株式会社ジェイティービー（JTB）は、同社のインターネット販売を主とするグループ会社である株式会社i.JTBのサーバーに、外部からの不正アクセスがあったと発表した。同社が調査した結果、個人情報が一部流出した可能性があることが判明したが、現在のところ流出の事実については確認されていない。また、個人情報を悪用されたことによる被害を受けたという報告もないという。

これまでの経緯については、同社は3月15日、取引先を装ったメールの添付ファイルを開いたことにより、i.JTBのPCがウイルスに感染したが、この時点ではウイルスに感染したことに気がつかなかった。3月19日～24日、i.JTB内の本来個人情報を保有していないサーバーにおいて、内部から外部への不審な通信が複数確認された。同社は不審な通信を特定して遮断し、ネットワーク内のサーバーやPCの調査を実施。その結果、サーバー内に「外部からの不正侵入者が3月21日に作成して削除したデータファイル」の存在を4月1日に確認した。

そこで、外部のセキュリティ専門会社と共同でウイルスを駆除するとともに、データファイルの復元と不正なアクセスの調査・分析・対応を継続して行った。5月13日、復元したデータファイルに個人情報が含まれることが確認されて、個人情報流出の可能性があることが判明し、それを受けてJTB内に「事故対策本部」を設置した。その後すぐにデータの正規化に着手し、復元したデータファイルに約793万人分の個人情報が含まれていたことが判明した。

復元したデータファイルに含まれていた個人情報の項目は、氏名、性別、生年月日、メールアドレス、住所、郵便番号、パスポート番号、パスポート取得日などの一部または全部で、クレジットカード番号や銀行口座情報、旅行の予約内容は含まれていない。

対象となるユーザーは、「JTBホームページ」「るるぶトラベル」「JAPANiCAN」のオンラインで予約した顧客や、JTBグループ内外のオンライン販売提携先（提携サイト）でJTB商品を予約した顧客の情報となる。ただし、「JTB旅物語」「高速バス」「現地観光プラン、レジャーチケット、定期観光バス」「レストラン」「海外ダイナミックパッケージ」「海外航空券」「海外ホテル」「海外現地オプショナルツアー」「その他旅行関連商品（保険、積立等）」を予約した顧客の情報は対象とならない。また、JTB店舗や提携販売店店舗、JTB旅物語販売センターで予約した顧客の情報も対象とならない。

同社は対象となる顧客の登録メールアドレス宛てに、順次メールで連絡する。当該データを悪用したと思われる不審な連絡や被害を受けた場合は同社まで連絡するよう呼びかけている。また、同社は同案件について継続的に情報収集を行い、新たな事実が明らかになった場合は顧客に連絡すると説明している。

発表資料
URL:http://www.jtbcorp.jp/jp/160614.html
2016/06/15