日本脆弱性総合ポータル

トラベルジップ：受託運用の自治体観光サイトへの不正アクセスで個人情報が流出

重要度
業務やサービスの停止・7,050件
公表日
2026.10.26
原因の分類
自社実装の脆弱性
対策可能性
判定保留

この記事の3行まとめ

  1. 複数の自治体観光サイトの個人情報が外部に流出した。
  2. サイトの画像アップロード機能の脆弱性を突かれ、攻撃者がサーバーに不正なプログラムを置いた。
  3. 利用者は、自治体や観光協会を装った不審なメールやSMSに注意する。

株式会社トラベルジップが制作・運用を受託する複数の自治体観光サイトが、第三者から不正アクセスを受けた。2026年10月23日に判明し、同じサーバーにあった各サイトのデータベースとバックアップファイルが取得されたことで個人情報が外部に流出した。侵入には、サイト管理画面の記事編集機能にある画像アップロード機能の脆弱性が使われた。2026年10月26日時点の流出件数は7,050件とされる。

確認された経路・公表元の推定

  1. 第三者が、サイト管理画面の記事編集機能にある画像アップロード機能の脆弱性を悪用した。
  2. 不正なプログラムがサーバー上に設置され、実行された。
  3. 自動化されたツールを用い、約13時間に約9,600件のリクエストが送られた。
  4. 同じサーバーに格納されていた各サイトのデータベースとバックアップファイルが取得された。
  5. 2026年10月23日に不正アクセスが判明し、対象サイトを閉鎖して関係自治体・観光協会へ第一報を行った。
  6. 2026年10月26日17:30更新時点で、流出が確認された件数は7,050件（重複を除くと6,782件）とされた。

根拠の要点

資料は、サイト管理画面の記事編集機能にある画像アップロード機能の脆弱性を悪用されたと説明し、ログ調査で2026年10月21日公表のPHPの脆弱性とは関係がないことを確認したとしている。

資料の基準時点：2026年10月26日17:30更新（流出件数の基準時点）

当時、対策できたのか

判定保留

資料は侵入口を画像アップロード機能の脆弱性と説明しているが、その修正時期や、攻撃時点で既知だったか・未対応だったかは書かれていない。PHPの脆弱性は関係がなく、PHPの修正プログラムは対応済みだったとしている。

公表された対策

  • 対象サイトを閉鎖した。
  • 社内に対策委員会を設置し、関係自治体・観光協会やサーバー管理会社とともに原因究明、被害範囲特定、再発防止に取り組んでいる。
  • サイトに蓄積された個人情報を、自治体・観光協会の承諾を得たうえでデータベースから完全に消去（物理削除）する。
  • 今後は個人情報を極力サーバー内に蓄積しない運用とする。
  • サイトの再公開は、安全性が確認され、自治体・観光協会の判断を得た後とする。
  • 自治体・観光協会を装った不審なメール、SMS、電話、郵便物に注意するよう呼びかけている。
  • 身に覚えのないメールやSMSのURLや添付ファイルは開かず、不審なサイトに個人情報を入力しないよう呼びかけている。

この事例を理解するための動画

まだ分からないこと

  • 侵入の開始時期は資料に書かれていない。10月23日は判明日である。
  • 画像アップロード機能の脆弱性の修正時期と、攻撃時点で既知だったかは書かれていない。
  • 当該機能が自社開発か既製品かは書かれていない。
  • 流出件数には重複、サイト管理画面のアカウント情報、開発・テスト用データが含まれ、対象者の人数は示されていない。
  • 流出情報が悪用された（二次被害）かどうかは書かれていない。
  • 原因の究明と被害範囲の特定は継続中で、件数や内容は変わる可能性がある。
  • 再公開の時期は未定である。
  • 公表日は資料に明示がないため、published には資料の更新日時 2026-10-26 を入れている。確認が必要である。

関連する事例

同じ原因分類の事例

事例の一覧に戻る