NordVPN×Saily調査、旅行業界で1億1,940万件の個人情報流出を確認

～旅行関連のデータ侵害494件を分析。流出した個人情報の種類や業態別の被害規模が明らかに～

サイバーセキュリティ企業のNordVPN（本社：オランダ・アムステルダム、日本代表：小原拓郎）は、旅行向けeSIMアプリ「Saily」と共同で、旅行者が旅行の予約時に預ける個人情報と、旅行業界におけるデータ侵害の実態を調査しました。NordLayer Intelligenceの研究者が、2021年1月1日から2026年8月18日までに確認された旅行関連494件のデータ侵害を分析した結果、ダークウェブ上で1億1,940万件の旅行者の個人情報が確認されました。

旅行の予約では、航空会社、ホテル、レンタカー、予約プラットフォーム、ツアー、アクティビティなど、複数の事業者に個人情報を提供します。今回の調査では、事業者の規模や業態によって、データ侵害の起きやすさや1件当たりの流出規模に違いがある一方、氏名や住所、生年月日など、一度流出すると変更が難しい個人情報も幅広く含まれていることが分かりました。

調査の詳細：https://nordvpn.com/ja/blog/nordvpn-saily-research-travel-data-breach/

■調査でわかった主な結果

• 個人情報流出：旅行業界で1億1,940万件を記録（2021年1月1日～2026年8月18日のデータ侵害494件を分析）

• 流出した個人情報：氏名92％、電話番号87％、住所78％、生年月日55％

• 侵害が多発している業種：予約・ツアー関連事業者が55.5％（予約プラットフォーム、オンライン旅行代理店（OTA）、ツアー・アクティビティ事業者等）

• 1件あたりの流出規模：航空会社が平均約120万件（件数は21件だが1件当たりの流出件数は予約・ツアー関連の11倍以上）

• 流出データの業種別割合：レンタカー・クルーズ・鉄道27.7％、予約・ツアー関連24.6％、ホテル・リゾート23.7％、航空会社21.2％

■旅行予約で入力した個人情報は大丈夫？氏名・住所・生年月日などの流出実態を調査

調査では、流出した旅行者の個人情報に含まれる情報の詳細さも明らかになりました。分析対象の侵害のうち、氏名を含むものは92％、電話番号は87％、住所は78％でした。生年月日は55％、パスワードは46％、国籍は19％、政府発行の身分証明書情報は11％に含まれていました。

これらの情報が組み合わさると、メールアドレスやパスワードだけが流出した場合と比べて、個人の身元や生活に関する情報がより詳しく知られてしまうおそれがあります。旅行事業者は、連絡先に加え、住所や生年月日、本人確認に関する情報などを保管している場合があります。こうした情報は、旅行が終わった後や、利用者がアカウントの存在を忘れた後も、長期間にわたって保存されている可能性があります。

■個人情報流出の見落とされがちなリスクは、旅行予約を支える事業者に

今回の調査では、旅行業界において、データ侵害が発生する件数が多い事業者と、1回の侵害で大量の情報が流出する事業者が異なることが分かりました。

予約プラットフォーム、オンライン旅行代理店（OTA）、ツアー運営会社、アクティビティ事業者では、調査対象となったデータ侵害の55.5％が発生していました。これらには、小規模な旅行代理店や地域のツアー会社、体験型サービスの事業者なども含まれます。こうした事業者では、古いシステムや十分に保守されていないオンラインプラットフォームが、情報流出のリスクにつながっている可能性があります。

一方、航空会社で確認されたデータ侵害は21件と少なかったものの、1件当たりに流出した情報は平均約120万件に上りました。これに対し、予約プラットフォームやOTA、ツアー・アクティビティ事業者では、1件当たりの流出レコードは平均約10万7,000件でした。

つまり、予約・ツアー関連の事業者では、航空会社の約13倍の件数のデータ侵害が発生していた一方、航空会社では、1回の侵害で流出する情報が平均で11倍以上に達していました。

また、個人情報流出データ全体に占める割合を見ると、レンタカー・クルーズ・鉄道会社が27.7％、予約・ツアー事業者が24.6％、ホテル・リゾートが23.7％、航空会社が21.2％でした。個人情報の流出は特定の業態に限らず、旅行業界の幅広い分野で発生していることが示されています。

■NordVPN 最高技術責任者（CTO） マリユス・ブリエディスのコメント

「旅行では、航空会社やホテル、予約サイトなど、さまざまな企業に個人情報を提供します。そのため、情報を共有する企業が増えるほど、個人情報が流出するリスクも高まります。重要なのは、流出した情報の件数だけでなく、どのような情報が含まれているかという点です。パスワードは流出しても変更できますが、氏名や生年月日など、自分自身にひもづく情報は簡単には変更できません。」

