当社が受託運用する自治体観光サイトへの不正アクセスによる個人情報流出に関するお詫びとお知らせ（第2報）

　この度、株式会社トラベルジップ（本社：東京都新宿区　代表取締役　大泉敏郎、以下「当社」）が制作・運用を受託している複数の自治体観光公式サイトが、第三者から不正アクセスを受け、サイトに保管されていた利用者の皆様の個人情報が、外部に流出したこと（以下「本事案」)が判明しました。

サイトをご利用いただいた皆様、ならびに関係自治体・観光協会の皆様に多大なるご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。

　当社では本事案の判明後ただちに対象サイトを閉鎖し、社内に対策委員会を設置しました。

　現在は、関係自治体・観光協会等に連携の上、サーバー管理会社とともに、原因の究明、被害範囲特定、再発防止に向けて全社を挙げて取り組んでおります。

1．本件の概要および経緯

　現時点で判明している本事案の概要および経緯は以下のとおりです。

2026年10月23日、当社が管理するサーバーへの不正アクセスが判明しました。外部の第三者が、サイト管理画面の記事編集機能にある画像アップロード機能の脆弱性を悪用し、不正なプログラムをサーバー上に設置して実行しました。
このサーバーには複数の自治体観光サイトが格納されており、第三者は、同サーバーに保存されていた各サイトのデータベース及びバックアップファイルを取得しました。
攻撃は自動化されたツールを用い、事前に用意された手順に沿って行われたもので、約13時間に約9,600件のリクエストが送られました。
なお、2026年10月21日に公表されたPHPの脆弱性とは関係がないことを、ログ調査で確認しております。当該サイトへのPHP修正プログラムは対応済でした。
当社は判明当日である2026年10月23日に関係自治体・観光協会へ第一報を行い、対象サイトを閉鎖しました。

2．現時点で流出が確認されている個人情報（2026年10月26日17:30更新）

対象サイト	主な情報項目	件数
台東区観光公式サイト TAITOおでかけナビ	会社名、氏名、ふりがな、メールアドレス、住所、電話番号、お問い合わせ内容、写真ダウンロード申請内容等	5,168件
台東区ドラマ館サイト ※閉鎖済みサイト	氏名、ふりがな、メールアドレス、住所、電話番号、お問い合わせ内容等	124件
飛騨高山観光公式サイト飛騨高山旅ガイド	氏名、メールアドレス、住所、電話番号、お問い合わせ内容、視察申込内容等	524件
熱海市観光協会公式サイトあたみニュース	氏名、メールアドレス、住所、電話番号、お問い合わせ種別、お問い合わせ本文	1,234件（重複を除くと966件）
合計		7,050件（重複を除くと6,782件）

※1　件数はデータの件数です。同じ方が複数回お申し込みやお問い合わせをされている場合や、社内担当者のテストメールなども含まれているため、対象となる方の人数は件数より少なくなります。各自治体より発表されている数値とは差分がありますが、そのような理由で数値が異なっておりますのであらかじめご了承ください。

※2　件数には、サイト管理画面のアカウント情報、開発・テスト用データが含まれています。

※3　今後の調査等により、内容や件数が変更となる可能性があります。その場合には速やかに公表いたします。

3．今後の対応

サイトに蓄積された個人情報は、各自治体・観光協会のご承諾を得たうえで、データベースから完全に消去（物理削除）します。今後は個人情報を極力サーバー内に蓄積しない運用といたします。
サイトの再公開は、安全性が確認され、各自治体・観光協会のご判断をいただいた後となります。再公開の時期は改めてお知らせします。