旅行予約プラットフォームで個人情報が漏洩

bokeh photography of red lights — Syed Ahmad / Unsplash

旅行予約プラットフォームであるズームズームツアーにおいて、外部からの攻撃とレビューページの開発エラーにより、二件の個人情報漏洩事故が確認された。特定の顧客とガイドの情報が攻撃者に無断で取得され、別の開発エラーにより予約情報や同行者の情報が約2年間外部からアクセス可能な状態であったことが明らかになった。

ズームズームツアーは、2026年11月6日に代表者名義の通知を通じて事故の経緯と対応状況を公開し、謝罪した。会社によれば、全ての会員が漏洩対象ではなく、確認された対象者には個別にメールで案内を行った。

外部攻撃者は、2026年11月4日午後3時30分頃から会員登録を行い、サービスの一部機能のセキュリティ脆弱性を悪用して他の顧客とガイドの情報を不法に取得した。漏洩した顧客情報には、名前、メールアドレス、電話番号、予約時に入力した旅行者情報、同行者の性・名前・年齢・性別、決済金額、商品名、旅行日、人数などが含まれている。対象者ごとに漏洩項目は異なる。

また、一部の顧客ではバウチャーファイルと顧客センターへの問い合わせ内容が漏洩した可能性があるとされている。バウチャーファイルにアクセスするための一時リンクは15分間有効であり、関連リンクは11月4日に全て失効した。