株式会社エイチ・アイ・エス（タイ現地法人 H.I.S. TOURS CO., LTD.）
エイチ・アイ・エスのタイ現地法人H.I.S. TOURS CO., LTD.のファイルサーバが第三者による不正アクセスを受け、データの一部が不正に引き出された可能性があることが判明した。2025年12月11日に不正アクセス検知ソフトのアラートを受けて該当サーバをネットワークから切断し、12月29日に日本で取得した個人情報の一部が含まれることを確認して個人情報保護委員会とJIPDECへ報告。2026年2月24日に最大627名のパスポート情報が含まれることが判明し、全ファイルの確認を経て2026年10月7日に公表した。対象は2017年、2019〜2020年、2024〜2025年にHISを利用してタイへ出発した顧客で、パスポート情報とアレルギー情報が流出した可能性がある。
きっかけ・侵入経路
タイ法人のネットワーク（ファイルサーバ）に対する第三者による不正アクセス。2025年12月11日、ファイルサーバの不正アクセス検知ソフトがアラートを発出し、不正アクセスの可能性が高いと判断。外部の専門家を含めた社内調査の結果、不審なアクセスによりファイルサーバのデータの一部が不正に引き出された可能性があることが判明した。侵入経路・手口、不正アクセスの開始時期は公表されていない。
ITmediaは、タイ法人のファイルサーバが2025年11月に不正アクセスを受けたと報じている（公式文書では発生時期の記載を確認できない）。
ANN系報道は、一部の人についてはパスポートの画像も漏えいした可能性があるとしている（公式文書では確認できない）。
被害・漏洩
公式発表公式文書は不正アクセスの発生時期を明記しておらず、検知（アラート）日を2025年12月11日としている。報道ではITmediaが「2025年11月に不正アクセスを受け」、ABEMA TIMES（ANN）が「去年12月」と報じており、発生時期は公式に確認できない。ANN系報道は一部の人についてパスポートの画像も漏えいした可能性があると報じているが、公式文書（PDF）では確認できない。二次被害の有無について公式文書は明記していない。検知から公表まで約10か月を要した理由として、同社はサーバ内に無関係のデータが大量に混在し手作業を含む精査が必要だったと説明している。