「企業の規模だけで、旅行者にとってのリスクを判断することはできません。小規模な事業者はサイバー攻撃の標的となる場合がある一方、大手航空会社では、1件のデータ侵害によって数百万人分の個人情報が流出する可能性があります。旅行者にとって重要なのは、旅行中に提供する個人情報が、利用するサービスに関わるすべての企業に共有・保管されており、それぞれ異なるリスクにさらされていることを理解することです。」

■Saily CEO ヴィキンタス・マクニカスのコメント

「旅行予約サイトやアクティビティ予約サービスを利用するのは、一度きりかもしれません。しかし、利用を終えた後も、提供した個人情報が事業者のシステムに何年も保存されている可能性があります。サービスを使わなくなったからといって、個人情報のリスクまでなくなるわけではありません。一度きりの利用であっても、個人情報が長期間保管される可能性があることを知っておく必要があります。」

「帰宅後は、古い予約、ツアー、レンタカーなどのアカウントを確認してください。今後使わないアカウントは削除し、そのアカウントにひもづく個人データの削除を事業者に依頼しましょう。今後利用しない可能性が高いサービスに残る情報を減らすことにつながります。」

■ 旅行者がデータの足跡を減らすための対策

旅行者が、すべての事業者のセキュリティ対策を管理することはできません。一方で、旅行サービスに残す個人情報を必要最小限に抑えることはできます。NordVPNとSailyは、以下の対策を推奨しています。

1．不要な旅行アカウントを作らない

予約のためだけにアカウント作成が必須でない場合は、ゲスト予約などを選び、利用するサービスに残す情報を減らしましょう。

2．パスワードを使い回さず、多要素認証を有効にする

サービスごとに固有のパスワードを設定し、利用できる場合は多要素認証を有効にしてください。

3．保存済みの支払情報・本人確認情報を見直す

今後利用しないサービスでは、保存された支払情報や本人確認情報を削除してください。パスポートなどの身分証明書をアップロードする前に、本当に必要かどうかも確認しましょう。

4．旅行後に古いアカウントを整理する

帰宅後は、予約、ツアー、レンタカーなどのアカウントを見直し、利用しないものは削除しましょう。必要に応じて、サービス事業者にアカウントにひもづく個人データの削除を依頼してください。

■ 調査概要

本調査は、NordVPNとSailyの研究者が、脅威エクスポージャー管理プラットフォーム「NordLayer Intelligence」で分析されたデータを用いて実施しました。2021年1月1日から2026年8月18日までの過去の侵害データを分析し、航空会社、ホテル・リゾート、オンライン旅行代理店、ツアー・アクティビティ事業者、ロイヤルティプログラム、レンタカー・クルーズ・鉄道会社に関する事案を特定しました。

各侵害は、影響を受けた組織の名称、ドメイン、説明に基づいて分類し、規模の大きい事案は個別に確認したうえで、誤検出を除外しました。侵害規模は、流出した固有のメールアドレス数を基準に算出し、旅行関連494件の侵害で合計1億1,940万件の旅行者レコードを確認しました。今回の結果は、NordLayer Intelligenceのデータ上で確認された侵害に基づくもので、旅行業界における世界全体のデータ流出を網羅するものではありません。

■ NordVPNについて

NordVPNは、世界中の何百万人ものインターネット利用者から信頼されている、オールインワンのデジタルプライバシー・セキュリティアプリです。NordVPNアプリは、世界最先端のVPNと次世代型アンチウイルス、ダークウェブモニター™（Dark Web Monitor™）などのセキュリティ機能を組み合わせ、利用者がオンライン上でより安全かつプライベートに過ごせるようサポートします。フィッシング、詐欺、悪質なウェブサイト、トラッカー、迷惑な広告、マルウェアからの保護に役立ち、オンラインプライバシーの強化を支援します。詳細はnordvpn.comをご覧ください。

■ Sailyについて

Sailyは、世界中どこからでもモバイル通信とインターネット接続を管理できる、手頃で安全な旅行向けeSIMアプリです。24時間365日のカスタマーサポート、柔軟なプラン、200以上の渡航先での通信サービスを提供しています。Sailyは、セキュリティとプライバシーアプリ「NordVPN」を開発した専門家によって生まれました。

■ 会社概要

会社名：NordVPN

本社：Fred. Roeskestraat 115 1076 EE Amsterdam, Netherlands

日本代表：小原拓郎

NordVPNウェブサイト：https://nordvpn.com/ja/

VPNについて：https://nordvpn.com/ja/what-is-a-vpn/