツーリストのサービスについては営業を継続しています。

サービスの再開時期は10月21日の発表では示されていません。今後の案内は公式ホームページで確認できます。

利用者が注意したい旅行予約を装った連絡と確認方法

旅行・宿泊・レンタカーに関する情報が第三者に取得された場合、予約内容の確認や返金、支払い方法の更新などを装うメールやSMSによるフィッシングに悪用されるおそれがあります。ただし、今回の事案で予約情報や決済情報が漏えいしたと確認されたわけではなく、以下は一般的な二次被害への予防策です。

利用者は、「予約の取り直し」「返金手続き」「支払い情報の再登録」などを求める連絡を受けても、メッセージ内のURLから個人情報や決済情報を入力せず、公式サイトに掲載された問い合わせ先で内容を確認してください。

また、停止前に予約を完了した利用者については、同社が申込内容どおり利用できると案内しています。不審な連絡を受けても、慌てて予約を取り直したり、案内された口座へ代金を振り込んだりしないよう注意が必要です。フィッシングの手口や確認方法は、フィッシング詐欺の対策ガイドでも紹介しています。

同社が公表したサービスに関する問い合わせ先は、OTSレンタカーが「[email protected]」、OTS HOTELが「[email protected]」、OTS ACTIVITIESが「[email protected]」です。問い合わせ前に沖縄ツーリスト公式のお知らせで最新の案内を確認してください。

旅行・観光事業者が確認したい初動対応と予約業務の継続

今回の発表では、漏えいの可能性がある段階でサイトへのアクセス遮断と新規予約受付の停止が行われました。個人情報を扱う予約サービスでは、安全性確認と並行して、予約済み顧客の利用可否、問い合わせ窓口、予約再開の条件を整理する必要があります。

同様のサービスを運営する企業では、顧客・予約情報を保持するシステムの範囲、外部から接続できる経路、管理者権限、委託先との連絡体制を確認し、異常を検知した際に新規受付だけを停止できるか、既存予約をどう確認するかを事前に決めておくことが対策につながります。

また、初期段階で情報項目や件数が確定していなくても、事実として公表可能な内容と調査中の内容を分けて案内することが利用者の混乱防止につながります。サービス停止・顧客案内・当局報告の判断を平時に検証する方法として、インシデント対応の机上演習シナリオも参考になります。

出典

• お客様の個人情報漏えいの可能性とサービスの一時停止についてのお知らせ（2026年10月21日）－沖縄ツーリスト株式会社

関連記事

サイバー攻撃集団 ロックビット(LockBit)とは？ 富士通で個人情報漏洩の恐れ　マルウェア感染も 不正アクセスで「よどいこ！」から個人情報流出の可能性 モバイルファクトリーがSuishow 株式会社の現代表取締役へ訴訟提起 背景に「NauNau」のセキュリティ管理問題か？ 国分生協病院がランサムウェア攻撃を受け、一部診療記録のPDFが閲覧不可に 北海道大学が不正アクセスで約2.3万の個人情報が流出した事を発表 ベネッセ 個人情報流出事件で地裁から賠償命令 3338人に計1100万円 WelcomeHRを運営するワークスタイルテックが約15万人の個人情報漏洩を発表 福島県郡山市の委託先社員がマイナンバーカードの個人情報を私的に利用

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)